日テレおよびJ-Wave、相次ぎ個人情報流出

kawakazu 曰く、

日本テレビホールディングス株式会社の連結子会社である日本テレビ放送網株式会社は4月21日、｢弊社ホームページへの不正アクセスによる個人情報流出の可能性について｣を発表した（Security NEXT）。

4月20日13時頃より、日テレホームページに対してOSコマンドインジェクションを利用した不正アクセスがあり、約43万件の個人情報が流出したと発表した。その情報には、氏名・住所・電話番号・メールアドレス等が含まれいてるが、クレジットカードの情報は含まれていなとのこと。

また、関東のJFF系列のFM放送局であるJ-WAVEを運営する株式会社J-WAVEにおいても4月22日、｢J-WAVE WEBサイトへの不正アクセスによる個人情報流出の可能性に関するお知らせ｣を発表した。

4月21日未明にJ-WAVEホームページに対して、ソフトウェアのコマンドインジェクションを利用した不正アクセスがあり、約64万件の個人情報が流出したと発表した。その情報には、2007年以降J-WAVEのホームページのメッセージフォームから、番組へメッセージを送信した人、プレゼントに応募した人の名前、住所、メールアドレス、電話番号、性別、年齢、職業等が含まれている。

タレコミ人としてはテレビ放送局は元より、radiko.jpに代表されるラジオのIPサイマル放送によって日本全国にリスナーを持つようになったFM放送局に起きた不正アクセスによる個人情報流出は、結構インパクトがデカいと感じている。

ケータイキット for Movable Type

[chuukai (18189)]

コマンドインジェクションの脆弱性があったソフトウェアが、Movable Type用プラグインの「ケータイキット for Movable Type [keitaikit.jp]」だとJ-WAVEが当初は公表していて、あとでソフト名を記載から削除した [security-next.com]のはなにか大人の事情があったのでしょうか。
ソフト名を隠すことがセキュリティ上の利点になるかっていうと、そうは思えないです。
むしろ逆のような。

Re:

[Anonymous Coward]

修正版がまだ公開されてなかったからでは。

Re:

[Anonymous Coward]

最新版を適用できない理由があったのでは？

Re:

[Anonymous Coward]

この発表直後にパッチが出たと書かれたがありましたね

Re:

[Anonymous Coward]

（４）発見者は、当該脆弱性情報が受付機関及び調整機関から公表されるまでの間、当該脆弱性
関連情報を第三者に漏えいしないよう適切に管理すること。ただし、当該脆弱性関連情報
を正当な理由により第三者に開示する場合、あらかじめ受付機関に問い合わせをすること。

ソフトウエア等脆弱性関連情報取扱基準 [meti.go.jp]

脆弱性公開のガイドラインに違反してる事を指摘されたからでしょ。
公表は勝手にやらずにIPAやJPCERTで調整してもらう方が、セキュリティ上の利点になるしね。

約64万件

[ymasa (31598)]

約64万件っていうキリの良い数が気になる。

Re:約64万件

[caret (47533)]

2の冪 [wikipedia.org] を「きりのいい」と感じてしまうのは業界特有の気がするけど、気持ちはすごくよくわかる。
Excite Bit コネタ [excite.co.jp]、東洋経済オンライン [toyokeizai.net]でも取り上げられたネタ。

Re:約64万件

[caret (47533)]

うっかり書き忘れたのだけど、マイクロソフトも RTM のバージョン番号を彼らなりのセンスで「きりがいい」数字にするという伝統があるそうで (Windows Vista ～ Windows 8.1 は RTM のビルド番号の末尾が 00 なのでわかりやすい)。
例えば Windows 10 バージョン 1507 RTM は 10.0.10240.16384 だし (10 MB = 10,240 KB, 16384 は 2 の冪数)、Windows 10 バージョン 1511 RTM は 10.0.10586.0 (i586 (Intel P5, 初代 Pentium). リビジョン番号が 0 なのは命名規則の変更による)。
あと、Windows 98 RTM も、4.10.1998 で、これは言うまでもなくリリースされた 1998 年にちなんでいる。

# オフトピック失礼しました

何でそんな情報がWebサーバー内に...

[Anonymous Coward]

2007年からのフォームメールの情報が約64万件保存されていたってことかな？
何でそんなデータをWebサーバー（公開サーバー）にいつまでも保存してるんだろう。

Re:何でそんな情報がWebサーバー内に...

[nemui4 (20313)]

元々データを保存していたサーバーでhttpdサービスしてただけだったりして。
規模にもよりそうだけど、IT企業でもなければそうそう目的別に何台もサーバー抱えてないだろうし。

マイナンバー絡みで個人情報取り扱いがますますセンシティブになるから、その辺分離して行く必要が増えそう。
とかいうお題目でサーバー売りつける(リース?)営業も増えそう。

Re:

[Anonymous Coward]

特に考えてなかったんじゃないですかね

j-waveで

[Anonymous Coward]

サヨクくさい説教ぶってた奴らはどんな気分なんだ。

Re:

[Anonymous Coward]

そりゃ、j-waveに説教してやりたい気分なんじゃない？

Re:

[Anonymous Coward]

Kwsk

てか
いつの間にか蛆サンケイの傘下になってたのなw
ウヨクーw

てか
いつの頃からか詰まらなく感じて聞かなくなったのは
ウヨクーwと関係があるのかな？るw

もう慣れた？

[Anonymous Coward]

個人情報の大量流出は何度も繰り返されても、事業者が罰せられることはなく、誰一人責任をとること
もなく、結局利用者だけがリスクを負わされて有耶無耶になるパターンばかりですね。
なんか、最近ではクレジットカード情報さえ流出してなければギリセーフみたいな感じになってる。
ベネッセ事件も対岸の火事に過ぎなかった。