尼崎全市民の個人情報USBメモリが流出。設定されたパスワードの桁数を会見で公表→発見される 180
やらかし 部門より
6月23日、兵庫県尼崎市は全市民の住民基本台帳などのデータが入ったUSBメモリを紛失したと発表した。USBメモリの中には住民基本台帳に記載されてる情報のほか、生活保護や児童手当を受けている世帯の口座情報なども保存されていたとされる。発表ではUSBのファイルはパスワードをかけて暗号化処理されていたことから、23日11時時点では漏えいは確認されていないとされている（神戸新聞NEXT、NHK、日経新聞、TBS NEWS DIG）。
ところが尼崎市による記者会見の際、USBメモリに設定されたパスワードの桁数に関して職員がバラしてしまうという大失敗を犯している。ネット上ではその公開された桁数を元に、地名や日付を組み合わせてパスワードを推測する行為などもおこなわれていたようだ（ITmedia）。
この騒動に合わせて、「尼崎のUSB」なるものがメルカリに出品されていたことも報じられている。おそらくイタズラだと思われるが商品の説明では、
先日から尼崎で使用しているUSBメモリです。パスワードを書けたまま忘れてしまい、中を開くことができないのでお譲りします。諸事情により、中のデータはそのままで出品いたしますので、新しく使用したい場合は、お手数ですがそちらで初期化の手順を踏んでください。
といった内容が書かれていた。価格は尼崎市の人口に合わせて45万2600円に設定されていた。なおこの出品は現在削除されているとのこと（FNNプライムオンライン[動画]）。この出品物に関しては、尼崎側が偽物であると判定したとのこと。なお紛失した従業員は当日、居酒屋で酒を飲み泥酔、午後10時半に店を出ると、午前3時ごろまで路上に寝ていたことが新たに報じられている（FNNプライムオンライン）。
追記：尼崎市は24日、紛失したとされていた市はUSBメモリーが発見されたと発表した。市は委託業者から電話連絡があり、鞄とともに発見されたとしている。発見された経緯などについては不明（読売テレビニュース、Yahoo!ニュース）。
道に倒れて誰かの名を (スコア:2, おもしろおかしい)
> 紛失した従業員は当日、居酒屋で酒を飲み泥酔、午後10時半に店を出ると、午前3時ごろまで路上に寝ていた
酔っ払うことはよくあるけど、道で寝てるのは相当凄い。
オレでも生涯2回くらいしかやったことがない。(あるんかい)
Re: (スコア:0)
これって飲みに行くなとは言わないけど、持って帰った日に泥酔する神経が
すごい。飲酒運転で「飲んだら乗るな、乗るなら飲むな」という標語が
あったけど，あれの情報流出版とかないんかな。
どういう経緯だったんだろう。持って帰る作業を終えた後の帰り際に、
パワハラ気味な上司にムリヤリ連れて行かれたのか、最初から飲む予定
があった日についでにUSBメモリも持ち出していたのか。
前者か後者かでかなり印象が変わる。
Re:道に倒れて誰かの名を (スコア:4, 参考になる)
https://news.yahoo.co.jp/articles/b55782722f812bcfcb099e5099bc9a2886d6efd1 [yahoo.co.jp]
当日、作業していたのはB社社員3にんと、再委託先の社員一人
作業終了後、B社社員が居酒屋に行こうと誘い、再委託社員含めて4人で飲食
10:30頃お開き、再委託先社員一人で帰宅、途中で道路で爆睡、爆睡中に鞄取られる
てな事らしい
Re:道に倒れて誰かの名を (スコア:1)
「酒飲んで、カバンごとセキュリティーカード紛失」とか、
どこでも聞かされるアクシデント事例だと思うけど。
前者だろうが後者だろうが前後不覚になるまで飲む・飲ませてる時点で
「B社は本当に教育・指導できてたのか？」
と印象をもたれそう。
Re:道に倒れて誰かの名を (スコア:1)
※もし知らなかったとしたら、B社は再委託先業者社員が何をするためにここに来たのかを知らないと言うことになり、それはそれで非常にまずい
-- To be sincere...
Re:道に倒れて誰かの名を (スコア:1)
あるよ、「PCや記憶媒体はあなたの財布やクレカやスマホと同様に、常に貴重品だと思って身に着けとけ」がうちのセキュリティポリシーの一つとして掲げられてる。(実際には英語)
後は、「不審なメールやWebサイトやファイルは一切開くな。お前に直接請求書や特別褒賞や事故報告書は届かない」がここ3年で追加された。(これも実際には英語)
13桁のパスワード (スコア:1)
Re:13桁のパスワード (スコア:2)
俺は「記者会見に出た職員は、紛失が発覚する前からUSBメモリの暗号化パスワードを何故か知っていた」に毎晩抱いて寝てるぬいぐるみを賭ける。
Re:13桁のパスワード (スコア:1)
※誰か専任でやってるでもないでしょうから、裏マニュアルあたりでこう設定しろ、と書いてあってもおかしくない
-- To be sincere...
Re: (スコア:0)
テプラでパスワードのシールを作り、USBメモリの外側に貼ってある、に10000ガバス。
Re:13桁のパスワード (スコア:2)
「尼崎は、神戸じゃない。」と、すでに誰かが言っただろうか。（参考図１ [twitter.com]、参考まとめ [kogusoku.com]）
Re:13桁のパスワード (スコア:1)
City@m@g@s@ki とかじゃないかな
旧日本ユニシス (スコア:1)
やらかした委託業者。
https://www.biprogy.com/pdf/news/info_220623-3.pdf [biprogy.com]
計算通り... (スコア:1)
実は4桁なんだが13桁といっておけば敵を欺ける...といいなぁ
なお"amagasaki2022"がちょうど13文字の模様。
Re:計算通り... (スコア:1)
USBメモリにコピーした時点で情報流出 (スコア:1)
重要な情報なら鍵のかかるカバンに入れたうえで、
GPSで位置を追跡できるようにしたうえで、
拠点間は寄り道しないで運ぶ。
ってのが、常識じゃないのか。
Re: USBメモリにコピーした時点で情報流出 (スコア:1)
カバンの持ち手と手首を手錠でつなぐ、が抜けてます。
Re:USBメモリにコピーした時点で情報流出 (スコア:1)
>重要な情報なら鍵のかかるカバンに入れたうえで、
セキュリティ規定で酒席にPCや情報機器を持ち込まない
としてる会社は多そうだけど、そうでもない？
Re:USBメモリにコピーした時点で情報流出 (スコア:1)
請負の人が酔ってないけどズボンのポケットに入れていた入館証をどこかに落として騒ぎになったことがあります
たまたま親切な人に拾われて戻ってきてましたが
三日後に社名シール貼り付けたバッグインバッグ的なものが配られて
退出したら入館証は必ずそれに入れてカバンの中に仕舞うという規定になったそうな
Re: (スコア:0)
GPSで位置を追跡できるような仕組みは、バッテリーの問題で容易に実現できない。
あと、位置を発信するためのモバイル通信のコストがかかりすぎる。
（AppleのAirTagはGPSではないし、モバイル通信でもない）
パスワードの桁数、文字種お漏らしはさすがにしないとして、
例えばこういう風にパスワードのかかったUSBメモリを紛失した場合、
保管してあるそのパスワードは消去して、世界からパスワードを消しさるべきかどうかって検討されたことありますでしょうかね？
保管しておかないと、万が一USBメモリが戻ってきたときに検証できない一方、
保管しておくと、例えば犯人が「警察ですが、USBメモリが落し物として届きました。件のUSBメモリか確かめたいのでパスワードを教えてください」などと連絡してきた場合、阿呆がパスワードを漏らす可能性もある。
Re: (スコア:0)
役所の常識は民間の非常識……
Re:USBメモリにコピーした時点で情報流出 (スコア:1)
ちなみにバイク盗難を心配して、セコムのGPSサービスを調べたことがありますが、確か初期費用4000円、月額1200円くらいだったかと。
追い付いていない (スコア:1)
先日テレビのバラエティー番組で「尼崎市は近年住みやすい街として若い家族連れに人気」と紹介されていたけど、
川崎市と同様人口が急に増えて事務処理が追い付いていなかったのかなあ。
Re:追い付いていない (スコア:2)
事務処理が追いつかないから家でサービス残業してた(させられてた)なら起こるべくして起こったということでしょうか。
もしそうだとすると、無くした人以外にも持って帰ってた人が大勢いそう。
Re:追い付いていない (スコア:2)
＞川崎市と同様人口が急に増えて事務処理が追い付いていなかったのかなあ。
尼崎市は今年から市民課窓口業務を民間に委託、プライバシー保護に問題あり
https://tokusannmi.exblog.jp/25195522/ [exblog.jp]
尼崎市は市役所本庁、ＪＲ尼崎、阪神尼崎、阪急塚口の各サービスセンターの４カ所の市民課窓口業務を今年２０１６年１月から民間業者に業務委託をしました。委託業者は株式会社パソナ パソナソーシング・尼崎です。すでに昨年１０月から窓口業務の引き継ぎが行われ、今年１月は試行期間、２月から完全移行します。
定番のアウトソースですね
Re:追い付いていない (スコア:1)
>委託者の事業所外でのデータ処理の許可は得ていたものの
最近はマイナンバーで霞んできたが、
以前は住民基本台帳ネットワークシステムの運用が話題にもなってたし、
職員が勝手に住民情報を閲覧して懲戒食らったりするニュースを見て、
なかなか厳重に管理されとるなと思ってたのに、
全市民の住民基本台帳などのデータを委託に出してよいことになってるのに驚いた。
Re:追い付いていない (スコア:1)
よかった。路上で寝ていて無事な尼崎なんてなかったんだ。
＃なにがどう「よかった」か意味不明
桁数開示は本当に大失態なのか (スコア:1)
単語+数字みたいなアホアホパスワードを仮定して辞書攻撃するとしたら、桁数分かったことで1/8くらいに絞り込めるかもしれないけれど（どんぶり勘定）
それでもGPUを8台連結といったお金の力で解決できるレベル
たかだかその程度で危険になる強度は、最初から危険
逆に辞書攻撃も推測も成立しない程度に複雑なパスワードを設定できていたとしたら、総当たりでやるしかないが
12桁以下の可能性というのは要するに13桁の可能性よりオーダーが1つ下がることになるから、桁数では大して絞り込むことはできない
12桁の可能性は13桁の可能性の1/62 つまり1.6%しかないわけだし
ブルートフォースアタックの場合 (スコア:2)
https://twitter.com/sen_u/status/1427538088113283072 [twitter.com]
13桁、数字だけなら4分
英小文字だけなら1年
英大小文字なら1万6000年
英大小文字+数字なら10万年
英大小文字+数字+記号なら200万年
余談だがパスワードには「必ず数字を入れろ」とか「必ず記号を入れろ」とかウザいので桁数を長くすれば数字や記号を入れなくてもいいルールにしてほしい
Re:桁数開示は本当に大失態なのか (スコア:1)
そもそも USB 差したら パスワード入力ウインドウが出てくるモンでもないし。
週刊誌の作文屋さんに「USBやるからお前解いてみろ（暗号方式は秘密）」といいたい。
Re:桁数開示は本当に大失態なのか (スコア:1)
CD-ROM として認識される仕掛けのやつですね。
使い勝手がいいのは分かるけど、安全性が反比例。
Re:桁数開示は本当に大失態なのか (スコア:1)
ぶっちゃけ、Excelファイル + zip かもしれませんなぁ。
と、憶測で叩くのは 週刊誌の記者さんと巨大掲示板の人に任せます。
Re:桁数開示は本当に大失態なのか (スコア:1)
何回か間違えると完全にロックされて初期化ツール使わないと使えなくなるのが普通。
# そうじゃないものにはまだ遭遇したことはない。
仮に漏れたとしたら (スコア:1)
補償はどうなる? やっぱり一人500円なのか。
メルカリも早かったが詐欺も動きが早い (スコア:1)
もうこんなに何件もｗ
USB紛失事案に便乗した詐欺にご注意ください
https://www.city.amagasaki.hyogo.jp/kurashi/ansin/syouhi/1030957.html [hyogo.jp]
USB ! USB ! (スコア:1)
「USB紛失事案」てか。
公用語ではUSBとはUSBメモリを指すらしい
# 「ギガ」とか「wiki」とかも市井での意味が・・・
# てな現象はなにか呼称があるのかしらん
駄目の見本市 (スコア:0)
尼崎市：桁数お漏らししてんじゃねーよ
委託業者：日本ユニシスの名が泣くぜ
メルカリ：存在が害悪消えるべし
Re: (スコア:0)
桁数のおもらしは欺瞞工作だったりして
担当者も担当者なら記者も記者 (スコア:0)
Re:担当者も担当者なら記者も記者 (スコア:3)
いや、政治家の不祥事を記者が問い詰めるのが悪いとも読める書き方をされてるが、「政治家の不祥事を記者が問い詰めるのが悪い事」なのは独裁国家や全体主義国家だけじゃねえの？
Re:担当者も担当者なら記者も記者 (スコア:2)
放送時にカットできないものでしょうかねぇ。
LIVEの放送だって、実際は数秒遅れなんだし。
# 数秒で、その個所をピ～にするのは無理か。
あるいは、本当は短いパスワードだったけど、
示し合わせて〇桁にミスリードしたとか。(無いな...)
Re:担当者も担当者なら記者も記者 (スコア:2)
なるほど、変換に時間が食われているだけなんですね。
勉強になりました。
やらかし (スコア:0)
昔、セキュリティ関連のコンサル会社に商談に行った帰りにそのビル1階の喫茶店に入ったら、レジ横に「忘れ物です」って貼り紙付きで USBメモリが展示してあった。
同僚と「あそこの会社の関係者だったら大問題だよな」って盛り上がった。
情報リテラシー検定 (スコア:0)
情報リテラシー検定1級試験問題
〇今回の事件で関係者が犯した「やってはならない行動」を箇条書きにしてすべて挙げよ（15点）
Re:情報リテラシー検定 (スコア:1)
全てのやってはならない行動を見つけたが、このテキストエリアはそれを書くには狭すぎる。
Re:情報リテラシー検定 (スコア:2)
やってはいけない行動が多過ぎて、全て漏れなくリストアップ出来た場合にたった15点では点数が少な過ぎる。
Re:情報リテラシー検定 (スコア:1)
// 解説するな
ストーリー名！？ (スコア:2)
>「尼崎全市民の個人情報USBメモリが流出。設定されたパスワードの桁数を会見で公表→発見される」
この書き方だとパスワードが発見されたみたい。
USBメモリーが入ったかばんが発見されたってことね。
-- う～ん、バッドノウハウ？
Re:頼もしい味方の登場で (スコア:1)
ただ半田病院と書くと半田市立半田病院 [security.srad.jp]が迷惑してそう・・・。
問題の半田病院 [security.srad.jp]は徳島県とのこと。
Re:頼もしい味方の登場で (スコア:1)
書き込んだら、またリンクが化けた。なぜだ・・・。