Brave groupとグループ会社が実施したオーディションの応募用Googleフォームで、回答内容が第三者に閲覧できる状態になっていました。氏名、都道府県、電話番号、生年月日、使用SNS、志望動機などが対象です。
目次
事故の概要
- 件数
- 不明6月25日の発表で、ぶいすぽっ！JP オーディション約7,000件、Brave group総合オーディション約2,610件、HareVare VLiverオーディション約1,043件。7月2日に、グローバル向けBrave group総合オーディション約2,139件が加わった
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 確定
- 原因
- 設定の誤り
- ドメイン
- bravegroup.co.jp
推奨される対応
株式会社Brave groupからの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいした情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
株式会社Brave groupからの案内を確かめる
個別の連絡と問い合わせ窓口は、会社の発表でご確認ください。
株式会社Brave groupの発表を開くリンク先：bravegroup.co.jp
- STEP 2
ご自身でできる対応
- 1
電話番号・住所が漏えいしたため
不審な電話や SMS、届いた覚えのない郵便物にご注意ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知6/25
- 初動対応6/25
- 公表6/25
- 続報6/26
- 調査結果7/31
- 再発防止策—
検知2024年6月25日
6月18日と25日に、事象に気付いた2名からX公式アカウントのDMのリクエスト欄に問い合わせがありましたが、社内での確認が遅れました。25日17時15分に、問い合わせた1名のX投稿が話題になっていることから、社内で事態が判明しました。
初動対応2024年6月25日
判明後の25日17時50分に、クラウドサービス上のファイルへのアクセス制限を実施し、第三者が編集用URLにアクセスできる状態を解消しました。
公表2024年6月25日
「ぶいすぽっ！JP オーディション」の応募者用Googleフォームの回答が、編集用URLを知る第三者に閲覧できる状態だったと公表しました。同日にBrave group総合オーディションとHareVare VLiverオーディションでも同様の可能性が判明し、件数は約7,000件、約2,610件、約1,043件です。
項目は氏名、都道府県（誤って住所まで入力した人は住所）、電話番号、生年月日、使用SNS、志望動機などで、可能性のある期間は2024年6月4日から25日17時50分です。編集用URLは一般公開されておらず、何らかの形で流出した可能性が高いとし、故意の漏えいや不正アクセスの可能性も含めて調査するとしています。
続報2024年6月26日
漏えいが確認された人に一人ずつメールで連絡するとし、電話番号の変更費用や、住所を書いてしまった人の引っ越し費用などを、認められる範囲で負担する予定と発表しました。同日、漏えいした情報の取り扱いに関するお願いと注意喚起も出しています。
続報2024年6月28日
これまでの概要と対応を整理し、監督官庁に報告したこと、電話番号変更費用や引っ越し費用などを負担する方針を改めて示しました。26日16時30分から17時ごろに対象者へ案内メールを送ったこと、それ以外の日時には問い合わせへの返信以外で個人情報に関する案内は送っていないことを伝え、類似のメールに注意するよう呼びかけています。
続報2024年7月2日
社内の全データを調査した結果、グローバル向けの「Brave group総合オーディション」の応募用Googleフォームでも同様の事象があったと発表しました。閲覧できる状態だった回答は約2,139件で、閲覧できた可能性のある期間は2024年6月4日19時40分から25日17時50分、項目は氏名、居住国、生年月日、使用SNS、志望動機などです。
また「ぶいすぽっ！切り抜き動画」のチャンネル許諾申請用Googleフォームも同じ期間に閲覧できる状態だったことが分かり、個人情報に該当する可能性が高い情報が含まれる申請は2件だったとしています。
調査結果2024年7月31日
外部機関の調査を受けて、原因と影響範囲を発表しました。編集用URLの閲覧範囲が「リンクを知っている全員」になっていたことに加え、2024年6月4日当時にGoogle Formsの予告・通知のない仕様変更により、回答用URLから編集用URLを特定できる手法が存在していた可能性が高いとし、6月4日から25日の間、意図していない外部の第三者が閲覧できる状況だったとしています。
グループ内のGoogleドキュメント全般を外部機関がアクセスログで調べ、第三者からの意図しないアクセスが確認されたのは、既に公表した4つのGoogleフォームだけでした。対策として、グループ内のGoogle Formsの権限を「制限付き」に変更しました。再発防止は2024年9月ごろの完了予定で、共有設定の見直し、個人情報の取り扱いルールの整備、Google Forms以外のサービスの検討などを挙げています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。