SECCON実行委員会が主催する「CTF for Girls」の予選会の申込みに使ったGoogleフォームの権限が「リンクを知っている全員」になっており、申込者26名の個人情報が閲覧可能な状態になっていました。外部からの攻撃ではなく、運用設定時の人為的ミスによるものとしています。
目次
事故の概要
- 組織
- 特定非営利活動法人日本ネットワークセキュリティ協会この組織の事故はほかに1件
- 漏えいしたおそれがある情報
- 氏名（ローマ字）、メールアドレス、Beginners CTFで登録したチーム名、国籍（日本国籍か否か）、国内在住か国外在住か、年齢区分、イベント参加可否に関する回答
- 件数
- 26件予選会申込サイトを利用した26名
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 可能性あり
- 原因
- 設定の誤り
- ドメイン
- jnsa.org
推奨される対応
特定非営利活動法人日本ネットワークセキュリティ協会からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいしたおそれがある情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
特定非営利活動法人日本ネットワークセキュリティ協会からの案内を確かめる
個別の連絡と問い合わせ窓口は、会社の発表でご確認ください。
特定非営利活動法人日本ネットワークセキュリティ協会の発表を開くリンク先：jnsa.org
- STEP 2
ご自身でできる対応
- 1
メールアドレスが漏えいしたおそれがあるため
この会社を名乗るメールのリンクは開かず、公式サイトから内容をご確認ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知6/19
- 初動対応—
- 公表6/26
- 調査結果—
- 再発防止策—
検知2024年6月19日
6月19日9時36分に外部からの指摘で事象が発覚し、同日13時19分にフォームの権限を変更して外部から閲覧できないことを確認しました。
公表2024年6月26日
日本ネットワークセキュリティ協会は、SECCON実行委員会が主催するCTF for Girlsのイベント（Kunoichi Cyber Game 予選会）の申込サイトで、申込者の個人情報が閲覧可能な状態だったと公表しました。5月31日14時46分から6月19日13時19分までの間、予選会申込の編集用ページにアクセスできる状態で、対象は26名です。閲覧可能だった情報は、氏名（ローマ字）、メールアドレス、別イベントで登録したチーム名、国籍（日本国籍か否か）、国内在住か国外在住か、年齢の条件に当たるかなどです。
原因は、Googleフォームのアクセス範囲と編集権限を「リンクを知っている全員」と設定したことで、Googleアカウントでログインした状態で「最近使用したフォーム」から編集画面に移動できたことです。主催者以外が申込者情報をダウンロードしたログはなく、不正使用の事実は確認されていないとしています。
6月20日に参加登録者全員へ謝罪と対応状況を連絡し、6月24日に個人情報保護委員会へ報告しました。再発防止として、リンクを知っている全員への設定をポリシーで禁止するなどの対応をとります。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。