B
今週中
愛知県都市整備協会が主催するイベントの申込ページにおいて、設定ミスにより申込者の個人情報が他の申込者から閲覧可能な状態になっていたこと
📌 一言でいうと
愛知県都市整備協会が主催するイベントの申込ページにおいて、設定ミスにより申込者の個人情報が他の申込者から閲覧可能な状態になっていたことが判明しました。流出した情報は、申込者57名の氏名、電話番号、メールアドレス、および同行参加者72名の氏名です。問題は申込者からの指摘で発覚し、現在は修正され、対象者への謝罪が行われています。
ℹ️ これは他社で発生した事案の情報です。貴社が当該サービスを利用していない場合は、参考情報としてご確認ください。同様の攻撃手法に対する備えのきっかけとしてもご活用いただけます。
🔍該当判定
- GoogleフォームやMicrosoft Formsなどで、イベントやアンケートの申込受付を行っている
- 外部のフォーム作成ツール（kintone, フォームメーラー等）で、回答一覧ページを公開設定にしている
- 自社サイトに設置した申込フォームの「回答確認画面」や「管理画面」が、ログインなしで閲覧できる状態にある
- 申込者の氏名・電話番号・メールアドレスを収集し、それを社外の共有ツールで管理している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Webフォームや公開ページを構築する際は、権限設定や公開範囲のデフォルト設定を十分に確認し、公開前に第三者による検証を行うことを推奨します。