パスワードを忘れた? アカウント作成
14268750 story
インターネット

noteで投稿者のIPアドレスが閲覧できる問題が発生。そこから5ちゃんねるなどの書き込みが検索される事態に 90

ストーリー by nagazou
探偵ごっこはほどほどに 部門より
配信サービス「note」は14日、記事投稿者のIPアドレスを第三者がみられるようになっていたと発表した。具体的には、14日午前10時40分に問題を検知、午前10時58分にアクセスを遮断。午前11時56分に応急的な対応をして復旧させたとしている(noteリリースITmedia)。

noteアカウントを保持、二つ以上の記事を投稿したことのあるユーザーが、直近でログインしたIPアドレスが、記事詳細ページのソースコードから確認できる状態だったという。現在は修正済みだとしている。タレコミがあった時点では記載されていなかった、事故の経緯と追加防止策も発表されている。それによると原因は

投稿者のIPアドレスを意図せず露出してしまうコードが残っていました

とのことで、対策として、同様の問題が起きないか調査した上で、対策チームや第三者機関などに依頼した上で再発を防ぐとしている。なお、こうしたIPアドレス流出騒動にありがちな、漏洩したIPアドレスを元にして別の掲示板(5ちゃんねるなど)などで、どの書き込みは誰が行ったかを探る動きも起きている。そちらについてはすでに東スポでも記事化されている(東スポWeb)。

あるAnonymous Coward 曰く、

noteサービスにおいて、記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できてしまう不具合が存在していました。'
...だそうです。

へえ、noteが発表した記事ひとつ読むだけだと原因の説明や今後の再発防止対策の具体的説明無しなんだけど、まあこのっくらいのサービスならいまどきでもまあそんなもんか。

情報元へのリンク

  • by Y-taro (38255) on 2020年08月17日 18時02分 (#3871656)

    マイナー芸能人ならともかく、メジャー芸能人のネット投稿なんて、事務所が管理するものなんじゃないですか。
    というかマイナー芸能人ですらもそういう例を聞きます。

    事務所がタレントに代わりネット投稿し、事務所がファンコミュニティに迷惑行為を諫める投稿を匿名でする。
    ステマの類でないなら、特に問題ないように思います。
    (仮に投稿者が同一だとして)

    ここに返信
  • note社は、

    なお、一般的なIPアドレスから、個人情報を特定することはできません。
    (略)
    IPアドレスとは?
    インターネットでの通信先の情報です。一般的にはIPアドレスは地域や建物、組織で同一の値が共有されます。

    のような言い訳をしていますが、ダイアルアップやパソコン自体がPPPoE接続をするのが一般的だった時代とは異なり、ルーターの電源を入れっぱなしなことが一般的な時代になり、仮にPPPoEで動的にIPアドレスが割り当てられるISPであっても、年単位で同じIPアドレスが使われることもよくあることです。

    IPv4 over IPv6 のゲートウェイが共有IPなのでは? と思う人もいますが、v6プラスやDS-Liteはそう(共有IP)ですけど、Yahoo! BB の IPv6高速ハイブリッド IPv6 IPoE + IPv4 なんかは、解約まで IPv4 グローバルIPアドレスが不変(固定が保証されているわけではないが原則解約しない限り変化しない)で、かつIPアドレスを占有できる仕様(全ポート使用可能)です。

    今回の件で炎上しているとある人物も、IPアドレスが実質固定のISPであって、書き込み内容からもほぼ同一人物と推定可能です。

    # 回線を共有する家族の可能性もないとは言い切れませんが、そういう主張をするならば、裁判所も実務上推定だけで実務上有罪判決なり賠償を命じる判決なりを出してますよ?
    # もし、そういう推定を認めないのならば、家族共有のPCで名誉棄損事件を起こして、家族全員が否認すれば、誰も罪に問われないし賠償責任を負わないことになるので、ブーメランになりますね。

    noteは時代遅れのサービスなので、IPv6非対応ですが、もしIPv6に対応するならばIPv6アドレスの上位半分は、ほぼ全てのISPで完全固定で割り当てられて解約まで変動しないのでもっと保護する必要性が高くなります。
    そもそも、EU 一般データ保護規則(GDPR)ではIPアドレスは個人情報(パーソナルデータ)ですので、いまだにIPアドレスは個人情報でないなどと主張していたら、一生ガラパコスサービスに留まって世界展開などできないでしょうね。

    「IPアドレスでは個人を特定できないので安心してください。建物、組織で同一の値が共有されますし、同じIPアドレスが使いまわされることもあります。」という主張は、
    「住所では個人を特定できないので安心してください。建物、組織で同一の値が共有されますし、引っ越しで第三者が同じ住所を使うこともあります。」と言っているようなものです。

    掲示板のソースにIPアドレスが出力されたりアクセスログを垂れ流しするようなサービスが一般的だった時代は終わっています。IPアドレスは保護する必要がないと思っている老害は考えを改めるべきです。

    ここに返信
    • そう、この件に関してTwitterではIPアドレス割当は変わるからと言ってるのが多いんだけど、
      ネット回線を光回線に変えて以降はほとんど変わったことが無い。

      自分が使ったことのあるプロバイダのフレッツ光、eo光、YahooBB、フレッツの転用系のいずれも
      グローバルIPアドレスの割当なんて数ヶ月から年単位で同じだった。
      ルータをリセットしても変わったことが無い。

      逆に、そんなに頻繁にIPアドレスの割当が変わるプロバイダってどこなんだろうと思う。

      --
      --------------------
      /* SHADOWFIRE */
    • 固定IPアドレスを持ってる個人はWhoisに名前や連絡先電話番号が載っているので、容易に個人情報になる危険物として隔離しておかないと運営面で危険かなと。

      データ開示に伴うリスクを理解せず出力してた辺り、他の個人情報のアクセス権とか適切に設計されてるか不安になる案件。

      --
      私を信じないで、貴方を裏切ってしまうから。
    • 日本はGDPRの十分性認定受けているので、EU圏から日本に移管したデータのうちGDPRが保護を要求する項目は日本の法律でも保護対象になる
      (少なくとも総務省はそういう前提で欧州委員会と交渉したはず)
      当然だけど個人情報保護法には日本人とEU民の個人情報を区別する規定はない
      なのでサーバーに記録されたIPアドレスは日本でも個人情報として扱われる可能性が高いのでは?

    • GDPRをクソまじめに解釈すると、こう言わなきゃいかんのか?
      ・本サイトはIPアドレスを取得します。
      ・期間: TCPがクローズするまで。
      ・使用目的: TCPパケットを返送するため。

      問題はこれをどうやって通知するかだな。

    • >> 一般的なIPアドレスから、個人情報を特定することはできません。
      GDPR的には、個人を「特定」できなくても、個人を「識別」できる情報であれば保護対象です。
      なので、IPアドレスは余裕でアウト。(親コメも言ってるようにIPアドレスは条文にも明記されてる。)

      GDPRだと、↓も保護対象になるので、世界展開するまでもなく、日本人を対象としたサービスであっても逃れられない。
      > 短期出張や短期旅行でEEA内に所在する日本人の個人データを日本に移転する場合
      > 日本企業から EEA内に出向した従業員の情報(元は日本から EEA内に移転した情報)
      http://www.intellilink.co.jp/article/column/security-gdpr01.html [intellilink.co.jp]

      ついでにいうと、GDPRだと情報漏洩が発生した場合、発覚から72時間以内に監督機関に通報する義務がある。
      noteは、個人情報は漏洩してないと強弁してるわけだし、通報してないのだろうけど、下手すれば制裁金対象になる。

    • そもそも個人情報保護法でいう「個人情報」とは

      一 当該情報に含まれる氏名、生年月日その他の記述等(文書、図画若しくは電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。)で作られる記録をいう。第十八条第二項において同じ。)に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項(個人識別符号を除く。)をいう。以下同じ。)により特定の個人を識別することができるもの他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
      二 個人識別符号が含まれるもの

      であるので、noteからすれば、GDPRなんか持ち出さなくても、当該IPアドレスは(個人情報保護法上の)個人情報です。
      noteもそのことはわかっているようで、個人情報ではない、とは一言も言っていません。

      さらに、「IPアドレスで特定個人の住所など個人情報を入手することはできません」「IPアドレスを利用して他のサイトにアクセスした履歴が本人だと断定することはできません」と書いてありますが、
      IPアドレス単体と、住所など個人情報が直接、確実に結びつくことを否定しているのであって、
      IPアドレスと他の情報から個人情報を推論することについては言及を避けて騙しているようにも見えます。

    • by Anonymous Coward

      >家族全員が否認すれば、誰も罪に問われないし賠償責任を負わないことになるので
      そんな寝言を言うようなら刑事の名誉棄損にして特定するまででは。PCも押収できますし。そうなれば前科もつきますね。
      冤罪ならともかくそこまで突っ張るバカっているんだろうか。普通は民事で済んでるうちに示談にするでしょ。

      • by Anonymous Coward

        PCを押収したところで「家族共有のPCで名誉棄損事件を起こして、家族全員が否認」するケースで、誰が名誉棄損したかどうやって特定するの?

        指紋? 家族共有のPCなら全員の指紋が付いてて当然
        アカウント? 家族共有のPCなら「一般的な」家庭ならばアカウントは全員で使いまわしだろう

        全員が否認続けていたら結局約20日拘留→不起訴 で終わるだろうね

        • by Anonymous Coward

          つまりこういうこと [gigazine.net]ですか?よくわかりませんが。

        • by Anonymous Coward

          書き込みがあった時刻に何してたかとか聞かれるだろうし、黙秘やすっとぼけるだけじゃなかなか厳しいのでは。
          まぁ俺が名誉棄損された側だとしたら、不起訴になってもおまえらDQN家族が20日拘留されてこってり絞られただけで大満足だがなw

          • 元コメの20日拘留とか、公安がよっぽど必死になる事件じゃないと有り得ないからw
            警察も検察も名誉棄損なんて民事で争うべきものだと内心思ってるから否認なら書類送検からの不起訴で終了だよ。
            わざわざ手間と費用かけて長期拘留なんて面倒なことはしない。
            過去の事例調べれば、名誉棄損が刑事で争われることなんて滅多にないことが良く分かるぞ。

  • by Anonymous Coward on 2020年08月17日 18時46分 (#3871691)

    192.168.0.1から書き込んだのがバレてしまうじゃないかっ!!!

    ここに返信
  • by Anonymous Coward on 2020年08月17日 17時15分 (#3871615)

    コンテンツ取得時のWebAPIのレスポンスにIPアドレスが含まれていたようですね。何に使うつもりでレスポンスに入れてたんだろうか。

    ここに返信
    • by Anonymous Coward on 2020年08月17日 19時08分 (#3871704)

      IPアドレスが記事のHTMLソースのJavascript部分にベタ書きされたJSONに含まれていたのをWebAPIのレスポンスに含まれていたとは言わないんじゃない? ああ、でもスマートフォン向け公式アプリで使ってるWebAPIがあるはずだからそっちは見てないな。いずれにせよ話題になったのはブラウザ版の方だよ。

      ..."ListItem",9,"anote_PR","published","Note","like_20","ご購入いただきありがとうございます。ごゆっくりお楽しみください!","https","@note_PR",8098180150,"mu.note","http:\u002F\u002Fschema.org","2020-08-17T12:00:00.000+09:00","https:\u002F\u002Fnote.com\u002Fnote_PR","ImageObject", ...

      といった感じでデータベースの中身をそのままJSONに全部吐き出してるので何も考えていなかったんでしょう。
      あるいは全部吐き出す仕様を失念したまま投稿時のIPアドレスをデータベースに格納する仕様を追加した、とか。

  • by Anonymous Coward on 2020年08月17日 17時28分 (#3871627)

    編集者の人は、コメント書き込み元IPアドレスを気軽に閲覧できるよ。

    ここに返信
    • by Anonymous Coward on 2020年08月17日 17時50分 (#3871645)

      銀行員の人は、資金振り込み元カナ氏名・金額を気軽に閲覧できるよ。

      # といっているようなもんなのだが、何故プラスモデ?

      • by Anonymous Coward

        そりゃ業務上必要だし、銀行員の人は守秘義務契約もあるから。
        ぜんぜん違うものを比べてどうするの?

        • by Anonymous Coward on 2020年08月17日 18時13分 (#3871670)

          > 業務上必要だし、
          投稿元のIPアドレスの記録は業務上必要だし、

          > 銀行員の人は守秘義務契約もあるから。
          編集者の人(OSDN社の社員)は守秘義務契約もあるから。

          と、2点とも、スラドの編集者でも全く同じなんだが。

          中小企業だろうと守秘義務契約が無い労働者など皆無だぞ。
          働いたことない人には分からないかもしれないが、労働契約書には「業務上知り得た情報を、会社に無断で第三者に提供したり開示したりしてはならない。ただし法律上認められている場合や正当な権利行使に必要な場合、守秘義務契約を結んだ弁護士・税理士等に開示する場合は除く。」みたいな定型文が必ずと言ってもいいほど入っている。

          当たり前だが、編集者が勝手にIPアドレスを公開するのは、自身が犯罪被害に遭って裁判の証拠とする必要があるような特殊なケースを除いては正当な理由とは認められない。

          • by Anonymous Coward on 2020年08月17日 20時26分 (#3871747)

            >働いたことない人には分からないかもしれないが、労働契約書には「業務上知り得た情報を、会社に無断で第三者に提供したり開示したりしてはならない。ただし法律上認められている場合や正当な権利行使に必要な場合、守秘義務契約を結んだ弁護士・税理士等に開示する場合は除く。」みたいな定型文が必ずと言ってもいいほど入っている。

            いや、働いている人も分かっていない人がいるんだよ現実には。(そして、法律オタクの方が、こういうことに詳しい。)
            未だに、CCとBCCの間違いでメールアドレス流出事故が無くならない程度には、理解が進んでいない。
            それでも、大概がうまくいっているのは(これは)懲戒解雇になると分かっている(前例を見届けたことがある)からだろう。(ただ、新聞等の接触時間が減少しているためか若年層の理解がここ最近異常に低下している懸念を持つ。)

            コンピュータの動作原理を理解していなくてもコンピュータは使えるように、労働法、労働契約を理解していなくても労働が可能なんですよ、現実は。つまり契約書とは残念ながらトラブル起きたときの民事訴訟の用の文句でしかない。
            世の中、小学生卒業に達しない水準の人がいる。そういう人を使ったり、使われたり、関わったりする。それでも、戦時中戦後に教育を受ける機会を奪われた当時の子供よりも(世代的に)恵まれている。他人の頭の悪さに対して憐れみを持ちなさい。自分はその人よりも恵まれて育ったのだと。

            あと、その定型文の文言だと、たとえば、コンビニ店員が客に好意を持って配達伝票等から自宅やら電話番号やらを知って(略)に対応できない。恋は盲目と言うが店員には「神が与えた機会」ということらしい。(枝葉末節ですね・・・。)

            >編集者の人(OSDN社の社員)は守秘義務契約もあるから。

            https://appirits.com/ [appirits.com] です。いい加減覚えてあげようよ。かわいそうだよ。

          • by Anonymous Coward

            IPアドレスの公開まではしてないけど、複数の書き込み(SPAMではない)を同一IPとバラしてる編集者はいたね。

        • by Anonymous Coward on 2020年08月17日 18時12分 (#3871669)

          裁判所から書き込んだIPアドレス提出しろと言われたら出さなきゃいけないので、業務上必要なのはここでも同じなんだけど
          なんで違うと思ったの

          • by Anonymous Coward

            > 気軽に閲覧できるよ。
            (という妄想)が根底にあるから

            • by Anonymous Coward

              気軽に閲覧は出来るっしょ。ユーザー投稿系のサイトなら別にスラドに限らずどこでも。
              だからと言って、普通それを悪用したりしないのでそれ自体は別に問題にならない。

        • by Anonymous Coward

          なるほど。スラドの編集はIPアドレス眺めてニマニマするだけじゃなくて
          何の契約も義務もなく自由に私的利用してますよ、と。

      • by Anonymous Coward

        スラドでのIPと、法律や内規で厳密に取り扱いが定められている銀行と同一視するこのコメントがプラスモデなのは理解できない。
        気軽に閲覧したのが明らかになったら、普通は懲戒免職。

        • by Anonymous Coward on 2020年08月17日 20時17分 (#3871740)

          み○ほ銀行とか、保険金の受取その他で数百万以上の入金があると営業電話かかってくるぞ
          営業担当の人は取引履歴まで把握してるようだから営業相手探す程度の理由で閲覧できるわけで「気軽に閲覧したのが明らかになったら、普通は懲戒免職」なんて有り得ん
          そりゃ第三者に漏らしたら駄目だけど、閲覧ぐらいどんどんやってかなきゃ営業できないだろ

    • by Anonymous Coward

      まさか会社の生IPで書き込むやつは居ないだろう

    • ACでhylon馬頭してたのがバレバレだったのか。
      まああの人はそういうコメント多そうだから、自分のは埋もれているだろうけど…

    • by Anonymous Coward

      閲覧できたからなんだとは思うけどね。その情報を使えば自分の首が締まるのは間違いないんだから。

    • by Anonymous Coward

      閲覧できるなら自動(プラスモデ|マイナスモデ)もできるよね〜

typodupeerror

犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー

読み込み中...