ロゴ画像用の公開領域に顧客ファイルも保存　GMO系シングルサインオン、4.5万人分漏えい

“顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていたことで、約9年間にわたり外部から取得できる状態だったことが原因”

記事中の「これから実施する対策」のところを読んでほしい。。　いくらなんでもひどすぎる。。。当たり前オブ当たり前のことやってなかったってことだよね。。。

S3バケットの使い方/管理ポリシーが知らんうちに変わってしまうのまあまああるあるではある。こういうのどう防げばいいんだろうなあ

「顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていた」百歩譲って、誤ってそこに置いていた、なら理解できるが、「設計になっていた」ってどゆこと？ さすがに擁護できない。

これはもうGMOなんて使うなが正解になりそうね

社長の記者会見に向けてどんどん燃料を注いでいくスタイル

そゆこと？！

“同社はイエラエを「外部専門機関」としているが、同じGMOグループだ。”ITメディアさん真顔のツッコミ

9年間も放置されてたとかガバガバすぎて草。ロゴと同じバケットに入れるの怖すぎるだろ

やべえ。なんか面倒な検査指示が押し寄せそう。

漏洩というか公開してたんじゃない？

そんなもん、北朝鮮の国家レベルのハッカーどころか、そこらの中学生が拾ったツール使うだけで突破できるんじゃねえの？

GMOの雑さを考えると単一組織だけが侵入していたとは思えないな。ニュース見てるとわざわざクラッキングしなくても最初から「どうぞいらっしゃいませ」なドでかいクラックが見えてたようなものって感じだし。

外部機関と言ったり、社内の「ホワイトハッカー」と言ったり適当な言い回しで煙に巻けると思ってる社長。ISO、WebTrust、ISMAP、JIIMAなどの公的認証取り消しになるレベルの話では？

下痢みたいに出てる

BIMIレコードの登録先 https://globalsign.com/bimi/～ にDBファイル置いてたってこと?

“原因は、2017年11月14日ごろ、ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変更したこと。”

「顧客情報を含む一時ファイルなどを〜公開領域に保存する設計」とか、研修後半年の新人でもしない。レビュー品質も低過ぎ。コードしかレビューしてない？開発プロセスの問題で、他サービスの品質も疑われるレベル。

いろんな事実が発覚しますなあ。

「漏らした」というより「出した」。「攻撃された」というより「見つけてもらった」。こわ。