“顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていたことで、約9年間にわたり外部から取得できる状態だったことが原因”
記事中の「これから実施する対策」のところを読んでほしい。。 いくらなんでもひどすぎる。。。当たり前オブ当たり前のことやってなかったってことだよね。。。
S3バケットの使い方/管理ポリシーが知らんうちに変わってしまうのまあまああるあるではある。こういうのどう防げばいいんだろうなあ
「顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていた」百歩譲って、誤ってそこに置いていた、なら理解できるが、「設計になっていた」ってどゆこと？ さすがに擁護できない。
これはもうGMOなんて使うなが正解になりそうね
社長の記者会見に向けてどんどん燃料を注いでいくスタイル
そゆこと？！
“同社はイエラエを「外部専門機関」としているが、同じGMOグループだ。”ITメディアさん真顔のツッコミ
9年間も放置されてたとかガバガバすぎて草。ロゴと同じバケットに入れるの怖すぎるだろ
やべえ。なんか面倒な検査指示が押し寄せそう。
漏洩というか公開してたんじゃない？
そんなもん、北朝鮮の国家レベルのハッカーどころか、そこらの中学生が拾ったツール使うだけで突破できるんじゃねえの？
GMOの雑さを考えると単一組織だけが侵入していたとは思えないな。ニュース見てるとわざわざクラッキングしなくても最初から「どうぞいらっしゃいませ」なドでかいクラックが見えてたようなものって感じだし。
外部機関と言ったり、社内の「ホワイトハッカー」と言ったり適当な言い回しで煙に巻けると思ってる社長。ISO、WebTrust、ISMAP、JIIMAなどの公的認証取り消しになるレベルの話では？
下痢みたいに出てる
BIMIレコードの登録先 https://globalsign.com/bimi/～ にDBファイル置いてたってこと?
“原因は、2017年11月14日ごろ、ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変更したこと。”
「顧客情報を含む一時ファイルなどを〜公開領域に保存する設計」とか、研修後半年の新人でもしない。レビュー品質も低過ぎ。コードしかレビューしてない？開発プロセスの問題で、他サービスの品質も疑われるレベル。
いろんな事実が発覚しますなあ。
「漏らした」というより「出した」。「攻撃された」というより「見つけてもらった」。こわ。
トラストとは…「ロゴ画像のところに顧客ファイル置いたろ！」
"顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていたことで、約9年間にわたり外部から取得できる状態だった" 一周回って面白い言うとでも思ったか。URL推測できないからヨシ！
うわぁ…
“同社はイエラエを「外部専門機関」としているが、同じGMOグループだ”
wgetチューできるように置いてたファイルを「盗まれた」言うてたのか
エントランスに剥き出しの貴重品置いてあるくらいのガバ
シングルサインオン
パッチ的改修する場合に起こりがちではある。昔はtmp結構UNIXでも雑だったし。／一時ファイル置き場ほど、本来権限ガチガチにしていいのよね。。。
かつてのホームページ作成者はindex.htmを置いたフォルダに、こっそりと隠しファイルを置くくらいのことはしましたけどねえ
これは“渋谷のITベンチャー”一体の信頼にもかかわるのでは？🤭
グレート（G)・モレモレ（M)・オーガニゼーション（O)
ホワイトハッカーとやらのモチベが良く保てるな
こんだけ大きな会社ならまともなエンジニアも必ずいるはずなのに、どうしてここまでひどいことになるのか。
よく公表したな。こんな「設計」が通るような組織ってプロセスが死んでいるよね、もみ消さずによく正直に公表しようという動きが出来たね
ファイル名ランダムなら公開領域に置いといてもそうは問題ならんやろ…と思ったけど、もしかして、/customer/ みたいなディレクトリを掘ってApacheのIndexesを有効にしていたとか？・・・ハハハ、まさかね。
全然、トラストじゃねえなw
これまでの不備を並べてみると、全社的にセキュリティに対してリソースはかけないという強い意思があったのは想像できる
よくわかりませんが、GMOが意図的に流出できるよう配置したと受け取られてもおかしくなさそうに聞こえます
そういう場所って大体CDNなんじゃ
もはや、まだまともと言える点はもみ消さずに公表したという点くらいしかない。
逆に何があったらこの先GMOのサービスを使おうと思う？
それは設計ではない。
これは酷い。社内でも、もうそのまま公表するよりなかったんだろうな。嘘ついて「公開されていた情報を拾っただけだ」と言われたら、言い訳できないものな。
10万行書く前にAIで現状をチェックすべきだったな
シングルサインオンサービスでの情報漏洩て一番あかんとこやん
/var/www/htdocs/data/customer.csv 的な設計で https://gmo.com/data/customer.csv って感じてアクセスされたってことやん？ アホやん？ こんな設計しちゃダメよって一番最初に言われるヤツやんw
ホワイトハッカーが本当に社内に存在しているなら、そいつのライフはもうゼロのはず。屈辱が過ぎる。
解約祭りかなあこれは。SSLマジでどうしよ。
このやらかしに比べたら今の自分はマシだと思え…ないな
全世界に向けて公開していたのだから持ち出しても電磁的記録不正作出罪には一切抵触しない。最初から公開されていたのだから再配布して訴えられても勝てそう。
ここだけ20世紀のインターネッツです！
不正アクセスした奴らはそんな情報拾って脅してたのか…と思ったけどこれ別件なのか。
「G：画像と M：名簿を O：同じところに置く」なるほど、社名に脆弱性のヒントがあったのね
薄暗い部屋で世界地図が表示されたモニタの前でイキって見せてたGMOのサイバーセキュリティーチームのホワイトハッカーさんたちは恥ずかしくて顔から火が出てるんじゃないのかな？その火力で発電できないだろうか
グランドヤバスwww
ロゴ配信用の公開領域に、一括操作で生じる顧客ファイルまで保存されていた。診断はアプリとサーバーに限られ、ストレージは対象外。認証の強さだけで安心せず、生成ファイルの保存先と公開範囲を追って確かめたい。
それなりに大手IT企業なんだろうけど、なんでこんなにレベル低い感じなのか⋯
情報漏洩というより情報公開という感じか。サイバーノーガード戦法だorz
とりあえずグループのISMSは返上するよね？
GMOのおもらし今何件目だろ…
すごい
漏らすことに寛大なブクマカも引くレベル
30年前の牧歌的だったインターネットならよくある風景。当時は何でもガバガバだった
社長の会見見たけどクソ白々しいセリフをよく言えるよなと思う。
「ファイル一覧を参照すれば」普通一覧出来るようにしないよ
脱力するレベルのガバガバ具合／GMO以外に移転しなくては！
公開領域において置いたら公開しているということじゃね？過失であってもなぁ。見せちゃ行けないものをどうぞ見てくださいなんだから、見た人を加害者といわないで、GMOが公然なんとか罪とか陳列罪？の方が良くね？
攻撃というには正規ルート経由で情報抜かれてるのばっかじゃねーか
ピカソが子供の絵を良いものだとしたみたいに、プロも規模が大きくなったりレベルがあがったりするとアマチュアみたいになるものなんですか？
古のフリー・ホームページ・サービスに素人がFTPでディレクトリ分けしてたのと変わんないじゃないですか・・・
ロゴ画像用の公開領域に顧客ファイルも保存 GMO系シングルサインオン、4.5万人分漏えい
“顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていたことで、約9年間にわたり外部から取得できる状態だったことが原因”
記事中の「これから実施する対策」のところを読んでほしい。。 いくらなんでもひどすぎる。。。当たり前オブ当たり前のことやってなかったってことだよね。。。
S3バケットの使い方/管理ポリシーが知らんうちに変わってしまうのまあまああるあるではある。こういうのどう防げばいいんだろうなあ
「顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていた」百歩譲って、誤ってそこに置いていた、なら理解できるが、「設計になっていた」ってどゆこと？ さすがに擁護できない。
これはもうGMOなんて使うなが正解になりそうね
社長の記者会見に向けてどんどん燃料を注いでいくスタイル
そゆこと？！
“同社はイエラエを「外部専門機関」としているが、同じGMOグループだ。”ITメディアさん真顔のツッコミ
9年間も放置されてたとかガバガバすぎて草。ロゴと同じバケットに入れるの怖すぎるだろ
やべえ。なんか面倒な検査指示が押し寄せそう。
漏洩というか公開してたんじゃない？
そんなもん、北朝鮮の国家レベルのハッカーどころか、そこらの中学生が拾ったツール使うだけで突破できるんじゃねえの？
GMOの雑さを考えると単一組織だけが侵入していたとは思えないな。ニュース見てるとわざわざクラッキングしなくても最初から「どうぞいらっしゃいませ」なドでかいクラックが見えてたようなものって感じだし。
外部機関と言ったり、社内の「ホワイトハッカー」と言ったり適当な言い回しで煙に巻けると思ってる社長。ISO、WebTrust、ISMAP、JIIMAなどの公的認証取り消しになるレベルの話では？
下痢みたいに出てる
BIMIレコードの登録先 https://globalsign.com/bimi/～ にDBファイル置いてたってこと?
“原因は、2017年11月14日ごろ、ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変更したこと。”
「顧客情報を含む一時ファイルなどを〜公開領域に保存する設計」とか、研修後半年の新人でもしない。レビュー品質も低過ぎ。コードしかレビューしてない？開発プロセスの問題で、他サービスの品質も疑われるレベル。
いろんな事実が発覚しますなあ。
「漏らした」というより「出した」。「攻撃された」というより「見つけてもらった」。こわ。
トラストとは…「ロゴ画像のところに顧客ファイル置いたろ！」
"顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていたことで、約9年間にわたり外部から取得できる状態だった" 一周回って面白い言うとでも思ったか。URL推測できないからヨシ！
うわぁ…
“同社はイエラエを「外部専門機関」としているが、同じGMOグループだ”
wgetチューできるように置いてたファイルを「盗まれた」言うてたのか
エントランスに剥き出しの貴重品置いてあるくらいのガバ
シングルサインオン
パッチ的改修する場合に起こりがちではある。昔はtmp結構UNIXでも雑だったし。／一時ファイル置き場ほど、本来権限ガチガチにしていいのよね。。。
かつてのホームページ作成者はindex.htmを置いたフォルダに、こっそりと隠しファイルを置くくらいのことはしましたけどねえ
これは“渋谷のITベンチャー”一体の信頼にもかかわるのでは？🤭
グレート（G)・モレモレ（M)・オーガニゼーション（O)
ホワイトハッカーとやらのモチベが良く保てるな
こんだけ大きな会社ならまともなエンジニアも必ずいるはずなのに、どうしてここまでひどいことになるのか。
よく公表したな。こんな「設計」が通るような組織ってプロセスが死んでいるよね、もみ消さずによく正直に公表しようという動きが出来たね
ファイル名ランダムなら公開領域に置いといてもそうは問題ならんやろ…と思ったけど、もしかして、/customer/ みたいなディレクトリを掘ってApacheのIndexesを有効にしていたとか？・・・ハハハ、まさかね。
全然、トラストじゃねえなw
これまでの不備を並べてみると、全社的にセキュリティに対してリソースはかけないという強い意思があったのは想像できる
よくわかりませんが、GMOが意図的に流出できるよう配置したと受け取られてもおかしくなさそうに聞こえます
そういう場所って大体CDNなんじゃ
もはや、まだまともと言える点はもみ消さずに公表したという点くらいしかない。
逆に何があったらこの先GMOのサービスを使おうと思う？
それは設計ではない。
これは酷い。社内でも、もうそのまま公表するよりなかったんだろうな。嘘ついて「公開されていた情報を拾っただけだ」と言われたら、言い訳できないものな。
10万行書く前にAIで現状をチェックすべきだったな
シングルサインオンサービスでの情報漏洩て一番あかんとこやん
/var/www/htdocs/data/customer.csv 的な設計で https://gmo.com/data/customer.csv って感じてアクセスされたってことやん？ アホやん？ こんな設計しちゃダメよって一番最初に言われるヤツやんw
ホワイトハッカーが本当に社内に存在しているなら、そいつのライフはもうゼロのはず。屈辱が過ぎる。
解約祭りかなあこれは。SSLマジでどうしよ。
このやらかしに比べたら今の自分はマシだと思え…ないな
全世界に向けて公開していたのだから持ち出しても電磁的記録不正作出罪には一切抵触しない。最初から公開されていたのだから再配布して訴えられても勝てそう。
ここだけ20世紀のインターネッツです！
不正アクセスした奴らはそんな情報拾って脅してたのか…と思ったけどこれ別件なのか。
「G：画像と M：名簿を O：同じところに置く」なるほど、社名に脆弱性のヒントがあったのね
薄暗い部屋で世界地図が表示されたモニタの前でイキって見せてたGMOのサイバーセキュリティーチームのホワイトハッカーさんたちは恥ずかしくて顔から火が出てるんじゃないのかな？その火力で発電できないだろうか
グランドヤバスwww
ロゴ配信用の公開領域に、一括操作で生じる顧客ファイルまで保存されていた。診断はアプリとサーバーに限られ、ストレージは対象外。認証の強さだけで安心せず、生成ファイルの保存先と公開範囲を追って確かめたい。
それなりに大手IT企業なんだろうけど、なんでこんなにレベル低い感じなのか⋯
情報漏洩というより情報公開という感じか。サイバーノーガード戦法だorz
とりあえずグループのISMSは返上するよね？
GMOのおもらし今何件目だろ…
すごい
漏らすことに寛大なブクマカも引くレベル
30年前の牧歌的だったインターネットならよくある風景。当時は何でもガバガバだった
社長の会見見たけどクソ白々しいセリフをよく言えるよなと思う。
「ファイル一覧を参照すれば」普通一覧出来るようにしないよ
脱力するレベルのガバガバ具合／GMO以外に移転しなくては！
公開領域において置いたら公開しているということじゃね？過失であってもなぁ。見せちゃ行けないものをどうぞ見てくださいなんだから、見た人を加害者といわないで、GMOが公然なんとか罪とか陳列罪？の方が良くね？
攻撃というには正規ルート経由で情報抜かれてるのばっかじゃねーか
ピカソが子供の絵を良いものだとしたみたいに、プロも規模が大きくなったりレベルがあがったりするとアマチュアみたいになるものなんですか？
古のフリー・ホームページ・サービスに素人がFTPでディレクトリ分けしてたのと変わんないじゃないですか・・・