Meow Attack（ニャー攻撃）で稼働中WebアプリのAWS S3保存画像を全削除されてしまった… - あなたとあなたの話がしたい

突然S3の画像がすべて削除された 自作のRailsアプリの短歌投稿サイトUtakataをいつものように眺めていたら、一部のユーザーのアイコンが表示されていないことに気づいた。もしやと思ってブラウザのキャッシュをクリアしてみたら、すべてのユーザーのアイコン画像がリンク切れになっていた。 当初はライブラリの問題かと思ったけれど、念の為AWSにログインしてS3のバケットを見てみたら、なんと最近アップロードされた不審なindex.htmlを残してすべての画像ファイルが削除されていた。 明らかに第三者から悪意のある攻撃を受けている事態に頭が真っ白になりそうだったけれど、取り敢えずAWSアカウントのパスワードを変えてからindex.htmlのソースをチェックし、危険性がないことを確認してから開いてみた。 猫のキャラクター画像に謎の文字列が羅列され、meow（ニャー、猫の鳴き声）。 HTMLファイルのソ

[fuyu77]

書いた。

[rAdio]

権限設定の絞り込みとか、バージョニング、バックアップなどの設定は、「動いた！」の感動で失念の彼方へと追いやられることが多いので、なかなかに厄介。

[bungoume]

このケースだと書換とはいえ他人の認証情報を使うことなく許可された操作をしているだけだし、違法性は問えないのではないかな？ (追記)意図的なら電子計算機損壊等業務妨害になるのか。

[Falky]

明示的に許可された操作をしているに過ぎないけど、お説教をするくらいなので、それが意図的な設定でないことは気付いているわけで…作者の過失もあれど、これ自体は違法ってことになるんじゃないですかねえ。

[sisya]

20年前なら親切と言われていそうな話。迷惑なのだが、もっと深刻な事態になるよりは何百倍もましという。何度も言うが迷惑ではあるのだが。

[gabill]

追記で犯人からの謝罪。

[ni_haru]

本題と 関係ないけど このサイト 縦書き表示が 面白いわね

[DustOfHuman]

S3のバケットってEBSのスナップショットみたいなやつないんですかね……定期的にバッチ流してバックアップ取るしかない？

[zuzu_sion]

書き込み権限がEveryoneだからといって、第3者が意図的に書き換えるのは違法では？　高木浩光先生の召還案件では？

[yarumato]

“該当ドキュメントにやるなと書いてあるS3の設定「書き込み アクセスを Everyone グループに許可」をしていた初歩的なミス。単なるHTTPリクエストで画像のアップロード、削除ができる。いたずら以上の悪意はないようだ”

[mandel59]

電子計算機損壊等業務妨害罪

[theatrical]

awsに報告しているのかな。文章読むと大した被害じゃないし、まぁいっかと言う感じてそうな気もするが

[kinaco68]

悪戯とはいえ、恐ろしい敵ですね。犯罪者の分際で説教風味を醸し出してるのがまた腹立つ。ネコはかわいい

[jida43456]

悪戯で人の物を消す人がいるんですね。