【再発防止策】IPアドレスが外部から確認できた事態について｜note株式会社

8月14日(金)にお知らせしました、noteサービスにおいて記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できてしまっていた不具合について、経緯および今後の再発防止策をご報告いたします。 改めて、みなさまの大切な情報をお預かりしているサービスにも関わらず、IPアドレスが閲覧できる状態だったこと、そして、みなさまに大きな不安や疑念を感じさせてしまったことについて、深くお詫び申し上げます。 原因及び再発防止策について 原因 投稿者のIPアドレスを意図せず露出してしまうコードが残っていました 対策 ・全ソースコードに対して、IPアドレス及びそれ以外のセンシティブな情報が露出するような同様の欠陥がないことを調査し、さらに対応するデータベースからIPアドレスのデータを削除しました ・CEO、CTO直轄の特別対策チームを結成して、直接の対策と構造的な課題や開発体制までを含めた徹底的な見

[yasu-log]

「センシティブな情報が露出するような同様の欠陥がないことを調査し」とありますが、APIから本人しか知り得ない「下書きの数」とかみれます。大丈夫かしら？ → https://note.com/api/v1/notes/{記事ID} ※追記:修正されました

[evergreeen]

なんだかなあ。テック企業ではない。IPアドレスの説明をノートンのブログに頼っているのも謎。

[dagama]

IPアドレスが漏れたことによって、確定情報ではないにしろそれに紐づく情報が引けるようになったわけで、IPアドレス「単体」の問題ではない

[nerimarina]

“クリエイターのみなさまへ” って途中で出てきたんだけど、今までの文章は誰宛だったの！？ってびっくりしちゃった

[kuzumimizuku]

個人的には、漏れてたのがIPアドレスだけなのが事実なら、仕様上外の挙動程度の話だからよかったねと思っている(信頼度の問題はある)。IPアドレスが漏れて困る人、インターネットの使い方を間違ってると思う。

[tecepe]

“原因 投稿者のIPアドレスを意図せず露出してしまうコードが残っていました”ってこれで利用者は納得するのかなｗ UXがどうたら語ってる汚らしいロン毛の深なんとかさんが被害者の立場だったらこれで納得しなさそう。

[yoiIT]

これは「原因」ではなく「事象」。露出してしまうコードが残っていた理由が原因です。真因に対して策を打たなければ再発防止にならない。＞“投稿者のIPアドレスを意図せず露出してしまうコードが残っていました”

[Metaphone]

会社として気付いた日時は明記してるけど、原因が明確なら障害報として必須事項であろういつからこの状況が発生していたのかが記されてないので、伏せたいくらい長期にわたるのかしらと邪推せざるを得ない

[tzt]

IPアドレス単体でわかることは多くないね。でもnoteの記事と紐付いちゃったらどうかな？その点をすっとぼけてるのは邪悪。noteは信頼しちゃいけないサービスリスト入りだな。

[redundancy]

発覚経緯と「いつまでそれが続いていたか」はあるのに、「いつから発生していたか」が無いのは何故？インシデント報告なら普通入れるべき情報な気がするけど

[Cujo]

192.168.0.1 or 127.0.0.1ならとくていふのう（

[lovely]

エクスポート機能はまだですか

[shaokuz]

IPアドレスを個人情報だって認めたら終わるからセンシティブって言葉でボカしてるのめっちゃ面白いな。GDPRガン無視してるのは国内向けサービスだから的な建前なんかね？

[kz78]

ふわっとした「原因」と「対策」だな。

[naglfar]

IPアドレスのQ&Aみたいなのは余計に感じるな……再発防止策とは直接関係ないし。

[yutaro1985]

再発防止策があまり具体的でないのでもっと原因を掘り下げる必要があるように感じるのですが…。

[oka_mailer]

"センシティブな情報が露出するような同様の欠陥がないことを調査"よりも、ユーザーの同意を得てない情報が他にも保存されていないかチェックしたほうが良いような。

[tyoro1210]

『原因 投稿者のIPアドレスを意図せず露出してしまうコードが残っていました』その原因は？

[triggerhappysundaymorning]

原因の「投稿者のIPアドレスを意図せず露出してしまうコードが残っていました」って「IPアドレスが外部から確認できるようになっていました」って言ってるのと同じで全然原因じゃないよね(´・ω・｀)

[oakbow]

IPアドレスの説明が不誠実だと思う/脆弱性審査を外部企業に依頼するのはいいけど、機微情報漏れてないか内部の人間で頑張って確認します、止まりの対策は対策になってるのかな？今まで気付かなかった人たちだよね

[AKIMOTO]

DBからも消しちゃったら「noteのこの記事はこのIPアドレスから書かれていた」というデマが今後出てきた時にデマと証明できなくならないか

[nekomask]

相変わらず責任逃れしか考えてない奴らだな。

[asuka0801]

あ、はいとしか言いようのない内容だけどもそもそもフロント側に返してる情報の内容精査やRV出来てないマインドセットが問題だったのでは。

[coinlocker]

『IPアドレスが外部から確認できた事態』であって、『一般的なIPアドレス単体から、利用者の住所氏名やメールアドレス等を割り出すことはできません』として、個人情報流出だとは認めないスタイル。

[yug1224]

“お知らせ”

[narita1980]

対応が早かった

[georgew]

最近はてブで記事がよく上がる傾向にあったサービス。しかしなんでまたわざわざIPアドレス露出??

[tzk2106]

何かダサい。

[knosa]

【再発防止策】もう使わない

[boomerangj]

うちじゃなくて良かったなレベルで完全な回避は無理だと思うんだけど、その後の運営の対応がなあ。取締役の人たち発言毎に今のIP書いて欲しい。/他のvの人がプロバイダーに開示請求出したらとんでもない事が起きそう

[tym1101]

技術が曖昧だとこういうことが起きるんじゃないかと不安になる

[MtAsuka]

再発防止策を出すならまず根本原因の追求が必要でしょ。障害対応の基本すらわかってないとか怖すぎる。

[fashi]

いつから？

[tattyu]

個人情報じゃ無いから問題無いんじゃねーのかよw。何に対して謝ってるのこれ。

[Hidemonster]

ノートンの許可取ってんのかな

[rryu]

気をつけますと言いようがない状況は理解するが、一般的なセキュリティ診断でこの問題は検出可能なのだろうか。

[evolist]

そもそもこのサービスがネット上でのさばっているのが疑問。組織的に書き合いして大きくしていったのかな

[xxgushaunxx]

原因の原因こそ、ここで説明されるべき「原因」だと思っていたのですが…。自然現象としてコードが残ることは無いわけで、人為的なミスであり、その責任の処遇は明らかにすべきではありませんか？

[z10a41dcb]

"インターネットでの通信先の情報です。一般的にはIPアドレスは地域や建物、組織で同一の値が共有されます。" そうなんだー（棒）

[yas-mal]

同じ場所に「○○県」とか「○○アパート」とか書いてあったと思えば、とてつもないオオゴトなはずだけど。「個人まではIPアドレス単体から紐づくことはありません」から何なの？