マッチングアプリ「Omiai」会員情報管理サーバーへの不正アクセスについてまとめてみた - piyolog

2021年5月21日、ネットマーケティングは同社が運営するマッチングアプリ「Omiai」の会員情報の一部が不正アクセスにより、流出した可能性が高いと発表しました。ここでは関連する情報をまとめます。 171万件の年齢確認書類画像が流出 www.net-marketing.co.jp 不正アクセスを受けたのはOmiaiの会員情報を管理するサーバー。意図しない挙動がサーバー上で確認され、その後内部点検から不正アクセスの痕跡を発見。 流出した情報は法令で確認が義務づけられた年齢確認書類の画像データ。通信ログ分析から数回にわたり画像データが外部へ流出したと判明。流出した画像データの約6割は運転免許証で、画像データの暗号化も行っていなかった。*1 当初流出の可能性と公表していたが、8月11日の第三報では流出が確認されたことを公表した。 流出アカウント件数 171万1756件 （会員累計数は20年9月末

[securecat]

そもそも年齢確認書類は年齢を確認したら削除すべきなのに、なぜ10年も保持する必要がある？ 不正アクセスなんかよりも、そこが一番問題だし、不必要な個人情報を収集してるの何らかの違法性を問えないものか。

[good2nd]

顔写真まで入った個人情報が文字通りケタ違いの規模で流出したわりに世間の反応が鈍いよね。ニュースの扱いも小さいし。もっと周知したほうがいいんじゃないの。

[snare_micchan]

年齢を確認したら削除と言う運用は、有事の際に当局から確認の証拠を求められることがあり得るのであまり好ましくない。それでも保管期間10年は長すぎだし（1年で十分だと思う）、せめて暗号化していれば・・・

[kikanmochan]

悪用しようとすれば歯止め効かないレベルじゃん。一件500円相場どころじゃなさそう。

[saikyo_tongaricorn]

Omiai、メルカリと、この週末piyologの中の人フル稼働だったんだろうか…

[call_me_nots]

地獄やん→“画像データの約6割は運転免許証で、画像データの暗号化も行っていなかった。対象者には既に退会済みの旧会員も含まれる。これは退会後10年間は画像データを保管しておくことが規約で定められているため”

[B-108]

何かの申請でなにかと身分証明書をスマホで送ったりしてるけど、その全てが厳重に管理されてるとは思えない。その手のプロに目を付けられたら防ぎきれる所は少ないんじゃないかな。怖い世の中。

[noraku]

もっと叩かれないと企業側のコンプラ意識上がらないよなぁと、たまにお漏らししてもいいみたいに思われちゃいそう。

[hit-the-light1326]

「何で確認画像を保有してるの？削除すべき」という疑念は、出会い系での年齢確認必須化の規制が出来た経緯を振り返ると、何となく理由を想像出来る気がした。

[kitamati]

今後個人情報を本人確認に使うサイトは4/20以降にファイル作成したことを明示させないと流出データか真正データかわからないよね

[MtAsuka]

利便性のあまり見て見ぬふりをしていたオンラインでの本人確認方法に潜むリスクを突き付けられたわけで、もっと広く取り上げて議論すべきなのにね。

[soprano1125]

omiai が omimai されて oshimai とは(

[adsty]

年齢確認書類の画像データが大量流出したのは大問題。

[ymch7]

“これは退会後10年間は画像データを保管しておくことが規約で定められているため”意味わからなすぎて草

[ymgn]

マッチングアプリが退会しても残しておくのは、一定の出戻り層が帰ってきやすいようにしてるからじゃないかな、出戻りするたび免許証提出させたらユーザー体験悪くて戻ってきてくれなさそうだし

[sawarabi0130]

実は2018年1月27日に登録していた。ギリセーフなのだろうか？／退会済みだけど、退会者のデータまで残しているのか…それ以前に外部からアクセスできるところに個人情報を保管するなよ…

[shinnosukee]

だから、写真おいそれと送りたくないんだよね。

[amino_acid9]

171万人分もの免許証、保険証、パスポート、マイナンバーカード等の画像データが流出した割にあまり話題になってない印象

[estragon]

運転免許証、健康保険証、パスポート、マイナンバーカード(表面)等が170万件て、とんでもないな。 会員情報を管理するサーバー上の当該データにどうやってアクセスできたのか、流出経路・手法が知りたい

[evolist]

なにこの会社

[raebchen]

慌てて退会したら、アカウント削除で、残された個人情報がどうなるのか確認できなくなるんじゃないのか？😳アカウントあるうちに自分の個人情報の削除要請して、消されてから退会したほうがマシってことないか？😳

[sakidatsumono]

会員が大量退会しているそうだが、10年は保存されるので今から抜けても遅い。

[Ni-nja]

公表されたのが5/21なのに5/12から毎日株価が下がってたのは誰が売っていたんだろうね。東証一部上場してるんだからインサイダーは調査されて当然だと思うけど

[hamaco]

これなんか TL 以外であんまり話題になってないのなんでなんだろう。

[proverb]

想像だけど、画像自体はURLさえ知っていれば認証無しでもアクセスできる状態（Google Docsの一般公開状態と同様）で、何らかの理由で画像URLリストが漏洩した、とかかな

[manotch]

“通信ログ分析から数回にわたり画像データが外部へ流出した可能性が高いと判明。流出の可能性がある画像データの約6割は運転免許証で、画像データの暗号化も行っていなかった。”

[limner]

むしろ事態発生から公表までの間の、株の不可解な値動きについて説明してほしいんだよなーオミアイには

[camellow]

免許等の証明書に書かれてる通りの内容で登録された事が確認できたら証明書画像は不要だよね。事後の何かの時の証跡としては確認済みの登録情報（勝手に修正はできない）があれば十分では。

[honeybe]

いつ、何があって公安から資料提出を命じられるかわからんからなぁ。せめて暗号化されていれば…とは思うが…

[Kmusiclife]

GDPR適応してほしいよ。ヨーロッパの人！たのん！

[satochin6868]

GW直前とか、リモートワークとか、本当に言い訳だな……。こういうピンチな局面で連携取れない職場は危険。

[heaco65]

マッチングアプリ、偽装登録したり既婚者登録があったりでトラブルの問い合わせ多いから、データとっておきたいのはわかるが、暗号化するなりなんかしらの対策取らないのそのまま保存してるのはやばい

[scipio1031]

メルカリの方のやらかしは霞んだ感じかなぁw

[ytsnomiya221]

10年保存の根拠は出会い系サイト規制法だったとおもう

[ys0000]

“退会後10年間は画像データを保管しておくことが規約で定められている”不正利用後に退会して連絡先がわからん、みたいな事を防ぐ目的だろうか。本人確認資料で住所などを照合した後であれば過剰な保持だと思う。

[lifehackener]

これを機運にデジタルでの本人確認周り、制度化したほうがいいだろうね・・・

[spark7]

日本にもGDPRが必要だな。10年保存とかのクソ規約をユーザーが知らなかったら削除要請もできないかもだけど。情報いじるたびに1000円取られたらかなわん https://fb.omiai-jp.com/japan/site/privacy/ KYCで7年て例もあるけど内規だろう

[otknro25]

10年間保存の根拠って何？法規制にゃそんなのないよね？