雇用調整助成金のオンライン受付で個人情報漏えい ブラウザの“戻る”で不具合

厚生労働省は6月9日、雇用調整助成金などのオンライン受付システムで発生した不具合を巡り、個人情報の漏えいを確認したと発表した。申請を行った1社の申請書類が他の事業者からも見える状態になっていたという。 雇用調整助成金等オンライン受付システムは6月5日に運用を開始。しかし、申請を行った1社の申請書類を他の事業者10社が閲覧できる状態になっていたため、同日に稼働を停止した。 閲覧可能な状態になっていた申請書類には、会社役員2人の氏名や役職、労働者2人の氏名や出勤状況、給与、事業者の銀行口座などが記載されていた。 不具合の原因はプログラムのミス。ユーザーが申請途中にWebブラウザで前のページに戻る操作を行った際に、正しい情報ではなく、特定の事業者の情報を表示するようになっていたという。外部からの不正なアクセス記録はなく、サイバー攻撃などによるものではないとしている。 これを受け厚生労働省は6日以

[albatrosary]

まぁ発注先がよく無かったみたいだね。他にももっと普通に開発できるところあるでしょ

[kfujieda]

戻るで不具合って20世紀か。

[hideaki_kawahara]

推測：ブラウザで戻る→sessionやtokenが無効になる→エラーが発生→なぜかデフォルト数値を設定する→特定の業者が表示される。

[hatest]

こういうのあるから、初システム使うときに、いろんなところでイレギュラー操作を試して問題なさそうなの確認する癖がついてる。

[yujiorama]

"前のページに戻る操作を行った際に、正しい情報ではなく、特定の事業者の情報を表示するようになっていたという。"

[toro-chan]

戻る、で別のデータを表示するように作る方が難しいと思うけど。キャッシュを表示して内容が崩れるとかはよくある。不具合が多く出る箇所であることは確かだ。

[akulog]

Oh...

[ryunosinfx]

Fがテストが全部手動派でも、モンキーテストのモンキー役も雇えなかったのか。かなり硬直してるな・・。テスト環境もまるっと本番と同じ構成の環境を用意できなかったんやな・・やっぱり技術者に金をケチったんじゃ

[kazuau]

少なくともappscanとかのWebセキュリティチェックツールを使ってないのは確かだな

[nishi1231chang]

ブラウザバックの考慮ないとか、テストもザルやんけ

[aya_momo]

なぜやることなすことうまくいかないのか。

[saikyo_tongaricorn]

何回も申請できるバグもありそう

[araikacang]

もういいから「宅ファイル便」とかで書類送らせてくんないかな？

[nebokete]

こわ。

[yhachisu]

こわああ。確か富士通だったかと。

[ponpon_qonqon]

id:asuka0801 CSRFはもう少しだけ上のレベルなので…そもそもセッションの実装ができてないよこれ。どこが受託したの？　談合デザイン協会？

[medicineman]

“ユーザーが申請途中にWebブラウザで前のページに戻る操作を行った際に、正しい情報ではなく、特定の事業者の情報を表示するようになっていたという。”なんで！？

[asuka0801]

記事を読んで思ったのはこのシステムCSRF対策してなさそうって事かしら。