LINE Pay、約13万人の決済情報が「GitHub」で公開状態に グループ会社従業員が無断アップロード

LINE Payは12月6日、13万3484アカウントの一部決済情報がソースコード共有サイト「GitHub」上で閲覧できる状態になっていたと発表した。すでに情報は削除しており、該当ユーザーへ個別に案内。現時点ではユーザーへの影響は確認されていないという。 国内ユーザーで5万1543アカウント、海外を含めると13万3484アカウントが対象。閲覧できた情報は、LINE内でユーザーを識別するための識別子（LINE IDとは異なる）、システム内で加盟店を識別する加盟店管理番号、キャンペーン情報の3点。氏名、住所、電話番号、メールアドレス、クレジットカード番号、銀行口座番号などは含まれていない。 決済情報の該当期間は、2020年12月26日から21年4月2日まで。情報が閲覧できる状態だったのは、21年9月12日午後3時13分頃から11月24日午後6時45分まで。期間中、外部からのアクセスは11件確認

[Sephy]

プログラムの提出先とデータの提出先を分けるのがめんどくさくなってGithubにまとめてpushしたのか。プライベートリポジトリでやっちゃうならまだわからなくはないけどパブリックでやるのは頭おかしいとしか言えない

[kubecorn]

こういう事例を教訓にして GitHub ちょっとでも社内で使うなら金掛けて GitHubEnterprise にしようってなるといいね。

[send]

これ、github enterprise使ってようとgitlab使ってても関係なくgithubにpushされるパターンなんじゃないのかね。

[proverb]

手元にあるファイル何の考えもなしにほいほいpushする人実際居るからなぁ。当然秘密保持契約締結してるだろうけど、迂闊なエンジニアにはそんなの知ったことじゃないから…

[legnum]

うわ。三井住友銀行のコード流出は賠償額700万だったけどあれ内部システムのだったからこれ結構な額になるんじゃ…

[kotaponx]

この情報だけだと実害は少なそうだが、経緯とかそれに至った事情とか思うとかなり重いインシデントだな。

[lenore]

個人情報を扱うネットワークは社内で分けてほしい。LINEには無理かもしれんが。開発で生の個人情報データ使う意味が分からん。/韓国通して中国にデータが流れるぐらいだから、個人情報が軽いのかもね。

[u-li]

“業務委託先のグループ会社従業員が、ポイント付与漏れの調査に使用したプログラムと対象の決済情報を無断でGitHub上にアップロードし”“11月24日に社内のモニタリング業務でGitHubの該当情報を検出”

[gfx]

これ系の漏洩、ヒヤリハットレベルならこれまで何度も見ているし、他人事じゃないんだよな。根本解決が難しいタイプの問題。

[boomerangj]

ghe使ってても個人下publicリポジトリでやられたらガード不能なんじゃないの？何がダメかから分かってないレベルの人に仕事させた説はないのか

[pascal256]

またgithub禁止とか言われるのかなー

[ookitasaburou]

“LINE Payによると、9月12日に業務委託先のグループ会社従業員が、ポイント付与漏れの調査に使用したプログラムと対象の決済情報を無断でGitHub上にアップロードしていたという。”

[Barton]

＞情報が閲覧できる状態だったのは、21年9月12日午後3時13分頃から11月24日午後6時45分まで　未だにLINE何かありがたがって使っている方がバカ。こんな情報管理も出来ない会社のサービスをありがたがるだなんて…

[adsty]

調査用プログラムと対象の決済情報を無断でアップロードしていた。

[yoshi-na]

やめてー、ただでさえ評判良いわけじゃないんだからー

[totttte]

＞情報が閲覧できる状態だったのは、21年9月12日午後3時13分頃から11月24日午後6時45分まで。期間中、外部からのアクセスは11件確認されているという。

[Andrion]

また転職サイトのGithub連携機能が理由なんじゃないの。

[mohno]

「LINE Pay…13万3484アカウントの一部決済情報…「GitHub」上で閲覧できる状態に」「業務委託先のグループ会社従業員が、ポイント付与漏れの調査に使用したプログラムと対象の決済情報を無断でGitHub上にアップロード」

[amberjack115]

むしろモニタリングでちゃんと引っかかるのえらいと思っちゃった

[mysql8]

設計図共有サイトにアップしていいのは設計図だけ

[yamami78651]

オペミスなのか…？どうしたらそうなっちまったんだ。

[mike47]

500円券だなぁ

[ch416]

金融機関なら金融庁から業務停止命令が出て然るべき事案でないか？

[jtw]

そんなことにならないようにGithub Enterpriseがあったと思うのだけど。

[alt-native]

うへぇ。ソースと一緒にアップロードしてたんか。

[youhey]

知り合いも 某 LINE の仕事を再再々受託くらいで個人の副業で請け負ってたから、かなりルーズなことになってそうな気がする

[dk19810313]

githubにんなもんアップしちゃダメやろ…

[paradisemaker]

決済情報っていうかね。まぁあかんはあかんけど。

[hatomugicha]

LINE内の別の情報がないと使い道のなさそうなデータには見えるけど影響があろうとなかろうと最低でもユーザー識別子は全て再発行だろうし場合によっては識別するシステム周りの作り直しかな

[daishi_n]

キャリアソースGitHub事件と同じかと思いつつ、もっとアレな問題に見えて来た

[ene0kcal]

9/12から11/24までの74日間で外部から11件アクセスがあったらしいですが、恐らくごっそりもっていってる人もいるんじゃないかと思うのです。世の中広く、漏れ情報収集家っているんですよ（私は違うけど）。

[xlc]

ワインバーグの「金槌の法則」 クリスマスプレゼントに金槌をもらった子どもは、何でも叩きたがる。 → GitHubを知ったコピペプログラマはなんでもアップしてしまう。

[yamuchagold]

これだからGitHubは使えない。業務では自サーバでGitを立てて使うのが良さげ。VPNはちゃんとしてね。

[ytRino]

インターネットに繋がってれば個人の公開リポジトリにプッシュできるんだからGHE使ってようが関係ないよね リモート下だとなおさらきれいに分けるのは難しい

[FeZn]

記事を読んで「テロ的な何かなのかな？」と思ったけど、上位ブコメ見ると「うっかり」系推測が多いのかな。ふむむ。

[nanapapa00]

何らかの情報を得るためにアクセスされた事を考えると、直ぐには悪用されなくても、忘れた頃に問題が起きる可能性もある。

[chiroruxx]

個人識別符号の漏洩なので個人情報が漏れたってことやね

[ardarim]

まあLINEならいつかやらかすと思ってましたね

[stamprally]

大事故だろｗ

[ichiken7]

これはウッカリとか認識不足とかじゃなくて、テロ的な怨みから来てる可能性ある？