doda、個人ユーザー約10万人の情報が元勤務先から丸見えだった可能性 ブロック機能が「全角半角・大文字小文字が完全一致」でないと動かず

doda、個人ユーザー約10万人の情報が元勤務先から丸見えだった可能性 ブロック機能が「全角半角・大文字小文字が完全一致」でないと動かず 転職サイト「doda」に不具合があり、個人ユーザー9万6338人の個人情報などが、本来権限がないはずの法人ユーザーでも確認可能になっていた可能性があると、パーソルキャリアが発表した。過去の勤務先から情報を見られないようにするブロック機能の設計に不備があったという。 パーソルキャリアは11月7日、転職サイト「doda」に不具合があり、個人ユーザー9万6338人の個人情報などが、本来権限がないはずの法人ユーザーでも確認可能になっていた可能性があると発表した。過去の勤務先から情報を見られないようにするブロック機能の設計に不備があったという。 不具合があったのは法人向けサービス「doda Request」の機能。2018年8月7日から23年10月31日にかけて、

[tokuniimihanai]

パーソルグループか・・／家族構成の情報は漏洩しなかったって、何でそんな情報を転職サイトが持ってるの・・？

[Listlessness]

せっかく法人を一意に識別できる法人番号という便利なものがあるのだからなんとかならなかったのか

[opnihc]

文字列マッチングで判定しないで、会社コードみたいなユニークID使うだろ普通。

[hate1229]

丸見えだけ書いてるが個人情報漏洩にはならんのか

[strawberryhunter]

パーソルはいろんな転職サイトを牛耳っているグループなので全部避けた方が良さそう。法人番号データベースを参照して架空の企業は入力できないサイトもあるというのに。

[Sakana_Sakana]

パーソルは宣伝を派手にやってる割にはサービスの質が悪い印象。政商で儲けているかもしれんが一般的な商売は競合よりも質が悪いんだよな

[sudo_vi]

機能の性質上安全側に寄せたいとして、文字列指定マッチという仕様の方針がまずいのでは

[canadie]

「個人を特定できる情報とそれに付随する情報」が個人情報なので、自分の理解が間違って居なければこれは個人情報の漏洩にあたると思います（3ないし4情報が漏洩した場合に比べて軽視されがちなやつ）

[prograti]

これとは全く関係ないけどメールアドレスの突合の不備はよくありますね。同一アドレスでも大文字と小文字を変えればチェックをスルーしちゃうみたいな

[moodyzfcd]

2022年10月31日 https://www.persol-career.co.jp/pressroom/news/corporate/2022/20221031_01/ 2023年02月21日 https://www.persol-career.co.jp/pressroom/news/corporate/2023/20230221_01/

[ostchanman]

⊙。⊙

[richard_raw]

“過去の勤務先から情報を見られないようにするブロック機能の設計に不備があったという。” あーあー。私は登録してなくて良かった……。

[ahmok]

クソな仕様書く頭の悪い人がシステム作る時代

[JULY]

実際はどうか分からないけど、こういう実装に何の疑問を抱かない元請けが、言われたとおりに実装するオフショアに発注すると、こういうシステムができそう。

[defiant]

この記事をおすすめしました

[deep_one]

システムの仕様に無理がある…

[sugimo2]

“「ユーザーが入力した直近の勤め先」と「システム上の登録社名」が全角・半角・大文字・小文字含め完全に一致していなければブロック機能が動作しない状態になっていた”

[Shinwiki]

あれ？また？

[wwolf]

多分だけど、Greenとかも同じ問題抱えてると思うんだよな（Greenも社名完全一致で弾いてるぽい）

[Anonymous2000]

法人番号でやればというのは安直？

[shields-pikes]

インテリジェンス時代は、システム部門を軽視するような社風で、リニューアル後の売り上げの減少をシステム不具合だけのせいにした結果、キレたエンジニアが大量離職したりしてたので、先は無いなと思っていた。

[sin20xx]

そう単純でもない。昔は同一地域に同一名称の法人を設立できなかったが今は可能。なので名称だけでなく本店所在地含めても実は重複する。その上法人台帳データは即時反映ではないので台帳では不可なケースが発生する

[shimokiyo]

ユーザーには見せなくても裏で法人番号でブロックするようにしておけばいいだけでしょうに。

[cl-gaku]

うーんこの

[golf4_2001]

学歴、資格、主な職歴でほぼ個人特定可能だよね。 最近は分社化や社名変更なども増えているので、文字列完全一致したつもりでも、結果スルーされてしまうケースも多そう。

[HiddenList]

doda から doda しても　見えてた　どーだ！　大がかりなダジャレ　おつかれさん！

[ghostbass]

前職だけに見せないって機能が謎過ぎるんだが/転職活動していたら現職からスカウト来たって言う笑い話を避けるため？/識別情報以外が漏れても当然個人情報漏洩だと思うぞ

[sho]

そもそも転職サイトなんて簡単に勤務先情報を偽れるから、この機能自体が無意味なんだよなー。がんばり損というか

[yoiIT]

こっちはちゃんとしてたんだ。。設計ミスってるな。＞“別のブロック機能「企業ブロック設定」は個人ユーザーに対して「システム上の登録社名」を選択してもらう形式だったので、正常に動作していた”

[akagiharu]

最悪過ぎる。絶対に使わんしデータ消そう

[shophonpo4]

会社は、セキュリティとかに興味ないしそのために予算と時間をとらないからな。トラブった時だけエンジニアにおしつけるだけの風潮ある。現場は少ない人数と短い締め切りでヘロヘロで疲弊してる

[korilog]

別サイトだけど、社名しか入力しないサービスはそんな気がしてた。

[sippo_des]

笑　最悪やんサイテー。 国からはペナルティないんですか？ 容姿判定の欄があって、監査のときには消せるようになってるとかいうのはマ？中の人ォ〜

[ifttt]

ﾅｰﾅﾅﾅﾅ、ｺﾜｲｰ

[advancive61]

"別のブロック機能「企業ブロック設定」は個人ユーザーに対して「システム上の登録社名」を選択してもらう形式だったので、正常に動作していた"

[leeyuu]

“パーソルキャリアは11月7日、転職サイト「doda」に不具合があり、個人ユーザー9万6338人の個人情報などが、本来権限がないはずの法人ユーザーでも確認可能になっていた可能性があると発表した。"

[kagehiens]

真に全企業を網羅したデータベースは私企業が使えるものが多分ないので、応募者の記入した社名と突合する方法が名称一致ぐらいしかなかったんだろうけど、せめて、大文字小文字その他単純変換は網羅しておこうや(-_-;)

[interferobserver]

本気でブロックする気なら社名とか自由文字列なんて使わんやろ。規約にはどう書いてたんだろ。

[NAPORIN]

“　パーソルキャリアは11月7日、転職サイト「doda」に不具合があり、個人ユーザー9万6338人の個人情報などが、本来権限がないはずの法人ユーザーでも確認可能になっていた可能性があると発表した。”