第三者が個人情報15万人分ダウンロード 労務管理クラウド「WelcomeHR」で漏えい マイナカードや免許証の画像も

カオナビ子会社のワークスタイルテック（東京都港区）は3月29日、同社の労務管理クラウドサービス「WelcomeHR」について、ユーザー情報が外部から閲覧可能な状態になっていたと発表した。16万2830人分の情報が閲覧可能だったとしており、うち15万4650人分の情報が実際に第三者にダウンロードされたという。 2020年1月5日から24年3月22日にかけて、ユーザーの氏名、性別、住所、電話番号、ユーザーがアップロードした身分証明書（マイナンバーカード、運転免許証、パスポートなど）や履歴書の画像が閲覧可能だった。情報がダウンロードされたのは23年12月28日から29日にかけてだったという。3月29日時点では二次被害は確認していないとしている。 「本来 ユーザーがストレージサーバに保存するファイルの一覧は外部からアクセスできない仕様とすべきところ、当該サーバのアクセス権限の誤設定により、閲覧可能

[hobbiel55]

これは500円じゃすまないだろう。身分証明書の画像まで含まれてたらやりたい放題じゃん。

[sato0427]

なんで身分証明書の画像生で保存してんだよ

[pechiyon]

“3月29日時点では二次被害は確認していないとしている”「確認できていない、確認の仕方がわからない・できない」でしょうに

[vndn]

『うち15万4650人分の情報が実際に第三者にダウンロードされたという。』おお…もう…。

[TriQ]

そもそも身分証明書の画像を保存しておく合理的な理由ってある？開発者なら一番持っておきたくない情報だと思うけど設計の時点でおかしかったのでは……？

[toyoshi]

いや二次被害の心配してないよ。免許やマイナカードの画像が流れただけで大被害だと思うのだが。 >3月29日時点では二次被害は確認していないとしている。

[deep_one]

マイナンバーには番号を振りなおす仕様が入っていると聞くが、やるのかな？

[osugi3y]

民間でこの様ならデジタル庁に個人情報を運用させたら本当に漏洩し放題という新たなるサービス名が爆誕しそうだからデジタル庁に個人情報を管理させたくないんだよな。

[magi00]

労務管理システムなんだから身分証明書はこのサービスのユーザー企業が自社従業員の身分証明書を保存している分では？そのためのサービスだろうし。

[michiki_jp]

顔写真と履歴書と住所が紐付いて流出とは若い女性など引越考えるレベルでは

[fukuroiri]

悪夢のような致命的なミス。労務管理のソフトだから社員の機密情報を丸ごと保持している。クラウドであればなおさらセキュリティが重要なのに、ちょっとした設定ミスで契約者の機密情報をネットに公開してしまった。

[TakayukiN627]

アクセス権限の設定ミス

[koyhoge]

大規模でヤバい情報の漏洩だが、サービスサイトには何のアナウンスも掲載されていないのが気になる。隠蔽のつもりはないだろうが、大事にしたくない意図は感じる。個別連絡もどこまで信用できるか。

[ysync]

外部以前にsaas側が持つべき情報ですらないだろ。

[naganom]

WelcomeHRのサイトのQ6を見るに、マイナンバーを保持してそうだけど、漏えいのとこには載ってない。別管理だったからセーフなのか、バックレる気なのか読み取れないな

[TakamoriTarou]

そもそもマイナカードや免許証の画像って何の目的で保存してたんですかね。そろそろ券面で認証とかやめたい。マイナカードで電子証明する仕組みにしてくれ。

[aaaikaaa]

会社で導入されるSaaSを従業員は選べないので、防ぎようがない。

[queeuq]

本人確認用の身分証明証なら当然に消すか切り離されたストレージ移動してアーカイブだろうが、HRソフトの場合どうなんだろうな。労務がすぐにこの手の証明書を閲覧できる状態に置く必要があるんだろうか。

[hide_tono]

初心者のポートフォリオアプリじゃないんだから…いやそうであってもアカン

[hiroomi]

“外部からアクセスできない仕様とすべきところ、当該サーバのアクセス権限の誤設定により、閲覧可能な状態”

[a96neko]

サーバのアクセス権限の誤設定により個人情報が閲覧可能な状態になってた

[itotto]

ここにきてまた大物が...

[mugi_sisyou]

マイナンバーカードの写真がある面にはマイナンバーは無い

[onesplat]

シャレになっとらん。どう責任とるの？

[ka-ka_xyz]

仮にこれを受けてマイナンバーを振り直したとして、これまでマイナカード券面コピーを送ったすべてのとこに新しい番号を再送しないとだめなの？あるいは向こう側で自動更新してくれる仕組みが何かあるの？

[manotch]

氏名、性別、住所、電話番号、ユーザーがアップロードした身分証明書（マイナンバーカード、運転免許証、パスポートなど）や履歴書の画像が閲覧可能だった。情報がダウンロードされたのは23年12月28日から29日にかけて

[givehub]

「当該誤設定により、ファイルの一覧の情報をもとに各ファイルをダウンロードすることも可能になっており」問題は一覧が見えてたことではないことが分かってない様子。ご退場頂く他ない

[kaerudayo]

“カオナビ子会社のワークスタイルテック（東京都港区）は3月29日、同社の労務管理クラウドサービス「WelcomeHR」” うわぁあ。

[wwolf]

Welcome精神が過剰だったか

[Shiori115]

これ相当やばいでしょ

[houyhnhm]

クソ過ぎるんだが。

[and_hyphen]

ひぃぃ

[lli]

リスキーな情報を保存し続けるとかどうなのよ

[jamg]

ワァ…

[prograti]

URL直指定で画像ファイルがダウンロード出来た感じかな？普通こういうファイルは間にプログラムを挟んで認証・認可を行いますが、もしそうでないなら設計が良くないですね。あくまで想像にすぎませんが

[cl-gaku]

ワロスワロス

[Surume]

どうしてこうなった