Google フォームの共同編集設定に起因して発生していた情報流出についてまとめてみた - piyolog

2024年6月以降、Google フォームの設定に起因する情報流出が生じたとして複数の組織より公表されました。ここでは関連する情報をまとめます。 回答情報を第三者に参照される恐れのあった共同編集設定 Google フォームの設定次第で外部から回答者の情報を閲覧することが可能な状態が発生し、実際に影響を受けたとして複数の組織が6月以降公表を行っている。 事案公表した組織が行っていた設定とは、Google フォームの「共同編集者の追加」において「リンクを知っている全員」が選択されている場合。 Googleのアカウントにログインした状態で当該設定が行われたGoogle フォームに回答を行った後、自身のGoogleアプリからGoogle フォームの画面を表示した際に、「最近使用したフォーム」の欄にそのGoogle フォームが表示されるようになっていた。そこよりGoogle フォームを通じて入力され

[uunfo]

編集リンクを知らせてない相手にも自動的に編集リンクが表示されるようになっていたというならGoogle側の問題じゃん怖すぎる

[tetsutalow]

これGoogle Formの挙動が途中で変わってたっぽいんだけどよくわからない。Google自身が挙動の違いについて説明してほしいんだけど…

[rgfx]

Workspaceを契約したくないならちゃんとGoogleグループ立ててそこに編集メンバーを放り込んでグループ宛に共有しましょう定期

[fatpapa]

昔からの仕様ならもっと指摘されてそうだし「2024年7月8日時点では当該設定がされている状況において同様の状況が生じないことを確認」ならGoogleがヤバいと思って修正したんだろうからGoogleが公表すべき重大案件やろ

[hatomugicha]

なんで急に起きてそれも関係性のなさそうな企業で複数件もと思っていたけど明らかに挙動が変わっていてそれについて一切プロバイダから言及がないって事だとしたらもうGoogleフォームに個人情報は載せられないな

[hihi01]

「リンクを知ってる全員」は個人情報絡みでは絶対にしてはだめ。それだけのこと。

[inmysoul]

なんであのランダムURLが漏れてるのかと思ったら、回答者の履歴に出ちゃってたのかw まあURL共有は一時的なファイルの受け渡し以外には使わんほうがいいわな。

[Falky]

いやマジでこれGoogleの認識する正しい挙動がどういうものなのかわかんねーんだよな…。もしこの手順で見えちゃう挙動がGoogle的に「正しい」挙動だとしても、それは機能自体の脆弱性だと思うけど…

[kamm]

組織アカウント以外に公開を有効にする場合はマスターアカウントでの承認が必要とかいう機能があれば防げそうなのに

[sora_h]

UIが悪すぎる (共有と送信で別物、共有はするべきではない) し、うっかりそうなっててもフォームのページから編集画面に辿りつけてしまうの仕様も悪すぎるんだよな…。

[at_yasu]

「共同編集者の追加において「リンクを知っている全員」が設定している場合は速やかに「制限付き」に変更することが推奨される。」

[adsty]

履歴欄を経由して情報の閲覧が可能になっていた。

[daij1n]

Googleバグだった可能性が高いのか

[moromoro]

web form楽ちんに作れるようになったの罠よな

[lbtmplz]

“「リンクを知っている全員」が選択されている場合”

[Y_Mokko]

ぷいすぽ漏れてたやつもこの件か??

[dec123456789]

"リンクを知っているインターネット上の誰もが編集できます" / フォーム作成者の自業自得というほかない。今までも誰でも編集できる状態だったってことでしょ。「最近使用したフォーム」に表示されないだけでさ。

[spark7]

Googleのせいだったのか？

[webnoshiori]

これはひどい

[getcha]

Google のツールはこういう「不明」だらけのものだし、サポートがそもそもまともに機能しない、俺様ルール企業だからチャラチャラしたCMのイメージに騙されてはあかんよ。一時のヤミ金もチャライCM作ってたでしょ。

[fusionstar]

不特定多数に入力してもらうフォームは「URL を知っている全員」に設定するのがふつうだし、ずっと前からフォームの URL 経由で他人の回答が見れてしまう仕様ならもっと問題になってるはずだよね。

[s15i]

“使用したフォーム」の欄にそのGoogle フォーム”

[defiant]

この記事をおすすめしました

[srng]

サイレント仕様変更入った？いやこの辺の大抵の仕様変更はサイレントか

[a-know]

むむ

[taguch1]

6,7月に発生したバクか、以前からこの挙動だったのかよくわからない。とは言え組織内の制限すらかけてないで個人情報を運用する団体はセキュリティ意識もクソもないから同情は一切できないけど。

[houyhnhm]

Google Formのこの機能、Boxにもあるんだけど、アクセス権とかぶち抜いてくるので使ってない。Googleアカウント持っている前提ならこの機能使う必要がない。

[azuone]

何でそんなに簡単に編集リンクのURLが漏れるんだよと思っていたがそういうことか。googleのやらかしじゃん

[tessy]

Google闇改修... リンクを使っての共有自体が無効になったようで、以前の共有リンクも無効になったっぽい。

[peller]

特定非営利活動法人日本ネットワークセキュリティ協会....()

[call_me_nots]

企業で扱うならいかなる担当者もこの程度の危険性を知るくらいのリテラシーは最低限持ってないとダメでしょ→“Google フォームの「共同編集者の追加」において「リンクを知っている全員」が選択されている”