「強制BCCシステム」停止 メールアドレス 652 件流出、ライセンス更新怠る | ScanNetSecurity

愛知県豊田市は4月4日、「強制BCCシステム」の停止によるメールアドレスの流出について発表した。 同市が導入している強制BCCシステムでは、アドレスの入力先を誤る人的ミスを防止するため、「宛先（To）」や「CC」にアドレスが入力された場合にメール送信サーバ側で強制的に「BCC」に変換し受信者同士のアドレスを把握できないようにする仕組みで、ひまわりネットワーク株式会社が提供している。

[spiral]

はじまりからおわりまでぎっしりバッドノウハウでひどい。本人たち、何が悪いのかすら気づいてないんだろうな。

[nmcli]

ライセンスが切れた場合のフェイルセーフが安全寄りになってないのはソフトウェア側に落ち度があるように思える。サービスの目的というかその仕様上、BCCなしで送信できちゃうことのほうが問題。

[m50747]

よくわからんけど、普通ならライセンス切れてたらリレーをブロックするものと思うけど。ライセンス切れたら何もせずにリレーしちゃう仕様はクスッとくるね。嫌がらせと言うか。Postfixのヘッダー書き換え機能かな。

[koyhoge]

To:とCc:をBcc:に書き換える中継システムなんてものがあるのか。SMTPハックとしては筋が悪いなー。送られた側はなぜ自分に届いたのかわからなくなったりしないのかな?

[ytRino]

地獄 "同市の情報システム課とひまわりネットワークにおいて、日々の業務開始前に「強制BCCシステム」の稼働状況を双方で確認する"

[toubanjanny]

「ライセンスが切れたらメール送れなくする」ぐらいの対策が要るだろうに、再発防止策がありがちなやつで非常に切ない。

[retore]

これから毎朝チェックリストにハンコ捺すんだろうなと思うと笑える

[ockeghem]

毎日これやるの?>『同市の情報システム課とひまわりネットワークにおいて、日々の業務開始前に「強制BCCシステム」の稼働状況を双方で確認する』

[theatrical]

豊田市の話らしいが、"ひまわりネットワークが当該システムの稼働に必要なソフトウェアライセンスの更新作業を怠った" とのことでベンダのミスなのにユーザ側のせいみたいに見えるタイトルなので良くないと思う

[fai_fx]

その手があったかと、ちょっと感心したのは内緒…🤫

[lovely]

ブコメを見る用

[pmakino]

豊田市ではたった2営業日弱「強制BCCシステム」が停止していただけで24通ものTo列挙事故が起きているんだけど、もしBccの使い方を日頃から庁内周知していれば2営業日でそんな件数の事故が起きるわけがないよね。

[Nean]

“愛知県豊田市は4月4日、「強制BCCシステム」の停止によるメールアドレスの流出について発表”

[tofu-kun]

意図してこの設計にしてたとしたら、明確な嫌がらせだと思う

[quick_past]

ひまわりネットワーク関連団体https://bit.ly/3ocMbmI

[deep_one]

…ああ、どういうことかと思ったら「ガードレールにぶつけて曲がる」癖がついちゃってる問題か。

[shag]

ライセンス更新せず使い続けると Bcc 外して送っちゃう機能作った人、皮肉が好きなんだろうな。

[poponponpon]

“テストメール送信による強制BCC機能の稼働状態の定期確認を行う” なかなかの最悪手じゃない？「毎日確認メールを送っていたため今日も動作していると思い込んでいた」とか普通に起きそう

[jojo800]

システムありきで普通にcc使ってそう

[latena]

強制BCCシステムに障害が起きたら同じことが起こるのでは...？ 強制BCCシステムが止まっててもメール送れちゃってることが問題なのに、そんな対策で大丈夫か...？

[tamanecoplus]

強制Bcc？中継サーバーでヘッダーTo,Ccを削ってEnvelop Toだけで送るってことか

[suikyojin]

「システムの稼働状況を確認」って、それこそ、システム化すべきものだろう？頻繁に行う定常作業はシステム化すべき。システムが行うべきことと人間が行うべきことの検討がろくになされていない。本質はそこでは？

[xxix29]

”日々の業務開始前に「強制BCCシステム」の稼働状況を双方で確認する”　ヨシ！するのかぁ。

[danhox]

“日々の業務開始前に「強制BCCシステム」の稼働状況を双方で確認する”またやらかしそう

[ryunosinfx]

愚かさの代償として触法行為が発生すると・・・IT技術を学ばなかったツケだな

[findup]

いくら教育しても人なのでやらかす時はやらかす。システム入れなかったら指差し確認だの複数名で宛先確認だのって運用になるだけ。

[suika3417]

強制って、逆に本当にCCしたい場合でもCCできないのか

[doroyamada]

ひまわりネットワークは地元のケーブルテレビ&ISPの会社で、こういうサービスは得意じゃなさそう。

[NOV1975]

どっちかというと送る側でhttps://www.noraneko.co.jp/OutlookOkan/　みたいなのを入れたほうが良いのでは…とは言え、システムで強制できるのであれば人為的ミスは防げるしなあ

[causeless]

"@miyahancom ライセンス更新を怠ったのはユーザーの責任だけど、停止時に危険側に倒れる設計のセキュリティ対策ソフトなんて他にもいろいろダメそうだから変えた方が良いと思…" from https://twitter.com/i/web/status/1646678839077277698

[kibitaki]

業者が更新作業してないのが全部悪い前提で／上位※「ライセンス切れたらそのまま中継するのが悪い」的な闇深が一定数いる。アンチウィルスがそんな実装してるか？プラグインが止めた環境への苦情を誰が受けるか考え

[evamatisse]

“「宛先（To）」や「CC」にアドレスを入力せず、「BCC」に入力するよう、研修等を実施し、徹底させる” この対策は正しいが、それなら強制BCCシステムいる？ライセンス切れてもメールが送信されるのが問題では？

[digits_sa]

“「強制BCCシステム」”を導入しつづける組織とライセンス更新を忘れる会社に『電子メールを活用した業務』の導入は難しかったのでは？

[yug1224]

毎日「稼働状況ヨシッ！」ってやるんだろうか

[makou]

ほかの会社に変えたほうがいいと思う。

[PrivateIntMain]

システムの思想もひどいしライセンス更新漏れもひどいしライセンス切れ時の挙動もひどいし対策もひどい。メーラーでは送らせない、ライセンス切れたら動かなくするだけですべて解決するのに。

[cvtbgspuda]

ちゃんとbccはbccに書いて送るように教育しないとシステムの安全装置の意味がない。安全装置ありきの運用は悪。

[circled]

「人間はバカをやる。だからシステムで対応しよう。」←分かる 「ライセンス切れててやらかしました。」← そこもシステム化しとく？例えば支払いにクレカ登録とかさ

[bayan]

そんなのあるんだね。