ねとらぼ「予約キャンセルデータベースへの取材記事」に対するセキュリティ専門家高木浩光氏のツイート

ごあん @goan8jyo 昨日は、予約されたまま連絡無しでいらっしゃらない6名の方が。 何か理由があるのかもしれませんが、うちの様な小さなお店は潰れてしまいます。 せめてご連絡を。 飲食店全体の問題になっていて、無断キャンセル電話番号のデータベース登録が始まっています、ご注意ください。 2017-07-03 11:01:51

[stealthinu]

ねとらぼはちゃんと個人情報保護委員会事務局に問い合わせての記事らしい。それで高木先生に厳しく指摘されるということは事務局の返答が怪しいってことになってこれは大きな戦になりそうだな…

[mashori]

予約は航空券と同じで前金制にすると、ドタキャンは100%支払いになって良いのでは。約束破りがノーペナルティってのには納得ができないんで

[shidho]

誤登録への照会等対処がないのは確かに個人情報保護法上も問題かもしれない。/ id:himakao 2015年改正(2017年5月施行)以降5000件要件は撤廃されている。

[fukken]

電話番号は11桁の数値に過ぎないからな。全桁でフルにどの数字でも使えるわけでもないし、定義域はもっと狭くなるわな。

[TakamoriTarou]

趣味だから問題無いについては違和感があったが、それ以外にも結構ツッコミどころ多いのか。「個人を識別しようと企図していることは明らかなのだから、「個人情報として扱われている」と言うべき」そらそうだと思う

[rgfx]

「記事には2名の弁護士が登場するが、両者とも「問題ないという判断」。いかに個人情報保護法を（趣旨を含め）正確に理解していない弁護士が世に溢れているかを物語っている」

[houyhnhm]

何で脱法的にやろうとするのかねえ。

[altar]

まとめてるツイート数が多いと必要な論点を読み取れる人が少なくなるんだなあ。逆に少ないと文脈を無視して解釈される。結局、好意的に解釈されやすい人が雑な要約をするのが一番情報の有益性が高いのかもしれない。

[wataken44]

むしろデータベース保存時に電話番号の一部(例: 下2桁)をマスクすることで個人を特定できない(と主張できる)形にしつつブラックリストとしての役目を果たす(false positiveを許容)という方向性はダメかな

[kamezo]

だいぶ穴だらけだった模様。個人情報保護法も難しい（汗）

[Nean]

やっぱりいろいろアレだった。その他あれこれ勉強になる（ただし、要復習^^;）。

[mongrelP]

個人情報保護委員会事務局がアレっぽいのでひろみちゅ氏は是非電凸を（ぉぃ

[pochi-p]

自分の番号登録して糞システムに騙されてる店を炙り出そうかなｗ /「前金取れ」でFAだよ。ホットペッパー等の大手に機能要望しなされ。

[u4k]

“法の趣旨は、誤った情報に基づく自動処理により個人が不当に扱われることの防止こそにある。” 法の趣旨大事

[Louis]

「記事には2名もの弁護士（匿名だが）が登場するが、両者とも「問題ないという判断」をしている。このことは、いかに個人情報保護法のことを（その趣旨を含めて）正確に理解していない弁護士が世に溢れているか…」

[mkusunok]

どのみち所管する委員会がマトモに記者からの質問に答えられず、弁護士も明後日な回答をするほどの難解な法律をマトモに運用できるのか不安にさせられる展開ではある

[issyurn]

“一方向性ハッシュ関数について、元データを復元できないと言えるには、元データの値域が十分に広いことが前提。電話番号の場合、10億通り程度（30ビット程度）しかないので、簡単に復元できる（鍵付きハッシュの場

[ad2217]

32bitだと全件検索できるってのは経験してるからなぁ。ハッシュ計算は一瞬だし。

[gazi4]

これでもし記事冒頭にお店側のツィート複数拾ってたらちょっとアレなかんじ

[c_shiika]

先生の考える「正しさ」と現実の法の運用は異なっている、ということなのかも。

[proverb]

確かに全パターンのハッシュ値対応を網羅するのは簡単だ。そこまで考えが至らなかった／一方で店舗側の課題感も切実なものだろうと思う。プラットフォーム側も含めて対策が必要と思う。

[sds-page]

Webサービスに対する懸念ならわかるけどねとらぼの取材に関しては大ポカって訳でもなさそうだ

[taguch1]

単方向って言ってもパターンが少ないデータをそのままハッシュにするとは思えないけど。電話番号ってわりと使い回しのサイクル早いから勝手にブラックリストに入ってたみたいなのはありそう。

[KariumNitrate]

RT数のツイートは不可欠なのかな？

[kojix4]

そもそも「氏名とセットではない携帯電話番号単体」が個人情報に該当するかを明確に規定せず、経済産業者の窓口に電話してもあいまいな回答しかしないことから、最初の判例が出るまで合法的に対応することは不可能。

[delphinus35]

なんだこれ。真っ黒じゃん。やっぱりこのサービスは潰すべき。

[himakao]

特定少数の加工した電話番号が個人情報だとしても、５千件を超えないうちは個人情報取扱事業者等にはならないのでは

[fuktommy]

ねとらぼ「予約キャンセルデータベースへの取材記事」に対するセキュリティ専門家高木浩光氏のツイート - Togetterまとめ @togetter_jpから

[northlight]

続報に期待

[kazutomo]

単方向ハッシュでもHMACとかsaltをつけてればコードも漏れないとレインボーテーブルつくれないよ