「宅ふぁいる便」約480万件の個人情報漏えい…パスワードを“暗号化”していなかった理由を聞いた｜FNNプライムオンライン

メールとパスワードの組み合わせを、他にも流用している人は注意！ 「宅ふぁいる便」のパスワードを暗号化していなかった 他のサービスの暗号化についても聞いてみた 1月25日、インターネットでファイルを転送する「宅ふぁいる便」のサーバーが不正アクセスの被害を受け、約480万件の個人情報が漏えいしたと、運営元のオージス総研が発表した。 公式サイトでは当初「メールアドレス、ログインパスワード、生年月日」の漏えいが確定したとしていたが、28日に他の情報漏えいも分かったと改めて発表した。 現時点で漏えいが確定した情報は以下の通りだという。 （１）2005年以降、全期間を通じてお客さまにご回答いただいている情報 氏名（ふりがな）、ログイン用メールアドレス、ログインパスワード、生年月日、性別、 職業・業種・職種※、居住地の都道府県名、メールアドレス2、メールアドレス3 （２）上記に加えて、2005年～201

[ikurii]

「たかし、早くパスワードの暗号化済ませちゃいな」「今やろうと思ってたのに〜」

[poponponpon]

“いつか暗号化しなければならないという予定はありました。” それは予定とは言わない。

[ton-boo]

「暗号化してる？」って聞かれて「ハッシュ化してる/してない」って答えてるの少し真面目だな

[megazalrock]

いつまでプライバシーマーク掲げてるのかも聞いといてほしかった。

[mkusunok]

あるある→“宅ふぁいる便は20年ぐらい前から動いているサービスで最初から暗号化はされていませんでしたが、いつか暗号化しなければならないという予定はありました”

[good2nd]

20年もやってりゃ何度も改修してるだろうし、サーバだってOSだって何度も変わってるはず。言い訳にはならないでしょ／みんなかなりの数のサービス使ってるんだし、使い回しすんなってのも難しいよね実際。

[seal2501]

オフィス宅ふぁいる便はハッシュ化してるってことだけど、まさかmd5じゃないよね…

[sds-page]

「客からパスワードを聞かれたときに答えられなきゃ困るだろ！わざわざ再発行とか面倒な事させるのか！」みたいな上司の存在も聞いて

[cl-gaku]

わかるー数年かかった／20年動いたスパゲティのパスワードを無事故でハッシュ化します。ってのを上に納得させられるレベルのエンジニアは多分思ってるより貴重なんだよ。だからみんな転職しろ給料上がるぞって言う。

[hitac]

流石に20年放置するほど大変とは思えん

[naglfar]

こういうことでもないと成果が見えないから後回しにされるんだろうなぁ……。

[daybeforeyesterday]

うーむ

[nnnnnhisakun]

「いつかは」ってのは「前向きに検討」と同じでシステムが寿命でなくなるまで延々と放置されるタスク

[pmakino]

「いつか暗号化しなければならないという予定はありました…計画を立ているところで今回の漏えいが起きてしまいました」<「宿題やったの?」「今やろうと思ってたとこ!」感ある

[ichiken7]

ひどい事件だとは思うが、一番悪いのは盗っ人であることを忘れちゃいけない。これで何人の日常が灰色になったことか…。

[rotom]

今やろうと思ってたのに案件

[chankin]

ちょっと前にユーザーの物理削除は(自分が)大変だから論理削除でいいじゃんってQiitaで主張してた人元気かなー(蒸し返す)

[SOLTALLOW]

“宅ふぁいる便は20年ぐらい前から動いているサービスで最初から暗号化はされていませんでしたが、いつか暗号化しなければならないという予定はありました” いつかではなくさっさと予算組んでスケジュール切れとしか

[hate_flag]

ていうか「暗号化してなかった理由」はなんなのさ？書いてないじゃん。めんどくさかったの？この会社は他の事業でも同じような手抜きしてんの？

[tenten0213]

“いつか暗号化しなければならないという予定はありました。”

[tarchan]

トレンドマイクロ？＞セキュリティベンダーに入ってていただいて、不審な動きがあったところから順番にログを追いかけたり

[securecat]

この事態を踏まえて、自分とこのサービスでパスワード暗号化されてないのあったら直ちにやっとくべきだろう。現時点で存在してるサービスで、今後パスワードが平文で漏洩っていう事故が起きたらそれこそ笑いもの。

[richard_raw]

「いつか暗号化しなければならないという予定はありました。」これが技術的負債か……。

[cider_kondo]

id:natu3kan「現場の警告って、上位にエスカレするたびにどんどん危機感が低く報告されていく法則」http://b.hatena.ne.jp/entry/s/anond.hatelabo.jp/20190129122704 を連想。普通の組織だと、サービスが大きい＝鈍感さも大きい、だよなぁ。

[Lhankor_Mhy]

レガシーなコードを放置した結果、レガシーな企業とみなされるようになった、という話か。怖いな。

[ykore52]

レガシーシステム、レガシー組織って感じだ

[taku-o]

現場に他のタスクをこなす余裕と優先順位の判断を与えなければ、なくはないと思う。この例は20年だが、別に30分でも漏洩する時はするしね。

[tigercaffe]

重要だが緊急性がない問題は基本的に先送りされる。現場が何の問題か知らんが、相当忙しかったんじゃ？

[delphinus35]

20年前に開始したから暗号化されてない、って全然理由になってないんだが。

[washita]

“サービスで最初から暗号化はされていませんでしたが、いつか暗号化しなければならないという予定はありました” それは予定じゃないだろー。『そば屋の出前』て言われるやつだ。（そば屋には風評被害になるか）

[dorje2009]

サービス開始が20年前ってのはまるで理由にならない。20年前の感覚でセキュリティ実装してるならパスワード保存方法以外もボロボロと推測される

[grand_big]

暗号化するのはそんな難しい技術じゃないので、初めからやって欲しかったな。

[you1]

前にも書いたが、2000年頃のKENT WEBのサンプルでもハッシュ化してた記憶。

[bYMQ]

“いつか暗号化しなければならないという予定はありました”いや、それ計画されてないから！

[dollarss]

「暗号化していなかった理由」は書かれていない。昔だからしてなかったし、いつかやろうとは思ってた。これは理由にはならないね。読み解くなら「コスト」としか。まぁ“高くついた”わけだが

[stp7]

いやいや、個人向けでもセキュリティしっかりしろよ “「オフィス宅ふぁいる便」というのは企業でお使いいただくもので、そのためのセキュリティ機能を持っています。”

[suika3417]

いつかやる（やるとは言っていない）とか自分かな？

[gogatsu26]

“20年ぐらい前から動いているサービスで最初から暗号化はされていませんでしたが、いつか暗号化しなければならないという予定はありました。ただサービスが大きいことと資源の問題などもあったため…”