雇用調整助成金等オンライン受付システムの不具合への対応について

１．経緯 システム不具合により、令和２年５月20日（水）から停止していた雇用調整助成金等オンライン受付システムについて、６月５日（金）に運用を再開したが、同日、システムの不具合により、申請を行った会社の添付書類が他者に閲覧可能となるという事案が判明し、再度停止した。 ２．確認できた不具合の内容 １つの事業者の申請に添付された申請書類が他の事業者（計10社）に閲覧された。 閲覧された書類には以下の個人情報が含まれていた。 ・役員（２名）に関する情報：氏名、役職、性別、生年月日 ・労働者（２名）に関する情報：氏名、休業日数・休業手当額、タイムカード（出退勤や休業の状況）、給与明細（基本給、各種手当、保険料、税金、控除合計額、差引支給額等）など これに加え、事業者の銀行口座の情報なども含まれていた。 ３．不具合が生じた原因 ユーザーが申請作業中、特定の画面で、システム上の戻るボタンではなく、ブラ

[ockeghem]

『ユーザーが申請作業中、特定の画面で、システム上の戻るボタンではなく、ブラウザで前の画面に戻る操作を行った場合に、適切なデータを参照せず、特定の１社のデータを表示するプログラムミス』

[prograti]

うむー、よく分からないバグですね。主キーが事業所名＋αの複合主キーで、戻るボタンで＋αの部分が空になって事業所名だけでデータを参照したために同一事業所名の1番目がヒットしたとか？

[gabill]

特定の一社のIDと一致するページに誘導されるバグだとしたら、それ以外の会社のIDを総当たりしても閲覧できそう。

[hiby]

>ブラウザで前の画面に戻る操作を行った場合に、適切なデータを参照せず、特定の１社のデータを表示するプログラムミスが直接の原因である　ステージング環境のIDがハードコーディングされてる奴？

[Ashburton]

まともに作ってて起こるレベルのミスじゃない。

[t_yamo]

実装ミスだよの報告にIPS/IDSのログの調査報告も入れてくるのか。

[satohi]

申請システムの経験ないとこ開発したのかね。まさかの内製だったりして。

[htnmiki]

特定の１社とは

[tmtms]

“ユーザーが申請作業中、特定の画面で、システム上の戻るボタンではなく、ブラウザで前の画面に戻る操作を行った場合に、適切なデータを参照せず、特定の１社のデータを表示するプログラムミスが直接の原因”

[kuracom]

セッションが切れた場合の処理に不具合でもあったのかな > “ブラウザで前の画面に戻る操作を行った場合に、適切なデータを参照せず、特定の１社のデータを表示するプログラムミス”

[ya--mada]

実装ルール作ってないの？的な。“厚生労働省及び受託者を対象としたプロジェクト管理を含むシステム監査を実施し、今回の事案が生じた原因の徹底的な究明を行う”

[pullphone]

“特定の画面で、システム上の戻るボタンではなく、ブラウザで前の画面に戻る操作を行った場合に、適切なデータを参照せず、特定の１社のデータを表示するプログラムミス”