浜岡原発を止めよう

要望書の賛同者名簿の情報漏えいについての

お詫びとご報告

2011年5月18日記
福島原発事故を受けて、浜岡原発の運転停止を願う市民有志」
代表　馬場利子
サイト管理者　加藤光代

　5月14日、日本国内だけでなく、世界各地からも要望が届けられた『浜岡原発の全機運転中止』の願いが実現しました。
私たちは小さな行動ではありましたが、同じ願いを持つ人々と繋がることが出来、浜岡原発が事故やトラブルではなく、全機運転停止という日を迎えられたことを心から嬉しく思っています。

　皆さんと繋がれた『要望書への賛同署名』ですが、署名を頂く過程で、一時期、その個人情報が管理者以外に閲覧できる状態であった事が、外部の方からの情報提供で分かりました。

　この件について、指摘を受けた時点から、サイト管理者、協力者の皆さんによって、以下のような対処と調査をしておりましたので、ご報告いたします。

・・・・・・・・・・・・・以下、サイト管理者の報告です・・・・・・・・・・・・

　4月12日に独立行政法人情報処理推進機構(IPA)セキュリティセンターより署名の脆弱性に関する情報をいただき、私たちにできる限りの調査と対処をいたしました。

　調査と対処に大変時間がかかり、ご報告が遅くなりましたことをお詫びします。
また、3月25日～3月31日にフォームから署名を下さった方の個人情報が漏えいした可能性がありますことを、深くお詫び申し上げます。

＝＝＝報告1＝＝＝
4/12　19：23独立行政法人情報処理推進機構(IPA)セキュリティセンターから、セキュリティ上の問題について届け出があったとメールをいただきました。
IPAの営業時刻を過ぎていたため、詳細の確認は4/13となりました。

【届け出の内容】は対象URLが記載されており、
①Googleの検索中に発見。
②ネット署名の個人情報が閲覧可能な状態にある。
③パスワードが閲覧可能な状態にある。
という3点でした。

【経緯と調査及び対処】
届け出のあったURLはその時点で表示されず、ページの特定が困難だったため、
①署名フォームに関係するデータを全てサーバーから落としました。
②Google、goo、mns、yahooなどの検索サイトから、このURLを削除してもらう処置をしました。
③このウェブページから閲覧可能なパスワードは署名フォームに関係のないものであることから問題はありませんでした。

個人情報の漏えいに関しては事実が確認できなかったため、皆様にはご報告しませんでした。
今後の漏えいを防ぐ対処は完了し、私たちにできる対処はこの3点で良いかをIPAにお聞きして、 4/27に修正完了報告書をIPAに提出いたしました。

＝＝＝報告2＝＝＝
5/7　プラムフィールド掲示板に、署名の脆弱性について書かれたホームページ（以下、ホームページとする）が存在することを教えてくださる投稿をいただきました。

【ホームページの内容】は
①「福島原発事故を受けて、浜岡原発の運転停止を願う市民有志」が行っていた「東海地震に備えて、浜岡原子力発電所の運転停止を中部電力に働きかける要望書」賛同署名において脆弱性があった。
これにより個人情報が漏洩した可能性がある。～中略～
本来公開されるべきでないディレクトリがインターネット上で誰でも閲覧可能な状態にあった。
これには個人情報が記載されたファイルが含まれる。～中略～
②このほかにも移行元と移行先のディレクトリが存在する。
この2箇所の脆弱性は未確認だが同様の常態であった可能性がある。～中略～
③他の方がIPAを通じて脆弱性の通知を行った日よりある程度経ったが、「浜岡原発の運転停止を願う市民有志」からの発表はなく、実際に個人情報漏えいが起きたのか等不明のまま。代表やサイト管理者には迅速な情報公開を望む。～後略～
というものでした。

【経緯と調査及び対処】
①上記ホームページにはIPAに届け出のあったURLの画像がプリントされており、ページの特定ができたので、そのページがPC内に存在した4/1から4/13までの間に届け出のあったURLのページにアクセスした（見に来た）人の調査をサーバーと協力者に依頼しました。
サーバーと協力者から「12日と13日にAさんが130回、Bさんが2回アクセスしている」という報告がありました。
このことから、署名の個人情報を閲覧、若しくは個人情報を所有している可能性のある方は Aさん、Bさんの二人である事がわかりました。
また、上記ホームページで脆弱性を教えてくださった方と、IPAに届け出をしてくださった方が、個人情報の閲覧、所有をしている可能性があります。
②元の署名フォームはセキュリティが施されており、脆弱性は認められませんでした。
③IPAからの通知には修正完了報告書を提出しており、IPAからの届け出内容では過去について調べることができず、不確かな情報を公開することになるのでウェブ上での報告は差し控えさせていただきました。
今回、掲示板を通じて上記ホームページを閲覧でき、漏えいの事実が確認できましたので、ご報告とお詫びをさせていただくことにしました。

【個人情報の詳細について】
3/25～3/31に署名フォームから署名をしてくださった8.577名の方のお名前、住所、メールアドレスが4/1～4/12に閲覧可能な状態にありました。
アクセス記録から、不特定多数の方が閲覧した事実はなく、二人の方が個人情報を閲覧、所有している可能性があります。
3/14～4/12にメールで署名をしてくださった方、4/1～4/12にフォームで署名してくださった方については漏えいの可能性はありません。

【今後、個人情報を所有している可能性のある方に私たちができること】
Aさん、Bさんのアドレスや住所氏名を教えていただき、情報の破棄をお願いすることは簡単ではないようですが、必要であればAさん、BさんのプロバイダにIPアドレスの記録を調べていただき、個人を特定することはできるようです。
ホームページ作成者の方にはサーバー（HP掲載場所管理者）を通じて、
IPAに届け出をしてくださった方にはIPAを通じて、
もし、個人情報をお持ちの場合は破棄していただくよう、お願いをする予定です。

私たちの情報管理の知識が不足していたために、署名をしてくださった皆様の大切な個人情報が流出した可能性がありますことを、心よりお詫び申し上げます。本当に申し訳ありませんでした。

サイト管理者の報告にありますように、個人情報にアクセスした人は不特定多数ではなく、限られた人ではありますが、私たちの不手際で流出した個人情報を悪用した詐欺や迷惑行為などの被害にあわれませんよう、あわせてお願い申し上げます。

個人情報を悪用した迷惑メール受信との混乱を避けるため、署名いただいたアドレスに当方からお詫び申し上げることは差し控え、このウェブ上での謝罪とさせていただきました。ご理解くださいますようお願いいたします。

最後に、私どものウェブページの脆弱性をIPAに届け出てくださった方、その対処が不適切であるとホームページを作って教えてくださった方、そして、上記ホームページの存在を教えてくださった掲示板投稿者の方がたに対し、適切な助言を頂きましたことを、心より感謝申し上げます。

そして、この出来事に対して、専門的な知識と多くの時間を費やして調査と修復に協力をしてくださいました協力者の皆さんのご尽力、本当にありがとうございました。

【この出来事に関するお問い合せ先】e-Mail　:　plumfield9905@yahoo.co.jp

2011年5月19日記
サイト管理者　加藤光代

＝＝＝報告3＝＝＝
本日個人情報破棄のお願いをしておりましたサーバーとIPAからお返事をいただきましたので、ご報告いたします。

【サーバーを通じてホームページ作成者の方からのお返事】
「ホームページで個人情報は保持していない旨を表明されておられます。
そのため、破棄依頼を行う必要はないかと考えられますが、もし伝言など必要な場合にはお知らせください。」

【IPAを通じて発見者の方からのお返事】
「発見者に連絡したところ、発見者より個人情報を保持していないと回答がありました。
また、本件の取扱いにつきまして、異論がありませんでしたので、このメールを持ちまして、本件の取扱いを終了させていただきます。」

署名をしてくださったみなさまに、大変ご心配をおかけいたしました。
暖かく見守って下さいまして、本当にありがとうございました。