08:04:49.20ID:xdvchKmn9※NHK佐賀市のホームページで、マイナンバーカードや運転免許証などの個人情報が写った66人分の画像データがおよそ1年半もの間、外部から閲覧できる状態だったことがわかり、佐賀市は関係者へ謝罪するとともに、個人情報が悪用されていないか確認を急いでいます。写った画像データ、66人分です。特定のURLを入力すると、これらの個人情報の保管先につながるようになっていました。市によりますと、アクセス件数は履歴が残ることし1月以降だけでも982回に上るということで、個人情報が漏えいした可能性があるとしています。市は、行政手続きなどの一環で、画像データを市民などからホームページを介して送ってもらっていたということですが、ホームページを改修した際、業者がアクセスに制限をかけ忘れたことが原因だとしています。佐賀市は関係者に謝罪するとともに、個人情報が悪用されていないか確認を急いでいます。市は「多大なるご心配とご迷惑をおかけして申し訳ありません。情報の管理を徹底して再発防止に努めます」と話しています。08:07:09.65ID:0XMs75nN0公務員なんてバカしかいないからな。民間だったら三日持たない甘え切った肥溜め。08:09:11.65ID:R+QoHCo20これで誰も責任を取らないのが公務員。訴えられても税金で払うので無敵の公務員です。責任者と直接の担当は全員懲戒免職が妥当だろう。民間企業が同じことをしたら、法的に罰せられるかも。08:11:16.01ID:nvi8YjMY0言い訳しても、発注者責任ってあるからなあ。08:20:21.76ID:4WKuG6Sl0>>27中央「中国に流れてるのは佐賀のデータ。08:20:43.95ID:7KCiOGsx0これは酷すぎ。08:23:22.38ID:7KCiOGsx0免許証とか、ちょっとしたネットバンク登録とかなにかしら登録できちゃいそう。08:25:53.52ID:nMgP62ly0でお咎めなしだろ。なんでこんなやつらに個人情報預けなきゃいけないんだよ。08:30:37.88ID:D61MFy8u0こういうのはよくある話だよね。いいことではないけど、テンポラリなURLは結局人に知られないから実害が起きずにすむというやつだ。08:31:05.37ID:bDESk4QL0こういうことをやらかしても、全く公務員は責任を取らないからな。仮にとっても、意味のない責任のとりかた。こんなことやってるから、国が全く信用されないんだよ。08:35:36.61ID:C4uQUCfP0これ、漏れたら番号変更とかしてもらわないと個人の損害はでかいとおもうよ。08:35:58.35ID:D61MFy8u0設定ミスであることは明らかで、テスト項目漏れなんだろうな。確かに、利用者(役所)としては使っていて気づくことはない。08:42:02.94ID:3I9KuI890>個人情報が漏えいした可能性があるとしていますなぜ「あるとしている」というあやふやな言い方をするのだ?ここは危機感をもって、「あります」と言えよ。ほんとどこまでも楽観主義の事無かれ主義の平和ボケ連中だな。08:42:20.48ID:D61MFy8u0そりゃ業者は指示通りに作らなかったんだから悪いけど発注した側に責任がないわけでないのも当然だな。08:45:28.20ID:D61MFy8u0マイナンバーカードは多分表面だろうし住所氏名生年月日かな?運転免許証は免許証番号があるからさらに良くない。市民がどんな画像を送ってくるかなんて事前にわかるわけではないが、だからこそなんだろうね。08:46:42.02ID:VPdKCnQf0ちゃんと機能すればとても便利なのに邪魔する勢力がいるってことだな。08:49:02.11ID:XviDrox/0佐賀市は住民情報管理システムをサムスンSDSに発注して話題になったよね。08:56:09.46ID:eLFNPUKJ0>>7市庁舎内のLANで共有する時点でデータとしてサーバ上にあるのは当然。そのデータは市役所の支所や県でも扱うわけだから、当然外部からもアクセス出来る状態に無きゃ意味無い。要はそのデータに誰でも簡単にアクセス出来る状態にしていた事が問題なだけ。08:58:37.38ID:TQjwQvhc0>>108ココアは漏洩してねーし。情報が入ってこないし。09:01:03.84ID:sALJMrMf0※何も改善されません。どこかの自治体が同じことやらかします。09:02:36.67ID:D61MFy8u0>>130なんで県で扱うんだよ。支所も普通は要らんだろうが、どっちにしてもプライベートネットワーク経由にするかIPを制限した上で認証をかけるなどの方法が適切と思える。実際のところマイナンバーカードがコピーされたところで大したことにはならないぞ。大したことにならないからと言って流出していいというわけではない。それは免許証、パスポート、健康保険証でも同じだけどさ。09:10:08.33ID:8klTN2W50中抜き業者が何社もあると特定も難しいな。09:10:09.57ID:+dN/HgEe0アクセス制限以前にそういうのを普通のネット回線につなげるなよ。役所からインターネット経由でアクセスさせること自体も必ずしもおかしくはない。09:19:54.54ID:D61MFy8u0>>157年に一年のメンテでそんな確認なんてするところはないだろwメンテ関係なくいつでも確認できるんだから。メンテ時は時間も少ないので改修箇所絡みの確認を実施しつつ、既存箇所については基本となるフローを確認する程度に留まる。09:20:01.64ID:w746wGDW0これが有るからマイナンカードなんか怖くて作れないって。こんな事が起きても誰も責任取らず、ろくな対策もせず有耶無耶だろ。カードに免許証や保険証を組み込むなんてあり得ないわ。09:28:12.74ID:doWjvkV/0佐賀市は、これで誰も責任取らないんだから呆れる。民間なら、会社は信用問題で傾くし担当者は懲戒解雇だよ。白蟻公務員様はなんの責任感も抱かず大層なご身分ですなぁ。09:33:37.66ID:D61MFy8u0こういうのもあって、画像やらテキストやらを添付して企業などに送るサイトでは「個人情報を送るな」と書くんだよな。佐賀の場合は送られることを想定してたように思われるので禁止はできないがその分だけアクセス制限に気を遣わないといけなかった。09:43:51.68ID:08HzzSOF0>>1ここのコメントで行政側が一方的に叩かれてるのは何でなんかな?マイナンバー関連の個人情報をネットで送る仕様もクソだから市を擁護するつもりはないけど、制限かけ忘れたのは業者なんだから「公務員が無能で民間の方が優秀」という主張をするのは無理があるわな。09:48:03.88ID:zOSntDlR0単純なアクセス制限の問題ではないでしょ。確認画面なんかで利用者自身がアップロードした写真を表示するようになってるだろうから、このURLが任意にアクセスできちゃっただけだと思う。IPアドレスなんかで単純にアクセス制限かけたら、アップロードした本人もそういう確認ができなくなっちゃう。根本的には認証の問題だし、推測可能で確率的にも簡単に当たるURLというのも問題で、結局作りに大きな原因がある。認証については広い意味でアクセス制限と言えるかもしれないが、説明に誤魔化しがあると思う。09:54:12.01ID:D61MFy8u0実際のところ、発注した内容をすべて検収で確認することなどはありえない。それはプロの方が正しいやり方を知っているし、とんでもない時間がかかるから。よって業者に渡した仕様について、それをすべて確認したと言われる報告(テスト項目書くらいはある)を受領する形になる。発注者が全て悪いというのは筋違い。結果として問題が起きているので、例えば発注先は適切だったのか、検収は適切だったのかなど、発注側の責任も問わねばならない。テストしてないのにテストしたと業者が嘘をついてたとか、十分に信頼性、実績のある企業だったとかで、役所側に落ち度が認められない可能性もあるけど。10:07:04.89ID:D61MFy8u0>>209正直言ってよくあるインシデントですよ。10:10:09.37ID:mfXXjKfp0業者は発注時に依頼されなかった事はやらない。メールフォームに添付ファイル付けて送信できるようにしてくれとか言って発注したんだろ。気が利く業者なら何を送らせるか聞いて重要な個人情報ならセキュリティ的におすすめできないとか助言するだろうけど。公開される場所にアクセス制限をかければ当然非公開になるわけだが。10:23:19.04ID:nyFydIma0>>223うん。root以下のすべてを公開する。そこにアクセス制限を加えたければ、そのような特殊(というほどでもないが)設定を加える形となる。IPとか特殊なヘッダとか。別のアプリケーションサーバ(例えばtomcatとか)にそのまま渡して、そちらで認証させるのもある。今回、アップロードされたファイルをどこにおいたのか。NFSなのかs3なのかローカルのファイルシステムなのかなどは全くわからないけど、いずれにしても、そこにアクセス制限をかける(ユーザ認証やらIPやら)というのは普通だね。>>228パーミッションなんて関係あるのかな。そもそもユーザ権限を取らないと意味のない話だよね。10:48:37.46ID:ZwqNmu+C0結局、今回はフォームから画像をアップロードする先として、/var/httpd/html/tmp/乱数.jpgみたいなところを使ったということだろうか?で、バッチなのかqueueを利用したworkerなのか知らんが、このファイルをメールとして担当部署に送信。的なところに置けばいい気もするが、アップロード前の確認表示とかもあって、処理を簡単にするためにそうしたのかも?やるべきことは、乱数ファイル名のファイルに対して適切なトークン付でないとアクセスできない形にすることと、処理完了後に削除することかな。(つまり、アップロードした人だけがその確認時に見られるようにする。)あるいは、確認ページをなくしちゃうというのもかんたんだ。10:57:42.73ID:ZwqNmu+C0佐賀県の見解を見るに画像はクラウドなどではなく、直接に「保存フォルダ」に設置されていたのか。あったとか書いてないので存在しなかったのかも。あれば、最初から/var/private/tmp的なところに置いてれば問題はなかったかもねー。11:01:40.12ID:ZwqNmu+C0>>240市のページの「各課へのお問い合わせ」から情報提供があったんだって。それが2/25の夕方で、それを確認して遮断したのが翌日2/26の朝だそうだ。11:03:34.52ID:ZwqNmu+C0>>245私はパーミッションの話なんてしてないよ。何を読んだのか知らんけど。rootの下に設置するかどうかは、第三者に提供するかどうかなど何の関係もない。単純にそのファイルをhttpで提供するかどうかという話だな。誰にも見せないならば、そんなところに置く必要はない。特定の人にだけ見せたいならばそういう認証をかける。何の認証なのかは場合によるだろう。11:13:39.24ID:3I9KuI890業者の責任にして、役所は責任逃れ。下請けも部下のようなものだろ、責任を取れよ、無能が。11:13:50.20ID:VrhPXeWx0>>196「公務員は無能、民間じゃ通用しない」とかの叩き方がおかしいと言ってるだけ。この件では民間の業者のミスだし、無農業者に任せた市の失態には違いないが。11:22:33.57ID:ZwqNmu+C0あんまり関係ないが、wordpressを自力でApacheとかで運用するのやめてほしいんだよな。まともに管理できている例をあまり見ない。そもそも使うなという話もあるが、どうしても使うならマネージドなホスティングサービスを使ってほしい。詳しい人でもめんどくさいのに素人に毛が生えた程度のが運用すると脆弱性対応とかがまともになされない。役所や企業でもよく使ってるのを見るけど。11:30:45.93ID:ZwqNmu+C0今佐賀市のページで確認したら添付画像を入れて確認画面に遷移すると、添付画像は確認ページに表示されません、的な注意書きが出てきた。想像だが、ここはもともと画像が表示されていたんだろう。今回の問題を受けて画像保存先は移動してしまい、確認画面から取り払ったかな。トークン発行とかさっさと実装しにくいのでこの対応でも十分。(もともと確認画面に画像があったというのは想像にすぎないけど。11:40:30.84ID:ZwqNmu+C0>>265法人番号はもともと公開されてるんだから当たり前だよ。12:54:01.62ID:ZwqNmu+C0>>278民間サービスではマイナンバーを使えないぞ。税とか社会保障とか限られた分野で使うわけなので、勝手に会員サービスで紐付けたら違法だ。違法でもやるやつがいるといえばそりゃそうだろうが、それなら合法的に収集されてる免許証番号の方がむしろ危険だ。12:56:11.33ID:ZwqNmu+C0>>274騒ぐやつはいるかもしれんが、それは分かってないのでは?法人番号なんて公開前提の情報だ。会社名を書いてるのと大して変わらない。13:17:16.72ID:ZwqNmu+C0>>285こういうのを役所が自力でやる意味はないだろ。コストがかさむし品質も下がる。13:27:47.18ID:XBs7Y6SW0>>46森羅万象すべての事柄のチェックはできないよ。13:45:37.93ID:dlueXjRd0業者のせいにしてるけど、市の個人情報に対する鈍感さが一番の原因。画像を送くらせたんだろう。15:20:08.31ID:HJKFf1rI0こんなんじゃ個人情報を行政に出せるもんじゃないな。行政の信用を著しく失墜させた関係者を処罰しろよ。15:40:49.47ID:gLgwx1FM0アホの産地、佐賀。15:47:22.52ID:DNVWYgLB0ネット創世記から、FTPでweb接続するとPWなんて123456で通ってしまい、ざるみたいに丸見えになるサイトはよくある。06:39:47.95ID:5CzBpjPm0>>1中国は数百万人分のマイナンバー情報把握してるし役所も公開しちゃったし、もう保険証や免許証とのリンクは危険すぎる。06:42:36.77ID:94Af+wDz0業者が忘れたんじゃない。役人が指示し忘れたか、確認し忘れたか、業務に怠慢があったかが原因。06:54:12.70ID:be2koVtx0すごい情報だな。06:59:12.12ID:sl1EWiOf0なんでオンラインのシステムに個人情報を載せるのか、これが全くわからない。09:49:07.88ID:8ZKJgEwi0免許証番号の方が法規制もなく堂々といろんな情報に結び付けられてるからな。免許証番号は渡すがマイナンバーは怖いって人はよく理解できない。自分の場合は、身分証明書を求められたらマイナンバーカードを渡すよ。裏面コピーやマイナンバー書き留めは禁止だし。免許証番号を渡すのにそんなに抵抗あるわけでもないけど、マイナンバーカードの方が使いやすいという程度。18:20:10.75ID:nBAAP3Go0頭の悪い役人が必死で抵抗してて笑う。即刻中止してもらいたい。20:32:31.98ID:l+yKCSv00いやいやいやいやいや>マイナンバーカードのほか、運転免許証や住民票、>源泉徴収票などが写った画像データ、66人分です。あのさあ、てかそういう市民から提供のあった個人情報を役所が自前のウェブサイトにageている意味is何?wいや、普通にわからないね。「ホームページを改修した際、業者がアクセスに制限をかけ忘れた」かなんか知らんけど市民から送ってもらった個人情報データ、たぶんなんかの申請かなんかしらんけどさ、それを1年半の長きにわたり外部からフリーダムに見られるように置きっぱってなんなんすかそれwwwで、まあたこの手の事案の後始末にあるような「情報の管理を徹底して再発防止に努めます」式の定型句的なテヘペロなステイツメントで一件落着オールオッケーかしらんけど全国津々浦々、お役人の市民への個人情報保護の意識はかくの如しですなあ。よってそういう画像データをおっぴろげに出しちゃうの。いうことがあると、もちろん電子申請への国民の目つきは極めて悪くなるしこんな調子じゃとても電子立国だのデジタル行政だのマイナンバーだのそういうのへの信頼は、夢のまた夢だね。