タイムズカーの個人情報漏洩が話題です。話題というか…今回漏れたのは、運転免許証の画像です。
「タイムズカー」で約660万件の情報漏えい 「運転免許証などの画像160万件」流出で、次に狙われる恐れがあるのは - ITmedia ビジネスオンライン
個人情報ってレベルじゃねーぞ！！いや真面目に日本のインターネット史上最悪レベルのセキュリティインシデントなんですけお！タイムズカー絶対自覚してないよね。すごい対応舐めてるもん。
クレカ以外全部流出！？
そして運の悪いことに、僕も9月からタイムズカーに入会していたのでした😭
お陰様でバッチリと漏洩しました＼(^o^)／
SNSで運転免許証シェアリングサービスとかいわれてて草ぁ！なんも面白くねぇ！前代未聞のサービスがここに爆誕です！何を言っているのかわからねぇと思うが俺も何をされているのかわからねぇ！
今この瞬間も、僕の運転免許証画像がダークウェブを漂っているというのか…。いや実際のところまだ確定とは言えないんだけど、全然わからないんだよ実情が。だって教えてくれねぇから！「「タイムズカーWebサイト」への不正アクセスに関する調査結果および今後の対応について（第2報） | カーシェアリングのタイムズカー（旧：タイムズカーシェア」みても
4. 漏えいした情報
対象者により異なりますが、漏えいした情報は以下のとおりです。
・氏名
・法人会員様の所属部署名
・住所
・生年月日
・電話番号
・メールアドレス
・運転免許情報
・本人確認書類情報（運転免許証画像 等）
・パスワード ※1
・連携サービスID ※2
※1 パスワードは復元できない形式で保管しており、当該情報を用いてお客様アカウントが不正に利用される恐れはありません
※2 連携サービスIDは「JR西日本グループの会員サービスWESTER ID」等（計9件）となります
クレカ以外全部可能性ありじゃねぇか！ちなみに第三報では本人確認書類には画像もあるやでって報告されてました！っつか場合によってはクレカより酷いんじゃないかね運転免許証の画像は。少なくともクレカは無事だからって全然安心できねぇ。テンプレメールで済ませていい問題じゃないんだよなぁ。
メールは漏洩確定演出！
しかもこれ、メールが届いた時点で漏洩確定演出なんですよ。どういうことかというと、漏洩確定してない人にはメール送ってないんです。便りがないのは無事の便りをセキュリティインシデントでやっていいと思ってるのか？もはやいつものことですが僕もまたSNSで知りましたよ。もう全部SNSだよ。どうなってんの。
いやまぁ、もう他の企業もそうなんですけどね…GMOとかGMOとかGMOとか…（永遠にConoHaの障害時の対応を擦り続ける）。普段はログインするたびにチンパンジーの絵合わせテストみたいなのをさせた挙句、ログインのたびにメールまで送ってくる癖に！本当に意図しないログインがあったときにはメールしやがらねぇのさ。攻撃者に認証コードは発行したかい？
本当に舐めきってるぜ。9月28日18時時点で、メールも送らず、Webサイトで一報入れていただけだったからね！9月28日当時のトップページがこれよ。
400万人突破記念キャンペーン（意味深）
いや、キャンペーンしてる場合じゃ無いやろ！
が、ここで冷静な人は、400万人なのに660万件とはこれいかに？と思われるかもしれない。なんと今回の被弾者には、「退会済み」と「入会完了してない人」が含まれています。どういうことなの…。
ここで退会済みの人の情報を保持していることについては、取引記録を持つことが法律上必要云々みたいなこと言うわけですが、騙されてはいけません。これは税制上の問題なのであって、運転免許証画像の記録を延々と保存しておく必要があるわけないでしょう。もっといえば金銭の発生していない、契約もしていないだろう入会完了前の人にいたっては本当に意味不明です。
ちなみにトップ画像のちょっと下を見ると、「おすすめコンテンツ」があり、その下の「新着情報」にしれっと今回のやらかしが一行掲載されていました。
燦然と輝く「お友達紹介」。このタイミングで紹介してくるやつは友達じゃねぇ。
さすがにまずいと思ったのか、同日21時に確認したところ、赤帯でインシデントがあったことは注意書きされていました。
だから400万人突破キャンペーンさぁ……もう別の意味にしか見えないんだよ。なおこの時点でメールなし。キャンペーンを見に来いってか？
一番可哀想なRTAを見た
タイムズ舐めきってんだろ。
こうなる理由はわかっていて、過去にもベネッセの判例なんかを見ると、雀の涙みたいな賠償で終わってるわけ。だからまぁ企業はPマークを取ります！みたく無意味に上納金だけ納めて、実質的にはなにもせず、いざインシデントが起きたら素知らぬ振りというわけよ。
こうなってくるともう、セキュリティ対策ってなんなんだってなる。小文字大文字記号を織り交ぜた12桁以上のパスワードとMFAとパスキーを設定したところで企業側のクソ雑魚サーバから漏れたらなんにもならないんだよ！もうサービス使うこと自体がセキュリティリスクとしか言えないじゃない。この人とかすごい可哀想だよ！
個人情報漏洩RTAで草。いや笑っちゃいけないんだけど申し訳ないんだけど笑ってしまった。こんなんもう公式フィッシング詐欺やろ。
10年前のフレームワークが魔法をかけてくれる
こんな感じですけどね、今回はちょっとタイムズさんまずいと思いますよ。運転免許証の画像というのは、本人確認書類として一線を超えていると思います。前代未聞ですよ。こんな重大な漏洩しておいて、「パスワードは平文ではありません（キリッ」もないもんだ。パスワード漏洩のほうがよっぽどマシだったよ！
こんな重大なものを保持しているのも謎です。法律で7年の取引記録を保持する義務が云々ありますが、それは税制上の問題のはずで、運転免許証の画像を保存せよということになるとは到底思えません。
また仮に保存する必要があったとしても、このように重大なお漏らしをしている以上、その管理体制が適切であったかは当然問われます。で、今回のタイムズカーについては、客観的に確認できる事実だけで、外形的にアウトなんじゃないでしょうか。
マイページログインしてみたら本当にSeasarだったｗ
そりゃやられるわｗ
SeasarはEOLが10年前だったようで、そんなものを使い続けていたとなれば、これは技術的に適切な措置を講じていたとは到底言えませんよ（僕も確認しました）。この手の問題は企業の責任を追求するにあたってどうしてもサーバの情報は企業側というのがネックになるわけですが、まさかF12で確認できる範囲で既にもうアウトだとは…。
これにはAIも
個人情報保護法第23条が求める「安全管理措置」において、企業側が不可抗力を主張するための大前提は「社会通念上、その時点で合理的と考えられる適切な技術的対策を講じていたこと」です。
10年前にEOLを迎えたフレームワークを放置していた事実は、単なる「防ぎきれなかった過失」の枠を完全に踏み越えています。
とのこと。珍しくAIと同意見です。
まぁマイページから見られる脆弱性が即漏洩に繋がったとは断定できないんですが、これでは裏側がどうなっているかも推して知るべしといったところです。少なくともちゃんとやっていたと主張するのは厳しくなるんじゃないですかね。たとえ保存する必要があるにせよ、普段照会する必要があると思えないし、であるならばコールドストレージに保存など合理的にそうすべきだったと考えられる対応はあったはず。
こうして実際に漏れた以上、いかなる説明も言い訳ですし、外形的に見てもおかしいと言えるところはありそうに思います。
株価の影響は限定的…だが
パーク24の株価は多少下がったものの、未だその影響は限定的です。
2000円程度だったところから1800円台。1800円の底値から少しリバってますね。落ちてはいるものの、事の重大性を考えると、株主は影響を未だ舐めていると思います。
実害が今後出てくるかどうかが問題だと思うのですが、可能性はありうると見ています。実際、既にもう見え始めています。
タイムズカー関連で今わかっているのは
CIC：本人申告は不安定だけど生きてる
JICC：鯖落ち
全銀協：本人申告の受付休止警察
未確定情報だが、免許証の再交付について何かしらの措置を検討中？
少なくとも信用情報機関に対する本人申告をせざるを得ない状況に追い込まれたことは、財産権の侵害であるように思われます。また、もし今後警察が動くようなことになれば、それは行政が動くようなことであるということですから、社会的な重大性と、対応の必要性の根拠にもなるんじゃないでしょうか。ま、ちょっとこのへんは今後の展開次第なのですが…。
既に集団訴訟の名乗りを上げている弁護士の方もいらっしゃるようです。
僕は様子見中ですが、今後の展開次第で実際のアクションも検討します。
これでいいのか？
というかですね、これだけ盛大に運転免許証の画像みたいなものまで漏洩して、社会のみんなにコストをばら撒いておきながら、もしなんのお咎めもないのであれば、日本企業にセキュリティリスクなんて存在しません。いったい、企業の存在理由とはなんなのですか。
いくらなんでも今回は一線を超えていると思います。僕自身も被弾したことで当事者となりましたので、この問題は引き続き追っていきます。タイムズの誠実な対応を願います。
<関連記事>
コメント