Yahoo!BB契約者、約460万人の個人情報が漏洩した。
現在Yahoo!BB契約者は381万人(2004.1現在)と公称されているため、460万人って契約者と解約者の大半ではないだろうか。
俺の情報も含まれているかもしれない。
今回流出したのは、住所、氏名、電話番号、メールアドレス、申し込み日の5項目。
クレジットカード情報は漏洩していないということだが、これだけの情報が漏洩するのはおそらく日本史上最悪であろう。
今回の流出経路については未だ特定されていない。
逮捕された容疑者は、「フロッピーディスクを近くの公園で拾った」と証言しているそうだが、その可能性はきわめて低いと考えられる。
周知のとおり、フロッピーディスクには通常1.44Mbyteしか記憶できない。
それに対し、今回発見されたメディアはDVDである。
DVDに記録されていたということは、より普及しているCD-ROMの700Mbyteより多い情報が記録されていたと考えるのが妥当であろう。
仮に700Mbyteの個人情報だとした場合、フロッピーディスク486枚に相当する。
それほど多くのフロッピーディスクが公園に落ちているとは考えづらい。
容量について考察してみる。
個人情報の容量の比較対象として、ログをあげる。
テキスト情報であるログは、一般的に10000行で1Mbyteといわれる。
460万行だったら460Mbyteとなる。
ためしに、
「100-0000 東京都千代田区赤坂3丁目１−２メゾン赤坂７０１, 山田太郎, 03-2222-2222, taro@yamada.co.jp, 2004-02-25」
というcsv形式のダミーテキストデータを10000行作成してみた。
1100110byte=約1.1Mbyteだった。
1.1M*460=506Mbyteをフロッピーディスクに収めるとすると、351枚が必要となる。
やはり、公園で拾うにしては多すぎる。
また、エクセルファイルに記録されているとなれば、さらに多くの容量を必要とする。
また、会社側は「一度に一人のデータしか参照できない」といっているそうだが、460万人分のデータが一枚のDVDに収められて発見されたわけであるから、会社のコメントを発表した担当者は、よく社内のセキュリティ状況を把握せずに発言したとしか思えない。
460万人分のデータを逐一フロッピーディスクに放り込むなんて何百年かかるんだ？
Yahoo!BBは、多額の広告費をかけた宣伝を敢行し、また街頭でモデムを積極的に配布し、普及に努め、加入者を急激に獲得した。
この加入者の増加に明らかに社内はついていけず、サポートセンターに電話がかからない状態が続いたり、
モデムの発送について顧客と企業の間でトラブルがあったりと、企業としてのモラルを疑われかねないような会社運営を行ってきた。
そのような急激な拡大路線の渦中で、急増した新規社員の教育不足や、急激に変化する社内システムにおける脆弱性、社内チームワークや社員間の信頼の欠如、などなどがあった可能性は低くはないと個人的に思う。
このように、社員の企業への忠誠心の低さや、システムのセキュリティ的欠陥、未熟なセキュリティポリシーなどが重なって、今回のような事件がおきたのではないだろうか。
幸い、逮捕者が馬鹿な行動をしてくれたからよかったからよかったものの、MXやnyに放流されたらどうなっていただろう。
しかし、仮に名簿屋に流れていたとしたら、放流は時間の問題である。
TBCのサイトから漏洩した情報はP2Pで今もなおやり取りされている。
今のところ、2chダウンロード版やネットワークセキュリティ版は祭りに突入してはいないため、現段階ではP2Pに流れたとは思えない。
また、セキュリティホールmemoメーリングリストでも議論の対象となっていない。
slash.dotでは、敏感に反応しているが、報道以上の情報はない。
逮捕者は名簿屋に情報を売ったのだろうか？
今後は契約時に、安さだけに注視するのではなく、信頼できるキャリアやプロバイダを選択するために、安全のための多少のコストを上澄みしてでも安心できる企業を選択する必要があるのではないだろうか。
追記：
「海外の人物から情報を受け取った」とも証言しているようだが、逮捕者が社内に出入りしている時点で信憑性の薄い証言といわざるを得ず、自身で盗んだ情報である可能性のほうが圧倒的に高いであろう。
なにはともあれ、複数のパターンの証言をしている時点で、怪しさ満点。