Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

能力測定サービスで他人の受験結果が閲覧可能に - Z会

Z会ソリューションズは、生徒の資質や能力を測定するサービス「DiscoveRe Method」において、関係ない別の受検者に関する受検結果を閲覧できる状態となっていたことを明らかにした。

同社によれば、同サービスのウェブシステムにおいて受検者向けの受検結果確認画面に学校単位など同じグループで受検した他受検者に関する氏名やスコアが含まれていたもの。

全体傾向と個人の結果を表す散布図のソースコードを参照することで閲覧が可能だったという。10月4日に利用者から指摘があり問題が発覚した。

問題のシステムを使用開始した2021年7月22日以降、受検した20団体4057人の受検者について、同一グループに属する受検者の情報を閲覧できる状態だった。もっとも受験者が多いグループで65人としている。

システムを開発した委託先が調査を行ったところ、教師など管理者用の画面に使用している機能部分のコードを受検者画面に転用した際、不要となる部分を削除していなかったという。

10月5日に同システムの修正を完了。同社では、対象となる受検者が所属する団体の管理者へ、電話およびメールで経緯の説明と謝罪を行っている。

(Security NEXT - 2022/10/13 ) このエントリーをはてなブックマークに追加

PR

関連記事

会員管理システムにサイバー攻撃、情報流出の可能性 - 日本栄養士連盟
米政府、ソフトウェアサプライチェーン保護のガイダンスを公開
Zohoのアクセス関連製品に複数のSQLi脆弱性
W杯関係者を狙うサイバー攻撃、10月より大幅増加
研究者狙うサイバー攻撃、講演や取材の依頼を偽装
職業訓練生が教室に置き去られた名簿をスマホ撮影 - 群馬県
公開資料の個人情報、墨塗りするもはずせる状態 - 琉球大
関連機関サイトに不正アクセス、CMSに不正プラグイン - 富山県立大
宣伝会議、不祥事ランキングを公表 - 求められる迅速な誠意ある対応
ビルシステムのセキュリティ対策カタログをリリース - CSSC