利用企業で出力データに大量の他社データ - 三菱UFJファクター

三菱UFJファクターは、料金の収納に同社のウェブ払込票サービス「コンビニネット」を利用する企業1社において、同社とは無関係である他社データが大量に出力される不具合があり、顧客情報が流出したことを明らかにした。

同社によれば、3月20日に同サービスを利用する企業1社が、ウェブ払込票のデータ一覧表を出力する際、同サービスを利用する他社のデータが大量に出力される不具合が発生したもの。

数回の操作を通じて、112社4万1件のデータが出力された。収納企業名や顧客名、請求番号、請求金額、支払期限などが含まれる。出力されたPDFは、1ページあたり20件の明細が記載されており、全2000ページに及ぶが、66ページを印刷したところで異常に気づき、印刷を停止したという。

同時に同一IDを用いたログインがあり、二重ログインのエラーによって印刷するデータの取得条件がクリアされたが、同時に停止すべきPDFの作成処理がそのまま実行され、データベースにおける全件検索の結果から4万件が出力された。

問題のPDFは保存されておらず、同社ではPDFをもとに印刷された払込票を回収した。原因となったエラー処理時の処理や同様の問題が発生しうる部分を特定。3月26日から翌27日にかけて改修を行ったとしている。

（Security NEXT - 2023/04/06 ）ツイート