「LINEギフト」で出店者に不適切な情報提供 - 通信内容に送り主の情報も
LINEは、「LINEギフト」や同社が過去に提供していた一部eコマースサービスにおいて、不適切な個人情報の取り扱いがあったことを明らかにした。
「LINEギフト」や「LINE FLASH SALE」「アカウントコマース」などの一部サービスにおいて、出店者に本来提供すべきではない個人情報を提供していたもの。また品物の受け取り主が、本来知ることのできない送り主に関する情報を取得できる状態も発生していた。
同社によると、出店者向けの管理システムよりダウンロードできる受注データの「CSVファイル」に、不適切なデータが含まれていた。2016年2月以降、注文者の友だちの情報や検索語句、アクセス解析のため付与されたパラメータ、システムより自動で付与される認証情報などの「遷移元」に関する情報を提供していた。
さらに出店者が管理するアクセス解析ツール「Google Analytics」において、LINEギフト内の出店ページに対するアクセスデータを閲覧できる機能を、ユーザーに説明することなく提供していた。
遷移する前に訪問していたURLなどのリファラ情報や「遷移元」などの情報、アクセス元の地域、端末の種類、商品購入の関連情報などを参照可能だったという。
同社では2023年2月にデータの提供を停止。翌3月よりデータを取得したショップに対して問題のデータを削除するよう依頼している。
(Security NEXT - 2023/04/21 )
ツイート
関連リンク
PR
関連記事
関係者向けメールで誤送信が発生 - 協立情報通信
サイトが改ざん被害、情報流出を確認 - 自立支援のNPO法人
Ivanti脆弱性、国内でも12月下旬より悪用 - マルウェアにパッチ機能
NICTがシンポジウム開催 - 研究報告や女性活躍のパネルも
「PandasAI」にプロンプトインジェクションの脆弱性
フィッシング被害者のアカウントがさらなる攻撃の踏み台に - 東京外大
ランサム攻撃グループ「8Base」関係者が逮捕 - 400社以上が標的
NVIDIA、アドバイザリ4件を公開 - 複数製品の脆弱性を解消
米当局、悪用が確認されている脆弱性6件に注意喚起
Ivanti、アドバイザリ3件を公開 - 深刻な脆弱性などへ対処