「CTF for Girls」の申込者情報が閲覧可能に - フォーム設定ミスで

日本ネットワークセキュリティ協会（JNSA）は、SECCON実行委員会が主催する「CTF for Girls」のイベントにおいて、参加申込者に関する個人情報が意図せず外部に公開されていたことを明らかにした。

同団体によれば、イベント「Kunoichi Cyber Game」予選会の申し込みに「Googleフォーム」を使用したが、アクセスや編集の権限を誤り、「リンクを知っている全員」に設定するミスがあったという。6月19日に外部から指摘があり問題が判明。同日フォームの権限を変更した。

同問題により、フォームを公開した5月31日14時半過ぎから6月19日13時過ぎにかけて特定動作から申込者の情報が閲覧できる編集ページへアクセスでき、予選会申込者26人の個人情報を閲覧可能だった。氏名やメールアドレス、国籍、「Beginners CTF」の登録チーム名などが含まれる。

Googleフォームから大会関係者以外が申込者の情報をダウンロードしたログなどはなかった。また予選会の結果に影響するような不正操作も確認されていないとしている。

問題の発覚を受けて同イベントの参加登録者全員に対し謝罪し、対応状況を連絡した。同月24日には個人情報保護委員会へ報告を行っている。

（Security NEXT - 2024/07/04 ）ツイート