フォーム不備で申込者情報が閲覧可能に - 男性向けヘアサロン

男性向けにサブスクリプション型カットサロンサービスを提供するENは、Googleフォームの設定不備により、申込者に関する個人情報が本人以外から閲覧できる状態だったことを明らかにした。

同社によれば、5月28日から8月5日17時56分にかけて、初回来店時に入力する「サブスクカット登録フォーム」において、申込者の個人情報が過去に回答した申込者から一定の条件を満たす場合に閲覧できる状態となっていたという。

閲覧された可能性がある申込者は1883人としており、氏名や電話番号、メールアドレス、年収、職業などが含まれる。

フォーム作成時、共同編集者に関する設定をリンクを知っている全員にしていた。編集用のURLを入手している場合に誰でも回答を閲覧できる状態だった。

編集用のURLは外部と共有していなかったが、Googleアカウントでログイン後、フォームで回答した際にそのアカウントに回答フォームが共有される状態となっていることが調査により判明したという。

同社では、フォームの設定を修正した後、サーバ上からフォームと回答を削除した。ローカル環境に回答ファイルを保存しておらず、対象となる申込者の特定ができず、個別に連絡できないとしている。

（Security NEXT - 2024/09/19 ）ツイート