電子掲示に外部アクセス、URL直打ちで認証なしの設計 - 水産大

水産大学校は、学生向けの電子掲示システムにおいて一部情報が外部から閲覧できた問題で、学生や教職員の個人情報も含まれていたことを明らかにした。

同大では、学生向けの情報電子掲示システムを学外から認証なしに閲覧可能な状態だったことが9月5日に判明。同月11日に事態を公表するとともに調査を進めていた。

対象となるのは、2011年度以降に在籍した学生の個人情報4122件や教職員の個人情報314件。また同年度以降に採用された非常勤講師の個人情報56件も対象となり、氏名、学籍番号、電話番号、メールアドレス、SNSアカウントが含まれる。

同大では2011年4月に同システムを更新。告知内容を記載したウェブページや添付ファイルを素早く閲覧できるよう、URLを直接入力することでログイン認証なしでもアクセスできる設計としており、その後閲覧が可能となっていた。

数十桁に及ぶURLを特定する必要があり、外部からの閲覧は困難であると判断。設計の見直しなども行っていなかったが、その後一部検索エンジンにより添付ファイルがクローリングされ、検索結果にファイル名が表示されることが判明した。

（Security NEXT - 2024/11/27 ）ツイート