水無月ばけらのえび日記

楽天メールマガジンの変更画面から情報漏洩

更新: 2008年10月1日

セキュリティホールmemoより: site:emagazine.rakuten.co.jp で検索すると個人情報っぽいものが見えるとか見えないとか。 (www.st.ryukoku.ac.jp)

メールマガジンの設定変更の画面が第三者に見えてしまう、という話のようで。まとめると、

• 設定変更画面のURLは、ユーザごとにユニークなIDを含むものになっている
• ユニークIDは複雑で、他人の変更画面のURLは簡単には推測できない (……と思うのですが未確認)
• が、そのURLさえ分かってしまえば、GETリクエスト一発で認証もなしに変更画面にアクセスできてしまう
• アクセスすると、現在の設定情報 (氏名、メールアドレスなど) が見えてしまう
• そして何故か、そのURLをGoogleやWindows Live Searchがクロールしており、検索でヒットして残念なことに……

……ということですかね。認証なしでアクセスできてしまうのは明らかにマズイと思いますが……。

しかし、むしろ気になるのは、そのURLがどうしてクロールされたのかという点です。外部のWebサイトからリンクしたりはしないと思いますし、楽天のサイト内からGETのみで辿れるようになっていたとも考えにくいように思います。

あるいは、そもそもブラウザがURLの情報を送信しているとか? 「Google Chromeのプライバシーについて (www.google.com)」を見ると以下のようにあります。

Google Chromeでアクセスしたら、URLがGoogleに送られる可能性があるように読めますが……それがクロールに使われることはあるのですかね?

※といっても、べつにGoogle Chromeが漏らしていると断定しているわけではありませんので念のため。Windows Live Search でもクロールされているようですので、むしろChromeは全然関係ない可能性が高いです (Thanks: yamagataさん)。

※追記: どうもソーシャルブックマークから漏洩した可能性が高いようですね。楽天メールマガジン情報漏洩続き。コメントくださったみなさま、ありがとうございます。

• 「楽天メールマガジンの変更画面から情報漏洩」へのコメント (9件)

関連する話題: セキュリティ / Web / 楽天 / Google Chrome