TimeCapsule Inc. 2023年3月31日
タイムカプセル株式会社
このたび、弊社が開発を担当いたしました「四万十町施設予約システム」（以下、「当システム」といいます。）において、登録をされたお客様の情報が、他のお客様から閲覧可能となる事象が発生していたことが判明いたしました。
そのため、1月26日（木）から3月31日（金）の間、当システムのログイン機能および予約機能を停止させ、閲覧できない状態としておりました。お客さまの大切な個人情報をお預かりしているにも関わらず、このような事態に至り、また大幅なシステム停止期間をいただいてしまいましたこと、深くお詫びを申し上げます。
調査の結果、判明した原因等につきまして、下記のとおりご報告いたします。
＜障害の内容＞
1秒以内に複数ユーザーが同じURLにアクセスした場合、一番最初に開いたユーザーの画面情報がすべてのユーザーに表示されてしまう状態となっておりました。
＜障害の原因＞
・サーバーに採用しているAmazonWebServicesのCDNサービス「CloudFront」のキャッシュポリシーをデフォルトの設定のまま最小TTL1秒（1秒のみ全てのページ情報をキャッシュ）としてしまったため、意図しない情報がキャッシュされて使用されていました。そのため、1秒以内に同じ画面へのアクセスが発生した場合、一番最初にアクセスしたユーザーのページ情報がキャッシュされ、すべてのユーザーに表示される状態となってしまっていました。
・事象が判明後には再現と調査を優先するも、事象の再現ができなかったことから、すぐにシステム停止する判断に至ることができませんでした。停止対応が遅れてしまいましたことを心よりお詫び申し上げます。
・また、個人情報の流出合否を検証およびその範囲を特定するためのログが正しく取れていないことが判明いたしました。そのため、サーバー設定およびログの見直し、当システム全体の再テストを実施いたしました。大幅なシステム停止期間をいただいてしまいましたこと、重ねてお詫び申し上げます。
＜障害の発生時刻と対応経緯＞
2023年1月6日（金）17時35分頃に事象が発覚 ※当システムをリリースした2022年12月より同事象が発生する状態でした。
2023年1月26日（木）18時40分頃にシステム停止（ログイン機能および予約機能を停止）
2023年2月10日（金）1現在の取得ログで情報流出の合否およびその範囲が特定できないことが判明 ※漏洩可能性があるのは「名前」のみ
2023年3月30日（木）まで、サーバー設定およびログの見直し、合わせて当システム全体の再テストを実施
2023年3月31日（金）上記テストの合格を以て、システム再開
＜漏洩可能性のある個人情報と最大人数＞
１．名前
２．当システムに登録いただいているユーザー９名分
※漏洩可能性があったのは「名前」のみですが、情報流出の合否を当時のログで判断できないことが判明いたしました。大変申し訳ございません。
＜障害の対応および再発防止策＞
１． CDNサービスのキャッシュポリシーを無効といたしました。
→元々バックエンド側ではCache-Control: privateと設定しておりました。その上でCloudFront側のキャッシュポリシーをCaching disabled、最小TTLを0に設定いたしました。
→今後、同種の障害を発生させないよう、CDN設定手順を見直し、またクロスチェック体制を整備し、サーバー設定のレビューとテストを徹底してまいります。
２．キャッシュ無効とすることで全てのログを取得、不足していた操作ログも取得するようにいたしました。また、当システム全体を見直して発見された不具合についても全て修正いたしました。
→今後、必要な機能やテストに抜け漏れがないよう、設計やテスト項目の基準を策定し、クロスチェック体制を整備してまいります。
３．本件の原因と課題を共有いたします。
→同時に、障害の緊急度を正しく判断してシステム停止を決断し打診できるよう、障害発生時の社内フローとその体制を整備してまいります。また、社内メンバーに対する情報セキュリティ教育も改めて実施してまいります。
お客様及び関係者の皆様に多大なるご迷惑をおかけしたこと、深くお詫び申し上げます。お客様のご不安を解消すべく対策と再発防止策を進めてまいります。
＜本件に関するお問合せ先＞
タイムカプセル株式会社
メールアドレス：info@timecapsuleinc.org
