Web版のメルカリにおける個人情報流出に関するお詫びとご報告 ※6/23追記あり
CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして
「メルカリ個人情報流出に違和感」プロが疑問視---- 国内数百万会員の統括エンジニア独白
メルカリWeb版のコンテンツキャッシュをしているCDNのプロバイダ切り替えを行いました。その際本来キャッシュされるべきでない情報がCDN側にキャッシュされてしまい、該当時間帯にアクセスしたお客さまに、他のお客さまの情報が表示されておりました。
下記3項目を今月中に実施し、再発防止に努めます。
・外部から定期的にWeb版のメルカリにアクセスを行い、またCDNのアクセスログをリアルタイムに監視することで、意図しないキャッシュの早期発見と、関係するエンジニアへ通知を行うシステムの導入
・CDNサービスの配信設定を定期的にダウンロードし、キャッシュに関わる設定が正しく行われていることを自動で検証するプログラムの構築
・CDNサービスの提供元に協力をいただき、設定レビューの実施
感想
・メルカリのインシデント対応は透明性があり、良かったと思います。
・BUSINESS INSIDERの記事にあった疑問も別に一般論で間違っていませんし。
・ツイター上に「キャッシュなしでもCDNを通してネットワーク最適化することで速度向上する件」との書き込みもあったが、
別にメルカリが意図した使い方かどうかがわからないし、論外だと思います。
・再発防止策はよく分からないのは、「本来キャッシュされるべきでない情報」の監視と検証になっていますが、
キャッシュされるべきでない情報をされないように設計やテストや運用のやり方の見直しは本当の再発防止じゃないかと思います。
たまたま今回はWeb版だから、今度アプリ用のAPIでもCDN対応したら、似たような障害も起こります。
CI/CD当たり前の時代に、一人の担当者が個人の作業マシンで開発環境にて手動検証しただけだと思われます。
「切替前の検証では手元のマシンのhostsファイルを編集し、数回アクセスを行い問題なく動作していることを確認しました。」
このテストとリリースのプロセスは本当に大丈夫ですか？
「意図しないキャッシュの早期発見」ということは、発見した時にすでに障害が発生していて、また謝罪しないといけないよね？
じゃ前回の再発防止は機能していないという流れになりますよ。
あと細かいところで、一時保存とは言っても、メルカリユーザーの重要な個人情報(暗号化されているかと思うが、どこまでキャッシュ化つもりか知らないが)
が他社(CDN提供者, Akamaiらしい)に保存される事について、利用規約的に記載があったでしょうか？
メルカリ社は個人情報を第三者委託する場合は、どういう契約で、どういう管理監督努力を行なったでしょうかね。
改正個人情報保護法第 25 条・第 26 条の確認・記録義務の方向性について
個人情報の保護に関する法律についてのガイドライン（第三者提供時の確認・記録義務編）
Comments