【IT】UUUMがGitHub上で情報漏えいの可能性　認証キーをWebサーバに放置 [少考さん★]

UUUMがGitHub上で情報漏えいの可能性　認証キーをWebサーバに放置 - ITmedia NEWS
https://www.itmedia.co.jp/news/articles/2211/10/news186.html

2022年11月10日 20時30分 公開　[ITmedia]

　有名YouTuberなどが多数所属するマネジメント事務所のUUM（東京都港区）は11月10日、同社グループの管理するGitHubリポジトリでソースコードやデータベース内の個人情報などが流出した可能性があるとして謝罪した。ソースコードの取得に必要な認証キーがUUUMのWebサーバに放置されていたのが原因だった。

https://image.itmedia.co.jp/news/articles/2211/10/l_mt1626333_IOJUYVHCGFX.jpg
UUUMのWebサイト

　6月19日から10月21日にかけて、Webサーバ内に認証キーを閲覧可能な状態で保存していた。ソースコード内にはデータベースへのアクセスキーも含まれており、保存していた個人情報も閲覧できる状態になっていた。

　UUUMが問題を認識したのは10月21日。認証キーは即日無効化し、データベースへのアクセスキーも変更した。個人情報へのアクセスは確認されなかったとしている。25日には個人情報保護委員会に報告した。

（略）

※省略していますので全文はソース元を参照して下さい。

ギフハフこえー

個人だとたまにあるな。
しかし、ソース管理は社内pcか社内サーバでやった方が間違いが無いんじゃないか？

初心者か

終わったな

キーのファイルは.gitignoreファイルに書くんやで
小学生でもわかること

うーむ

この際OSSにすればいい
世の中のためになるかならないかはクオリティ次第
別にGitHubで隠そうとするのがそもそも悪い

絶対に放置されないようにします。

青木歌音のコメントが聞きたいな

youtuber国際問題

GitHubをpublicにしてたって事

yotuberの人が管理してるの？

管理能力ないなら大人しくgitlabでネットワークから隔離しとけばいいのに

本の一ヶ月前にも類似の事故があったよな

「T-Connect」のユーザーサイトのソースコード（コンピューターの処理を記述したテキスト文）の一部が、GitHub（ソフトウェア開発のプラットフォーム）上に公開されていることを確認いたしました。
https://global.toyota/jp/newsroom/corporate/38095972.html

>>12
パブリックにして何が悪いんだよ
世界の発展のためにはそれがいちばん

GitHubは世界公開するのが大前提の仕組みだ
んで世界の誰からもチェックされてよければ使われてさらにこれがあるともっといいよとか追加してもらえてそれで世界のソフトウェアができてる
チェーンされず改良されないものはバグだらけ
今はなくとも世の中環境が変わると変えないことがバグ持ちになる
日本のコロナアプリがそれ

隠しておこうなんて発想が優位な日本が世界最低になる理由の一つ

>>13
最初から公開すればいちばん

公開しちゃいけない>>6は当たり前だけどね

gitlabつかえよドケチが

呪文ばっかりでなんの話か
さっぱりわからない(*´；ェ；｀*)

低レベルやねぇ

youtuberなんて顔出しで身元もバレてるようなもんだけど
大手Vtuberの個人情報が全部流れたら大事だなｗ

だから完全ローカルのGit鯖立てろと

>>22
そんなハードウェア寄りの話ではない

これGitHubを公開してたんじゃなくてGitHubはプライベートにしていたけど認証キーが流出した（可能性がある）話じゃないの？

>>26
それだな鍵は掛けてたけど
鍵をHPのサイトのどこかに、郵便ポストの中に入れる感じでいつでも開けられるようにしてたんだろ

ガラの悪いグリコのおっさん二人がトップページなのか

正直大した問題じゃなくね
UUUMだからってこと？
githubのキーが公開されていたって
ツリーを改変されたのか？

個人情報を置いてたのが問題

>>16
ふむ。その仕組みに公開してはいけないものを保存するのがおかしい。という話では？

>>8
まずはお前のIMEIを公開してみようか

>>25
評価する

Gitがローカルでサーバすら不要で使えることすら知らんやつ大杉
口先だけだもんなお前ら

>>34
GitHubの認証キーが漏れたって話なのになにトンチンカンなこと言ってるんだよw

>>35
友達いなくてローカル開発しかできないんだよ

わかってやれよ

>>27
こういうことなんだろうけど、アホすぎるな。
まあ、この会社的に大した情報はGitHubにはないんだろうけど。

ああ、でも、個人情報が漏洩しているのか。

パスワードとかをリポジトリに加えていたっぽいけど、そうでなくても、CIとか回していたら、やりたい放題だろうからなあ。

なるほどね


どっかの脆弱サーバが丸見えで、そこにGitHubのid、 passが置いてあった


それで、GitHubログインしたら、アホみたいに秘密情報をリボジリトリあげててワロタwww

となったと言うことね


要するに全部ダメダメだっと言うことか

ヒカキンのとこだっけ？

GitHubは文系のゴミ箱ではありません。
非技術的な連中はデータをアップしないでください。

DBのアクセスキーが漏洩するだけで誰でも外部からDBに接続できる状態になってんの？
AWSのアクセスキーとかじゃなくてデータベースのアクセスキーだよね？
俺なら怖くてできないな、それ

そもそもなんでパブリック使ってるんだよ

ssh-keygen

ヒカキンからサングラス取り上げたらどうなるんだろうか

>>2
さすがに2で来たかw

>>46
見たことないのか？

>>43
まあそこは
> 個人情報へのアクセスは確認されなかったとしている。
ってなってるからさすがに外部からの接続はできなかったと信じたい

>>46
普段からサングラスしてないだろ

dbアクセスキーをソース直書きって初心者やん

>>51
> dbアクセスキーをソース直書きって初心者やん

それな
初心者以下よな

飛鳥『だから気をつけろと言ったろ？』

舐めるな！

ちゃんと環境変数にして外だししたファイルにidとパスワードを平文で直書きしたわ！

>>51-52
どうすれば正解なの？

流石はソニー

唸らざるを得ない

こういうミスは実際なかなか防げないよね
人のミスなんて
GitHub Enterprise使えよと思うけど、この規模の会社だと厳しいだろうね

>>55
各クラウドやCIサービスにそういった秘匿情報を扱う機能があって、それを使う。
後は最小限の権限を与えたサービス用のアカウントだけがアクセスできるようにして開発者のアカウントからは直接アクセスできないようにするとか。

ただ、いずれにしても、GitHubの権限（どのくらい厳密に絞り込んでいたかだけど、推して知るべしだよね）を取得されていたら、フロントエンドを含めやりたい放題なので、漏洩以降のデータはデータベースに繋がずとも取得し放題にはなるのかなと。
この間のショーケースの事例みたいに。

>>59までやらない場合は設定ファイルを別に保存して、.gitignoreにそのファイル名を書き込んでリポジトリには含まれないようにするとか。

GitHubの認証キーをどうやってweb公開しちゃったのかを検証報告書に書いてもらいたいな
置き場所間違えたのか、外部サービス連携用だったのかとか

>>25
ﾜﾗﾀ
いいツッコミだ

>>62
放置とか書いてるぐらいだから間違って置いたかテスト用に置いたやつの消し忘れとかじゃね？

ウチはテストでも直書きなんてしたら怒られるわ

ルイはスプライブなのになんで登山してるんだ？

>>35
仕事で使ったことがないやつなんだよ、許してやってくれ

個人情報の不正利用は確認されていないが、顧客などに向けてはUUUMを装う不審メールなどに注意するよう呼び掛けている。

つまりDBには顧客情報があったと

これ

ソースコードの取得に必要な認証キーがUUUMのWebサーバに放置されていたのが原因だった。

とあって

ソースコード内にはデータベースへのアクセスキーも含まれており、保存していた個人情報も閲覧できる状態になっていた。

ってなってるけど、DB自体どこからでもアクセスできたってこと？それはさすがにやばくね？

>>69
>個人情報へのアクセスは確認されなかったとしている。

だからフィルターして防いでた可能性は残るね

アクセスログはちゃんと取っていたのかな？

>>70
フィルターしてなかったからアクセスできる状態にあったのでは？漏洩の有無とアクセス制限の有無は別だと思うよ

どこから閲覧できるか明記されてないしな

ソニーといえばおもらし

開発メンバーはそのファイルが証明書や鍵かどうかなんて認識すらせず
あるもの全部PUSHしてじまう。　毎度そう。そんで流出する。

どんだけくちすっぱくクレデンシャルはリポジトリに置くな、といっても、
自分の検証環境まるごと指定してブランチにするから同じことがおきる。
間抜けしかいない。

.gitignore強制とかできんのかな。

>>75
勝手に拡張子変えるやつもいるしな

個人情報を売り渡した後で流出しましたと言い訳すれば、お詫びは一人当たり500円以下で済む

早晩消えてなくなるような水商売上場。
問題になりそう。

ごめん今更なんだけどGITHUBってなに？3行で教えて

>>81
世界最大級の技術者向けSNS
みんなで仲良くプログラム書いたり公開したり配布したりする
英語ができればとても楽しい

マジかよ夕闇に誘いし漆黒の天使達最低だな

プライベートリポジトリでも漏れるもんなの？

社内でもhttpsじゃねーと
chromeブラウザがうるさいので
仕方なくlets encryptとか使ってるけど
原本みたいなファイルは置いちゃいけないのかい。
暗号化って、手間かかって
なんだか面倒くさすぎる。

ビジネスニュースが自然と集まってくるスレ。

ここを見ておけば！経済情報はバッチリ！

◆スレ立て依頼スレ@ビジネスnews+[2/15-] [エリオット★]
https://egg.5ch.net/test/read.cgi/bizplus/1676457026/

公開しないコードなのになんでGitHub使うんだ？

>>80
ＵＵＵＭ、今期最終を一転87％減益に下方修正

ＵＵＵＭ <3990> [東証Ｇ] が4月14日大引け後(15:00)に決算を発表。23年5月期第3四半期累計(22年6月-23年2月)の連結最終利益は前年同期比72.6％減の1億円に大きく落ち込んだ。
併せて、通期の同利益を従来予想の7億1500万円→6000万円(前期は4億4800万円)に91.6％下方修正し、一転して86.6％減益見通しとなった。

会社側が発表した下方修正後の通期計画に基づいて、当社が試算した12-5月期(下期)の連結最終損益も従来予想の4億7700万円の黒字→1億7800万円の赤字(前年同期は2億5900万円の黒字)に減額し、一転して赤字計算になる。

直近3ヵ月の実績である12-2月期(3Q)の連結最終損益は1億3800万円の赤字(前年同期は1億7600万円の黒字)に転落し、売上営業損益率は前年同期の4.2％→-0.3％に大幅悪化した。



ちなみに株価も過去最安値
昨日今日で20％近くも落ちてる
Googleは本国で独占禁止法で訴えられてるし
Youtube自体が斜陽産業だからまじでUUUM潰れる可能性あるよ

>>1
これ何がヤバいの？

大多数の一般の人には影響の無い話だから問題ないだろ。

株価えらいことになってんな