個人情報流出でサービス停止していたピクブラ・ピクスク周辺のサービス再開案内が、9/7に発表されました。
個人的には、発表直後に案内をみた感想は、
「これなら再開後使っても大丈夫そう」
だったのですが、1日経つと怪しいところにチラホラ気づき始めました（他の方の呟きのおかげもあります！）。
できれば再開後もサービスを使いたいなと思っている＆ほとんど被害を受けていない立場で、サービスを使用したいと思うか、自分用の検討記録を残します。
※専門家ではありません。あくまでも”詳しくないけど少し知ってる”レベルの個人の考えです
※本記事の引用元はすべて、下記サイト記載の内容です。
https://yellow-airboat-a0f.notion.site/9a01748c7a4e4b4f84038129570879b4
※見かけた意見の要約を書いてる箇所もありますが、あえて引用はせずに一般化してまとめています(誤解されると申し訳ないので……)。
1. システムのセキュリティ強化はできているか
素人勉強でわかる視点としては、十分にできていると思います。
公式で実施する(予定)と記載していたセキュリティ対策をざっくり抜き出しても、これだけあります(漏れがあったらすみません)。
・ログインメール通知
・ログイン履歴確認
・不審なログインセッション削除
・定期的な取引情報削除(万が一の時の流出減)
・WAFの導入による攻撃検知
・メールログイン時の多段階認証
・最新のフレームワークにより再構築
・脆弱性診断の実行
正直、他社Webサービスでも実施してないセキュリティ対策も含まれていて、かなりしっかり導入している印象です（メール通知できないサービスや、ログイン履歴を確認できないサービスも結構あります）。
これに対する否定的な意見として、「短期間構築だとほとんどコピペ＋突貫構築だから別の脆弱性が生まれそう」と言ってる方を何人か見かけました。
構築期間の印象として言いたいことは伝わります。ただ、下記の記載を根拠に問題となるような脆弱性は防げるのではないかな、というのが個人的な見解です。
IPAが提唱する「安全なウェブサイトの作り方」に準拠したセキュリティ診断ツールによるチェックを実施する
2.原因への対策が取れているか
これが、怪しいんですよね。
システムの脆弱性が原因であれば、１の対応で問題ないと思っていたんですけど、公式発表を見ると根本原因が違うみたいです。
公式発表に、運用上のミスが原因だと書いてあります。
運用上のミスにより、攻撃者に弊社システムのプログラムコードを復元され、データベースへの接続を許してしまったことが原因となります。
そして、これに対する対策の記載が見つかりません。
つまり、今回の流出原因に対する直接的な対策が出来ていない可能性が高いです。
侵入される原因となった運用上のミスを防止してくれなければ、どれほどシステム本体のセキュリティを強化しても流出リスクが残ってしまいます。
流出を恐れるのであれば、根本原因への対策をしっかり書いてくれるまで、サービスの使用を見送るほうが多分賢明です。
反論は調べても見かけなかったので割愛します。
3.企業の態度は誠実かどうか
個人の判断でまとめると、大体下記のような分類になります。
a. 流出に対する被害補填
b. 再開直後しばらくは無料経営する姿勢
（費用を頂く立場にないという記載）
c. クレジット課金周りの被害状況の慎重な調査
d. 時系列の一部を隠蔽
e. 重要なお知らせを他社のページに記載
f. サービス開始予定時期の発表
※公表が早すぎるという批判的な声を見かけたので記載
順番に評価理由を記載していきます。
※私はできれば利用したい立場なので、若干ポジティブに捉えていると思ってください。
a. 流出に対する被害補填
自社サービス内の補填だけではなく、情報流出による二次被害まで対応する方針に見えるので、十分に責任を果たしていると思います。
不正なリンクにアクセスし物品を支払ってしまったなど、直接的な金銭的損害を受けた方に対しては全額を補償いたします。
問い合わせページへのアクセス性もよく、なるべく対応しようという意思を感じるので、プラスポイントとしました。
b. 再開直後しばらくは無料経営する姿勢
無料にすること自体はユーザ離れを引き止める意図があるので中立的な評価です。
ただ、個人的には「費用を頂く立場にない」と明記したことを評価したいです。
現状の当サービスは信用度も含めて費用を頂く立場に無いという判断から、当面の間は、新規申し込みにおいてサークル参加費の発生しない無料サービスとさせて頂きます。
「費用を頂く立場にない」と書くためには、企業が流出の重大さを理解している必要があると思います。
だって、誠意だけ見せればいいでしょ？って考え方なら謝罪文だけ立派にして素知らぬ顔でサービス再開すればいいもの。
それに、ユーザー離れ防止の目的で一時的に無料にするとしても、「ご迷惑をかけたお詫びとして」という書き方もできる中で、それをしていない。
細かなニュアンスかもしれませんが、私はこの言い回しを、企業として流出の責任を理解していると判断しました。
プラスポイントです。
c. クレジット課金周りの被害状況の慎重な調査
文面を読んでいると、金銭面の被害調査・サービス再開後の決済被害防止に慎重な姿勢が伝わってきます。
決済周りはお金が絡む分被害が大きいので、それを理解して慎重に対応できている事実は、基本的なことでも評価すべきポイントだと思います。
公式からの案内記載としては、このあたりですかね。
クレジット課金機能については万全を期すため、再度PFI認定機関によるフォレンジック調査を行っております。
決済については、追加の調査を行い万全の体制を期すまでは全機能を停止予定
逆に、決済周りをしっかり出来ていなかったら、他の何をしていてもサービス利用しないと決めるくらいには、個人的に大きなポイントです。
次からマイナスポイントです。
d. 時系列の一部隠蔽
他の方が指摘されるまで知らなかったのですが、被害を受けた直後に一度サービスを再開したらしいです。
けれど、それが情報漏洩について報告している時系列には記載されていません。
正直、対応の中でダメだったところを隠そうとしているように見えてしまう……。
一応、その時のツイートは残っていたので完全な事実隠蔽をしようとしたわけではないと思いますが、載せるべき情報を載せていない点でマイナスです。
e. 重要なお知らせを他社のページに記載
過激な言葉で否定されている方も見かけたけれど、私としては好ましい対応ではないかな、くらいの感覚です。
若干マイナス評価寄りの様子見という判断をしています。
否定されているご意見の方が記載していた通り、会社として責任を負うべきセキュリティ関連事故の大事なお知らせを、他社サービスのページに書くのは望ましいことではありません。おまけに検索除けまでしている……。
けれど、擁護点できる点もあります。
現在トップページに設定されている対応状況更新ページからもアクセスが容易な状態にされてはいるんですよね。
この対応を見ると、企業として情報を隠すつもりはないけれど事情があって他社サービスのページを使用した可能性も排除しきれないと思うんですよね。
例えば……。
今、ピクブラさんはシステムを再構築しています。
システムを再公開する時には、データもバックアップから復元する。
そうすると、バックアップ時点までデータが全て戻ってしまうんですよね。
システム状態を知らないし、そんな設計してるのかな？と疑問もありますが、バックアップ時に臨時対応としてピクブラ側が公開しているページが消える可能性を否定はしきれません。
否定はしきれないレベルで、あり得ないとは思うけれど。
あるいは、システムを反映するときにサーバ停止するから、その間もお知らせを見れるようにという配慮かもしれない（これが理由かなと思ってたけど、Webサービスをメインで提供してるような会社なら、冗長化して止めずに更新できるようにしている可能性高いですよね……うーん）。
とりあえず、サービス再開後に企業ページにこの情報を公開するページも作ってくれるならいいんじゃないかな、と思いつつ様子見しています。
最後に、批判意見を見かけたけれど、個人としては中立的な判断としているポイントです。
f. サービス開始予定時期の発表
「脆弱性診断が終わる前から再開時期を公開して大丈夫なの？」
という声をちらほら見かけました。
私的には特に問題ないと思ったので中立的な判断です。
理由としては、再開予定のお知らせの下にちゃんと注意書きがあったことが挙げられます。
※検査と対応の状況によって日程が前後・変更される可能性があります。その際は改めてご連絡させていただきます。
正直、今回ピクブラが被った損害の大きさを考えても、検査状況だめなのにサービス再開しますはないと思います。
次に流出したら、今度こそ企業としても潰れるリスクが増大しますし。
というわけで、変更の可能性を見据えた上で再開予定を伝えているなら、特に問題はないと思います。
所感/結論
対応としては、良いところもあれば、悪いところもあるなという印象です。
ただ、私としては、サービス再開したらピクスクを利用したいなと考えています。
理由としては、
A.システムのセキュリティ強化をしてくれたから
B.リスク考慮した上で（前みたいに使用できるなら）得られる恩恵が大きいから
C.今回ほとんど被害を感じなかったから
あたりがあげられます。
一方で、やはり2.で書いた根本原因が対策されてないリスクは残るので、再流出リスクを考えると使用は推奨できなさそうだな〜とも思ってしまいます。
とりあえず、私が使う理由の詳細だけまとめます。
A.システムのセキュリティ強化をしてくれたから
色々書いてるときには、セキュリティ強化しても使う人の意識が変わらなければ意味がないと言いましたが、そうは言っても、やはりセキュリティ強化は大事です。
正直、盛り込まれたシステムのセキュリティだけを考えるなら、いわゆるオタク向けサービスの中でも上位の安全性が期待できるシステムになると思います。
他Webサービスにないことも多いセキュリティ強化のための機能を結構実装してくれるみたいなので。
ログイン履歴確認やセッション削除は、boothにもなかったはずです(pixivは確かあった)。
ここをまずは評価して、使用方向に舵取りしたいと思います。
B.リスク考慮した上で（前みたいに使用できるなら）得られる恩恵が大きいから
正直、ピクスクさんのWebイベントに遊びに行くのは楽しいです。
今回の件があって昔みたいに楽しめなくなってしまった方もいるかもしれませんが、システムとして楽しいものは楽しいです。
他のWebイベントだとエアブーさんくらいしか遊びに行ったことがないけれど、アバター動かしてワイワイできるのはピクスクさんでした。
工夫された会場(主催さんや作っている方々本当にありがとうございます！)をあちこち走り回って、サークルさんが工夫を凝らした店舗(これも大感謝)を眺める行為が、楽しくないはずがない。
2.で根本原因が対策できてなさそうだと書いた通り、情報の再流出リスクも考えられますが、正直他のサービスでもザルなところたくさんあります。
万が一にも個々の記載が原因で狙われると困るので書きませんが、私はセキュリティに脆弱性がありそうだと理解した上で登録しているサービスがちらほらあります。
あまりにも杜撰だと困るけれど、登録する情報を調整すれば流出時の被害も抑えられるから構わないのです。
ピクブラピクスクって、確かメアドとアカウント名とパスワードの登録で使えたはず(うろ覚え)なので、ただ会場を動き回る分には流出しても困らないメアドとパスワードを設定すれば、理屈上、流出被害がほとんどないはずです。
主催やサークル参加する時も、(有料サービスに戻った後も)決済方式工夫すれば問題ありません。
今後の企業対応次第では使用をやめるかもしれませんが、流出許容範囲の情報だけを登録して楽しむ分には、私は支障ないと思います。
それよりも恩恵が大きい。
C.今回ほとんど被害を感じなかったから
正直、私は今回の被害をほぼ全く受けてないんですよね（流出不安だな〜になったくらい）。
私の被害状況は
・基本的にパスワード使いまわさないので不正ログインされていない
・パスワード変更の手間も必要最低限
・登録していたメアドは流出してもほぼ困らない捨てアドレス
・イベント主催/申し込みもしていなかったので、諸々の負担もなし
という感じです。
流石に、流出って聞いた時は慌てて色々調べたけど、冷静になった時「ほとんど困る情報流出してないね？！」と思って一人で笑ったくらい、直接的な被害がありません。
被害がなかったので、会社への信頼低下もそれほど大きくはなく、割り切った判断をしている自覚があります。
イベントの主催をされている方や、大事な情報流出された方とかは本当に大変だと思うので、慎重になる気持ちもわかります……。
むしろ、情報整理をした感想としては、再流出リスクを理解して許容してる方がおかしいよと言われたら「その通りです」と頷くレベルです。
実感する被害を受けていたらもう少し違う考えをしたと思いますが、こればかりは置かれた状況ですね。
とりあえず、今回は利用をやめる理由よりも続ける理由が勝ったので、継続して使う予定です。
結論も書いたので切り上げようと思いますが、いつの間に5000字も書いたのでしょう。
長々とすみません。
読まれた方いらっしゃるかわかりませんが、こんな考え方している人もいるよ、という参考になれば幸いです。
それでは！