情報漏えいにつながる危険な PDF 利用 - マスキングは有効だが「プロパティ」から漏えい可能性(新潟県) | ScanNetSecurity
2020.08.03(月)

情報漏えいにつながる危険な PDF 利用 - マスキングは有効だが「プロパティ」から漏えい可能性(新潟県)

新潟県は7月10日、総務省Webサイト上の「行政不服審査裁決・答申検索データベース」に公表したPDFファイルに誤って個人情報が含まれていたことが判明したと発表した。

インシデント・事故 インシデント・情報漏えい
トップページ
トップページ 全 2 枚 拡大写真
新潟県は7月10日、総務省Webサイト上の「行政不服審査裁決・答申検索データベース」に公表したPDFファイルに誤って個人情報が含まれていたことが判明したと発表した。

これは総務省Webサイト上の「行政不服審査裁決・答申検索データベース」上に公表した審査請求に対する裁決書のPDFファイルにて、本文の個人情報はマスキング処理していたものの「文書のプロパティ」上に審査請求人の姓、または姓名が含まれたというもので、7月8日午前10時頃に他の自治体からの連絡により発覚した。

誤って掲載されたのは審査請求人6名分の姓、または姓名。

同県では発覚後、ただちに個人情報部分を削除し再公表を行うとともに、対象者に説明と謝罪を行った。また現在、「行政不服審査裁決・答申検索データベース」以外に、新潟県Webサイト等他の公開ファイルに同様の事案がないか調査を行っており、まとまり次第公表予定。

ScanNetSecurityの取材に対し同県の担当者は「昔のものもあるので担当者の記憶も曖昧だが、恐らく作成した資料をPDFに変換する際に、担当者が意図的に設定したのではなく、ソフトの設定で自動的に文書のプロパティの「タイトル」上に個人情報が表示されるようになってしまった。使用したソフトについては、何種類かあるので、どのソフトでそういった事象が起きたのかははっきりしていない。同データベース内に新潟県が掲載しているファイルは全件チェックしたが、個人情報が残っていたのは6件のみだった。マスキングについては、黒塗りではなく個人名を●●や××などに置き換えている。」と述べた。

PDFは中高年ビジネスパーソンや自治体関係者に愛される一方で、正しい操作方法の知識がユーザーに普及していない。

個人情報をマスキングしたはずのPDFファイルからの情報漏えいの危険性について、ScanNetSecurityでは7月7日、ワープロソフトの網掛け機能の誤解による大船渡市の事例を掲載したが、今回新潟県から回答のあった個人名の記号(●●や××等)への置き換えなら、全件置換すれば文字情報は消える上に塗り忘れも無い(全文の目視は必要)。

同県では今後、公表する文書をPDFファイルに変換する際に「文書のプロパティ」に個人情報が表示されないよう設定変更するとともに、外部にPDFファイルを提供する際は複数人で確認するよう周知し再発防止に努めるとのこと。

《高杉 世界( Sekai Takasugi )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

    iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

  2. やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

    やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

  3. 初心者向けにサイバーセキュリティ・リレー講座 全8回を実施(経済産業省四国経済産業局)

    初心者向けにサイバーセキュリティ・リレー講座 全8回を実施(経済産業省四国経済産業局)

  4. 再委託先が設定ミス「中小企業等支援策活用サポートセンター」相談者情報が閲覧可能に(京都市)

    再委託先が設定ミス「中小企業等支援策活用サポートセンター」相談者情報が閲覧可能に(京都市)

  5. 攻撃活動が再開した「Emotet」の観測状況を公開(IPA)

    攻撃活動が再開した「Emotet」の観測状況を公開(IPA)

  6. 初級者向けログ分析トレーニング用コンテンツをGitHub上で公開(JPCERT/CC)

    初級者向けログ分析トレーニング用コンテンツをGitHub上で公開(JPCERT/CC)

  7. 増加するランサムウェア攻撃、世界中の事例を紹介(CrowdStrike)

    増加するランサムウェア攻撃、世界中の事例を紹介(CrowdStrike)PR

  8. ハードディスク処分、テクニカルセンター内映像をYouTube公開(ブロードリンク)

    ハードディスク処分、テクニカルセンター内映像をYouTube公開(ブロードリンク)

  9. 破産者等の個人情報掲載サイトに停止命令、対応なき場合 罰則求める刑事告発予定(個人情報保護委員会)

    破産者等の個人情報掲載サイトに停止命令、対応なき場合 罰則求める刑事告発予定(個人情報保護委員会)

  10. 「ショップチャンネル」にパスワードリスト型攻撃、定常的なモニタリングで発覚(ジュピターショップチャンネル)

    「ショップチャンネル」にパスワードリスト型攻撃、定常的なモニタリングで発覚(ジュピターショップチャンネル)

ランキングをもっと見る