世の中には「信じがたいアホ」が一定数存在するが、IT業界においてその頂点に君臨するのが「クラウドストレージのバケットを全世界フルオープンにして社外秘を放り込む連中」だ。
S3や各種オブジェクトストレージの権限設定ミスによる情報漏洩は、もはや古典芸能の域に達している。
さくらインターネットのクラウドやタイムズの会員情報流出など、大手が派手にやらかしたニュースを見るたびに、「またやったのか」と呆れ果てるのが日常茶飯事だ。
2022年の個人情報保護法改正によって漏洩時の報告と本人通知が完全義務化され、これまで水面下で隠蔽されてきたマヌケな事故が「個人情報ダダ漏れ祭り」として白日の下に晒されるようになった。
運転免許証、パスポート、給与明細、果てはマイナンバーの画像PDFまで――。
そんな「即死トラップ」のような超弩級の機密データを、誰でもURLを叩けばブラウザで見られるパブリック領域に平然とアップロードする。
なぜこんな小学生でもやらない狂気が起きるのか？
俺様が火消しで突入した現場で「忠告したのに無視されて爆死した」実体験とともに、その裏にある愚かな意思決定の病理を暴いてやる。
俺様体験談：「この設定変えないと死にますよ」を笑って無視したPM
あれはある企業の基幹刷新プロジェクトに、アーキテクチャの監査と火消しで呼ばれた時のことだ。
インフラの権限周りをチェックしていた俺様は、AWSの画面を見て思わず目を疑った。
ユーザーが本人確認のためにアップロードした免許証の画像や、従業員の給与明細、マイナンバーの記載されたPDFが保存されているS3バケットのパーミッションが、見事に「Public Read（全世界公開）」になっていたのだ。
慌ててプロジェクトマネージャー（PM）の席へ駆け込み、俺様は直言した。
「おい、このストレージのアクセス権限、全世界にフルオープンになってるぞ。URLのパターンを推測されたら一瞬で全件抜かれる。『今すぐパブリックアクセスをブロックして署名付きURL経由に変えないと死にますよ』」
だが、その脂ぎった顔のPMから返ってきたのは、耳を疑うようなヘラヘラした返答だった。
「いやー、内部システムからプレビュー表示する時に、認証噛ませると実装が面倒くさいんですよね。開発スケジュールも押してるし、URLもランダムな文字列（UUID）にしてるから、第三者には絶対に分かりませんよｗ リリース後に暇があったら対応します！」
……出たよ。「URLが複雑だからバレない」という、セキュリティ初心者が必ず踏み抜く悪魔の呪文だ。
UUIDだろうが何だろうが、アクセスログ、ブラウザのリファラ、中間プロキシ、果ては検索エンジンのクローラー経由でURLなどいくらでも外部に漏れ出る。
「今すぐ止めろ」とあれほど警告したにもかかわらず、そのPMは「機能開発の遅れを取り戻す」という目先の利益を優先し、俺様の忠告を鼻で笑って握りつぶしたのだ。
経営者の大罪：「ITは任せた」という無知と無関心
だが、この大惨事の真の戦犯は、その場当たり的なPMだけじゃない。
「セキュリティの工数やインフラの料金に無頓着で、『難しいことは分からないから現場に任せた』と丸投げしていた経営陣」、こいつらの罪はさらに重い。
経営の連中は、目に見える画面のボタンや派手な新機能には口を出すくせに、セキュリティ設計やアクセス制御といった「見えない土台」の工数には1円も払いたがらない。
「システム開発なんて、動けば何でも同じだろ？」
「エンジニアに任せてあるから、うちは大丈夫」
そうやって現場に下駄を預けて思考停止し、適切なセキュリティ監査の予算も工数も確保しない。
「任せる」というのは、責任を背負って適切なリソースを与える人間のセリフだ。
工数も料金も理解せず、ただ現場に丸投げするのは「任せた」のではなく、単なる「職務放棄」であり「共犯」だ。
経営が無関心だからこそ、現場のPMは工数を削るために「パブリック公開でいいや」という悪魔の手抜きに手を染めるのだ。
そして訪れた「情報漏洩祭り」という必然
結果はどうなったか？
言うまでもない。壮大なる「情報漏洩祭り」の開幕だ。
リリースからわずか数カ月後、セキュリティ研究者からの通報、そしてSNSでの「おい、この会社のユーザーデータ丸見えなんだが」という晒しポストによって事件は発覚した。
数万人分の身分証明書画像とマイナンバー、役員の給与明細までが、まるで見世物小屋のようにネット上に陳列されていたのだ。
あの時ヘラヘラ笑っていたPMは過呼吸を起こしかけ、丸投げしていた経営陣は連日テレビカメラの前で脂汗を流しながら頭を下げた。
監督官庁への報告書作成と顧客対応、そしてセキュリティベンダーへの緊急調査費用で、数千万円の特別損失が一瞬で吹き飛んだ。
「暇があったら直す」と抜かしていたPMはプロジェクトから追放され、「現場に任せていた」と逃げ腰だった役員もその座を追われた。
技術のミスじゃない。
「現場のPMの舐め腐った怠慢」と「料金や工数に無頓着で丸投げした経営者の怠慢」がガッチリ握手を交わして引き起こした、完全なる人災だ。
漏洩させた企業は「ベネッセ」ほどの覚悟を見せてみろ
2022年の法改正以降、企業はこうした事故を起こせば個人情報保護委員会への報告と、被害を受けた本人への通知から絶対に逃げられない。
隠蔽工作が通用しない時代になったのだ。
だが、昨今のやらかし企業を見ていると、形ばかりのペラペラな謝罪文をWebサイトの片隅にペタッと貼り、「今後は再発防止に努めます」と呪文を唱えて終わりにするケースが多すぎる。
ふざけるな、と言いたい。
かつて大規模な個人情報流出をやらかしたベネッセを見習え。
あの会社は、被害を受けた会員に対して数百億円規模の原資を用意し、受講者全員に500円分の受講券や図書カード・商品券を配り倒して、身銭を切って信用回復の泥水をすすったのだ。
漏洩したのは他人の人生そのものである機密データだ。
それを「設定ミスでした、てへぺろ」で済ませる今の企業に、ベネッセほどの腹を括った対応ができる奴がどれだけいる？
商品券を配れとは言わないが、それだけの致命的な損害を自社と顧客に与える覚悟もないくせに、「面倒だからパブリック設定でヨシ！」「ITは現場に任せた！」などとほざくのは甘えを通り越してただの犯罪的怠慢だ。
クラウドの「初期設定」を疑え、意思決定に責任を持て
クラウドストレージという道具は、世界最高峰のインフラを誰でも数クリックで使える素晴らしい技術だ。
だが、その手軽さは「全世界にデータをばら撒くのも数クリックで完了する」という諸刃の剣でもある。
- 経営者は「セキュリティの工数とコスト」を絶対にケチるな
- 「Public Access Block」を全社ポリシーで強制的にオンにしろ
- URLの難読化（UUID）をセキュリティ対策だと錯覚するな
- 「後で直す」は「二度と直さない」と同義だと知れ
現場のエンジニアがどれだけセキュリティの危機を訴えても、それを握りつぶすPMと、無関心を決め込む経営者がいる限り、この喜劇は何度でも繰り返される。
「設定を変えないと死ぬ」と言われたら、本当に死ぬのだ。
全世界に顧客の個人情報を無料公開して土下座ツアーに出る前に、経営も現場も腹を括って、その震える指でコンソールの「非公開」ボタンを今すぐ押し込め。
