セキュリティ
テスト用・ステージング用サイトであっても、部外者の目から守る必要があります
人気記事
PWNED PWNEDへようこそ。この週刊コラムでは、情報セキュリティにまつわる恐ろしくも滑稽な失態の数々を取り上げています。今週取り上げるのは、実在する情報を外部に晒してしまったテストサイトの話です。
自社のネットワークに大きな穴を開けてしまった話をお持ちですか？ [email protected]までぜひお寄せください。ご希望があれば匿名での扱いも可能です。
今回のエピソードは、AIコンパニオンを評価・レビューするサイトIntimerosの編集者兼AI品質アナリストであるMia Morin氏の提供によるものです。ここで言うAIコンパニオンとは、いわゆるAI彼氏やAI彼女、さらにはそれ以外の友人役のAIも含みます。事の発端は、サイトのリニューアル作業中に、Morin氏の同僚がテスト版サイトの作業をしていたときのことでした。
本来、このテストサイトはパスワードで保護されているはずでした。ところが、その同僚がクライアントに作業内容を見せるためにパスワード保護を解除し、そのまま誰にも気づかれることなく3週間にわたって無防備な状態が続いていました。
ある日、Morin氏はテストサイトがGoogleにインデックスされていることに気づきました。どうやら、このベータ版のドメインを検索結果から除外するためのrobots.txtファイルを設置することを、誰も思いつかなかったようです。
パスワード保護がかかっていない状態でサイトが一般公開されていたため、誰でも未公開のレビューや価格情報、さまざまなAIコンパニオンサービスに関する社内向けの製品メモを閲覧できる状態になっていました。というのも、このテストサイトは実際に稼働している本番データベースと接続されていたからです。
今回公開されてしまったのはすべて編集コンテンツであり、ユーザーデータが流出したわけではありません。とはいえ、競合他社にIntimerosが取り組んでいる内容がすべて見られ、編集戦略全体を推測されてしまう可能性がありました。
問題に気づいたMorin氏は、テストサイトを部外者の目から守るため、迅速に対応しました。
「パスワード保護を復旧させ、検索エンジンによる下書きページのインデックスをブロックし、すべてのシステムアクセスキーを変更しました」とMorin氏は述べています。「現在では、すべてのテストサイトを公式サイトと同様に保護し、公開状態のページがないかを確認するための自動スキャンを毎週実施しています」
この一件から学べる教訓は、ある意味当然のことです。ウェブサイトのテスト版やステージング版を保護し忘れることは絶対に避けなければなりません。ログインを必須にするだけでなく、検索エンジンやAIによるクローリングをブロックする仕組みも用意しておく必要があります。さらに望ましいのは、ステージングサイトをプライベートサーバー上に置き、アクセスする際にはまずVPNの利用を必須にすることです。®
