トヨタ自動車は5/12、「クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて」を公表しました。例によってホームページでひっそりと。子会社トヨタコネクティッドが管理する顧客約215万人分のデータの一部が、誤ってインターネット上で外部から10年近く閲覧できる状態になっていたとのこと。
事案の概要
トヨタのお知らせによると、「トヨタコネクティッド株式会社に管理を委託するデータの一部が、クラウド環境の誤設定により、公開状態となっていた」ということです。外部より閲覧された可能性がある顧客情報は、車載端末ID、車台番号、車両の位置情報、時刻などで、約215万人分だそう。
外部からアクセスできる状態にあった期間は2013年11月6日～2023年4月17日。なんと約10年にわたってです。トヨタは、「これらのデータのみでは、お客様が特定されるものではない」としていますが、だから問題ないというものではありません。
昨年10月に
トヨタでは22年10月にも、顧客約29万6000人分のデータが閲覧できる状態になっていたことが判明しています。メールアドレスや顧客を管理するための番号で、開発の委託先企業がプログラムを誤って公開設定にしていたことが原因だったとしていました。
当時、クラウドにおけるアクセス設定のミスによる情報漏えい問題が多発しており、総務省が、「クラウド設定ミス対策のガイドライン」を公表するなどの騒ぎになっていました。そのような状況下でトヨタでも上記の問題が発覚しています。
問題は何故この時、10年も続いていた誤設定については見逃してしまっていたのかというところです。その辺りについてはトヨタも一切触れていません。やっぱりダメですか、この会社。