メルカリが個人情報を流出・・・メルカリのセキュリティは大丈夫なのか？

メルカリで54,180名の個人情報が流出しました。

流出した内訳はこんな感じ↓

名前・住所・メールアドレス・電話番号・・・459名
銀行口座情報、クレジットカードの下4桁と有効期限・・・1855名
購入・出品履歴・・・22458名
ポイント・売上金、お知らせ、やることリスト・・・53816名

フリマアプリ「メルカリ」のWeb版で22日、一時5万4千人分の個人情報が流出したとして、同日、運営企業が公式サイトで謝罪。

経緯については「Web版のメルカリにおけるパフォーマンス改善のためキャッシュサーバーの切り替えを行って以降、一部のお客さまの情報について、他者から閲覧できる状態になっていたことがお客さまからの問い合わせで発覚しました」とし、「発覚後、Web版のメルカリをメンテナンス状態とし、原因の究明と問題の解消を行うとともに、経緯や対象範囲の確認を行いました」と説明。対象サービスはWeb版の「メルカリ（日本／US）」でiOSとAndroidアプリ版のユーザーは対象外となる。

さらに、個人情報を閲覧された可能性があるユーザーは5万4180人に及ぶと発表。「名前・住所・メールアドレス・電話番号」「銀行口座、クレジットカードの下4桁と有効期限」「購入・出品履歴」「ポイント・売上金、お知らせ、やることリスト」が閲覧できる状態となっていたという。

今後の対応については「個人情報を閲覧された可能性のあるお客さまには、メルカリ事務局より、メルカリ内の個別メッセージにてご連絡いたします」と説明した。

メルカリ、5万4千人分の個人情報流出公式サイトで謝罪

なぜ、個人情報が流出したのか？
メルカリは2段階認証がない・・・
メルカリが預かっているお金をハッキングされたら・・・
まとめ

なぜ、個人情報が流出したのか？

今回、メルカリで個人情報が流出した原因は、キャッシュサーバーの切替えを行った際に、CDNにキャッシュされるべきではない個人情報がキャッシュされてしまったとのことです。

メルカリのエンジニアブログに詳しい説明があります。

切り替え前のCDNプロバイダはCache-Controlヘッダではなく、CDNの設定でキャッシュを制御することで、メルカリWeb版においては全くキャッシュが行われないようにしていました。

切り替え後のCDNプロバイダでは、Cache-Controlヘッダでキャッシュの制御が可能であるため(この制御はnginxの設定により行います)、CDNの設定によるキャッシュ無効化は行わず切り替えを行いました。切替前の検証では手元のマシンのhostsファイルを編集し、数回アクセスを行い問題なく動作していることを確認しました。

問題発覚後に切り替え後CDNのキャッシュの仕様を再度確認したところ、キャッシュをしないのは
Cache-Control: private
が含まれている場合のみとわかりました。Expiresヘッダが過去の日付であっても、Cache-Controlヘッダが存在している場合は利用されないという仕様になっておりました。このためCDNのサーバ上にお客さまの情報が含まれたキャッシュが作成され、別のお客さまへ配信される事態に至りました。

CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして

しっかりと流出した原因や経緯を説明しているのは高感度高いですよね。はてブでも全然叩かれてないもんね。
これがヤフーや楽天だったらボロクソ叩かれますよ。