写真ブースを製造する企業のウェブサイトに欠陥があり、顧客の写真や動画がオンラインで露出していると、セキュリティ研究者が発表しました。
この研究者は「Zeacer」という名前で活動しており、10月に写真ブースメーカー「ハマフィルム」にこの脆弱性を報告しました。しかし、同社からの返答はなかったということです。ハマフィルムはオーストラリア、アラブ首長国連邦、アメリカ合衆国にフランチャイズ展開しています。
Zeacer氏は、ハマフィルムのサーバーから取得した写真のサンプルをTechCrunchに共有しました。写真には、明らかに若い人々が写真ブースでポーズをとっている様子が写っていました。ハマフィルムのブースは、通常の写真ブースのように写真を印刷するだけでなく、顧客の写真を同社のサーバーにもアップロードする仕組みです。
ハマフィルムを所有するVibecast社は、これまでにこの問題に関するZeacer氏からのメッセージに返答していません。また、TechCrunchからのコメント要請にも応じておらず、共同創設者のジョエル・パーク氏もLinkedIn経由のメッセージに返答していないということです。
研究者によれば、金曜日の時点でも、このセキュリティの欠陥は完全に解決されておらず、顧客データの露出が続いているということです。このため、TechCrunchは脆弱性の具体的な詳細を公開していません。
Zeacer氏は、この欠陥を初めて発見した際、写真が2〜3週間ごとにサーバーから削除されているように見えたと述べています。しかし現在では、サーバーに保存された写真は24時間後に削除されるようになっており、露出する写真の数が制限されているということです。しかし、発見された脆弱性を悪用すれば、ハッカーは毎日サーバー上のすべての写真や動画をダウンロードすることが可能です。
今週以前には、メルボルンのハマフィルムのブースで撮影された1,000枚以上の写真がオンライン上にあったとZeacer氏は述べています。
この事件は、少なくとも一時的に基本的で広く受け入れられているセキュリティ対策、例えばレート制限を実施していない企業の最新の例です。先月、TechCrunchは、政府請負業者の大手企業タイラー・テクノロジーズが、裁判所が陪審員の個人情報を管理するために使用するウェブサイトでレート制限を行っていないと報じました。これにより、誰でもコンピュータースクリプトを使用して、陪審員の誕生日や簡単に推測できる識別番号を大量に試行することで、任意の陪審員のプロフィールに侵入することが可能でした。
