学生の入学手続きを行うためのウェブサイトである「Ravenna Hub」で、子供の個人情報が漏洩するセキュリティの不備が発生し、修正されたと発表しました。
このウェブサイトは、保護者が複数の学校に対する子供の入学申請を行い、その進捗を追跡するために利用されています。しかし、ログインしたユーザーが他のユーザーの個人情報にアクセスできる状況が発生していました。漏洩した情報には、子供の名前、生年月日、住所、写真、学校に関する詳細が含まれていました。また、保護者のメールアドレスや電話番号、兄弟姉妹に関する情報も漏洩していたということです。
このサイトを開発および維持しているフロリダ州のVenturEd Solutionsによれば、Ravenna Hubは年間100万を超える学生を対象に、数十万件の申請を処理しているとしています。
TechCrunchは水曜日にこの脆弱性を発見し、すぐに同社に通知しました。VenturEdは同日中にこの問題を修正しましたが、TechCrunchは修正が確認されるまで報告を保留していました。
VenturEd SolutionsのCEOであるニック・レアード氏は、TechCrunchに対し、同社が問題を再現し、脆弱性に対処したとメールで述べました。レアード氏は、同社がこのインシデントを調査しているとしつつ、ユーザーに通知するかどうかについては明言を避けました。また、他のユーザーのデータに不正アクセスがあったかどうかを確認する能力があるかどうかについてもコメントを控えました。Ravenna Hubが第三者によるセキュリティチェックを受けているかどうかについても、詳細を明らかにしませんでした。
VenturEdおよびRavenna Hubのサイバーセキュリティを監督する者がいるかどうかは明らかではありません。
この脆弱性は、IDOR（インセキュア・ダイレクト・オブジェクト・リファレンス）として知られる一般的なセキュリティの欠陥であり、サーバー側のセキュリティ制御が弱い、または存在しないために発生します。
実際には、ログインしたユーザーがウェブブラウザのアドレスバーで学生のプロフィールに関連付けられたユニークな番号を変更することで、他の学生のデータにアクセスできる状態でした。
Ravenna Hubの場合、学生番号は連番であり、番号を1つ以上変更することで他の学生のデータにアクセスできる可能性がありました。TechCrunchがテストデータで新しいアカウントを作成した際、ウェブアドレスに7桁の番号が含まれており、私たちの番号以前に163万件以上の記録が他のユーザーにアクセス可能であったことが確認されました。
これは、子供の個人情報に影響を与える単純なセキュリティの欠陥に関する最新の事例です。今年1月には、オンラインメンタリングサイト「UStrive」が、まだ在学中の多くのユーザーの個人情報を漏洩する問題が発生しました。
