オンラインメンタリングサイトのUStriveは、子どもを含むユーザーの個人情報が流出していたセキュリティ問題を解決したと発表しました。
流出したデータには、ユーザーのフルネーム、メールアドレス、電話番号、その他の非公開かつユーザー提供の情報が含まれており、ログインしている他のユーザーがアクセス可能な状態でした。
この非営利団体は、以前はStrive for Collegeとして知られ、高校生や大学生にオンラインでメンタリングを提供しています。今回のセキュリティインシデントについて、ユーザーに通知する予定があるかどうかは明らかにしていません。
先週、匿名希望の人物がUStriveのメンタリングプラットフォームにおけるセキュリティの欠陥をTechCrunchに報告しました。ログインしてサイトをナビゲートする際にネットワークトラフィックを調べることで、ブラウザツールでユーザーの個人情報が見える状態になっていました。
この人物によると、UStriveはAmazonでホストされている脆弱なGraphQLエンドポイントを利用しており、UStriveのサーバーに保存されている大量のユーザーデータにアクセスできる状態だったということです。ユーザー記録には、性別や生年月日など学生が提供した情報が含まれているものもあり、発見時には少なくとも23万8,000件のユーザー記録が存在していたということです。UStriveのホームページには「110万人以上の学生がUStriveのメンターを選択した」と記載されています。
TechCrunchは新しいユーザーアカウントを作成してデータ流出を確認し、木曜日にUStriveの幹部にメールで通知しました。
UStriveを代表するバージニア州の法律事務所McIntyre Steinの弁護士、ジョン・D・マッキンタイア氏は、木曜日にTechCrunchに提供された書簡で、UStriveは「元ソフトウェアエンジニアとの訴訟中」であるため、「対応能力がいくらか制限されている」と述べています。
TechCrunchはマッキンタイア氏に、UStriveがまだ子どもを含む個人情報の流出を防ぐためのセキュリティ問題を抱えていることを伝え、データ流出を修正する予定があるかどうか、またその場合はいつまでに修正するのかを知らせるよう依頼しました。
マッキンタイア氏からの返答はありませんでした。
TechCrunchの最初の連絡に対し、UStriveの最高技術責任者であるドワミアン・マクリーシュ氏は、木曜日の遅くにTechCrunchにメールで流出が「修正された」と述べました。
TechCrunchは、セキュリティ問題について、ユーザーへの通知予定や不正アクセスの有無の確認能力、プラットフォームがセキュリティ監査を受けたかどうか、またその場合は誰が監査を行ったかについての追加質問をマクリーシュ氏に送りました。
UStriveの創設者であるマイケル・J・カーター氏は、本記事に対してコメントをしていません。
