検証環境における旧認証情報の長期残存と外部アクセス可能状態
国内のオンライン学習・就業支援サービス事業者が、開発用ステージング環境における認証情報管理の不備を通知した。対象環境は2013年に構築され、2026年8月13日まで、過去にアクセス権限を有していた退職者等が外部からアクセスし得る状態にあったと説明された。対象環境ではベーシック認証等の認証情報が長期間変更されず、ログイン時の認証用パスワードには固定文字列が使用されていた。検証環境には本番由来の個人データが複製・保存され、一部の情報項目にはマスク処理の未実施期間が存在した。アクセスされ得た個人データの最大件数は902,576件とされたが、個別項目の保存期間やマスク未実施期間は一致していない。2026年7月17日、行政機関からの照会を契機に認証管理上の不備が確認され、同年8月13日に対象環境の遮断とアクセス制御の強化が完了した。事業者は通知時点で具体的な外部流出や二次被害を確認していないと説明している。退職者等による実際のアクセス履歴、個別アカウントの失効状況、過去の内部点検の実施状況は通知から確認できない。本観測では、検証環境における認証情報の長期残存、個人データへのアクセス可能状態、外部照会を契機とした発見と制限措置の経過を記録する。