Facebook、数百万件のInstagramパスワードが流出したことをひっそりと明らかに

セキュリティインシデントは往々にしてお決まりのパターンを辿ります。企業は自社のセキュリティが想定ほど高くなかったことに気づき、ユーザーにその問題を報告した後、当初の想定よりも多くの人が影響を受けていたことが判明します。Facebookがパスワード保存方法に問題があったことを公表したのも、まさにこのパターンです。同社は昨日、数百万人のInstagramユーザーもセキュリティ上の不備の影響を受けたと発表しました。

その後、4月18日に同社は3月のブログ投稿を更新し、詳細情報を追加しました。「この投稿の公開後、Instagramのパスワードが読み取り可能な形式で保存されているという追加のログを発見しました。現在、この問題は数百万人のInstagramユーザーに影響を与えたと推定しています。他のユーザーと同様に、これらのユーザーにも通知いたします。調査の結果、保存されたパスワードは社内で悪用されたり、不適切にアクセスされたりしていないことが判明しました。」

同社は、Instagramユーザーも影響を受けていることをいつ発見したかを明らかにしていないが、3月21日から4月18日の間だった可能性がある。Facebook社もソーシャルメディアでこの問題に触れたり、ブログ記事を更新したことを明確にするために再公開したり、ジャーナリストに変更を伝えたりすることはなかった。Facebook社がメディアの注目が他のことに向いていると期待し、この情報開示が気づかれないようにしていたと考えるのは、それほど突飛なことではないだろう。

この開示は、上で概説したプロセスと完全に一致しています。この時点で、企業がセキュリティインシデントを公表する際には、いくつかの点を想定するのが妥当でしょう。それは、インシデントは予想よりも深刻であることが多い、インシデントの重大性を軽視する傾向がある、そして、人々の関心がニュースの見出しを飾る出来事に移った時に公表されたため、更なる開示が見過ごされてしまう可能性が常にある、ということです。