今回は、企業サイトのセキュリティが脆弱なのではないかとユーザーが不信感を抱いたことで炎上した事例を2つ紹介します。

事例1：自分のではない個人情報が表示され炎上

企業Kのサイトを利用してチケット購入をした際に、他人の個人情報が表示されたことで、ユーザーから批判が殺到した事例です。

3月16日頃、チケット購入サイトを利用していたユーザーから不具合が発生しているという声があがりました。

「ログインしようとしてパスワード入れると見知らぬ他人の名前と住所でログイン状態になる」
「クリックしたら全く知らない人の個人情報が出てくるなんて相当やばくない？信用がた落ちでしょ」

など、ログインした際に他人の個人情報が表示されてしまったり、メールアドレスの承認がうまくいかなかったりする不具合でした。この不具合について、企業Kは3月16日のうちにサービスを一旦停止し、謝罪文とともに不具合の原因を公式サイトに掲載しています。内容は、

• 不具合が個人情報の漏えいであったこと
• 不具合の原因
• 情報漏えいの可能性があるユーザーの条件
• 個人情報として含まれるもの、含まれないものの説明
• 今後の対応

など、上記5件を盛り込んだ文章でした。また、この内容を3月17日に会員に向けてメールで通達もしています。

企業からの説明が二転三転

会員に向けたメール送信のあと、3月18日に企業Kが公式サイトにて、情報漏えいの対象となる会員の条件に変更があったことを発表しました。さらに3月21日には、漏えい対象の情報も変更されたのです。このような企業の発表にユーザーは

「でも、誤って他人のユーザー情報を表示したワケだから流出してたんじゃないの？」
「今更言われても信用できない」

など、企業側の発表する情報が短期間に更新されることによって、ユーザーは不安になってしまいました。また、サイト復旧後のチケット購入に関する情報が一部のユーザーにしか行き届いていなかったり、購入サイトのメンテナンス後もサイトの安全性が解消されていなかったため、企業Kに対する不信感が拭いきれなかったユーザーが多くいました。

今回の炎上で企業は、

• 不具合に関する調査の結果を判明した時点でユーザーに告知した
• 不具合が発生した日にサービスを一旦停止しメンテナンスを行った
• 情報の修正を都度行った

などの対応をしました。しかし、

「調査の結果パスワードは漏洩してないから変更不要ですって一斉メールきてるけど、こんな事件やらかしといて調査結果すらコロコロ変わる会社の何が信用できますかって話」
「再開したはいいもののログイン画面はやっぱり『サイトは安全ではありません』ってなってるのでログインやめた」

など、何が最終的な調査結果なのか、本当に不具合が改善されているのか、といった疑問が解消されなかったため、ユーザーは不安なままでした。

事例2：パスワードを他人が簡単に閲覧できてしまい炎上

2つ目は、企業Tの提供するチケット予約サービスKのパスワード管理が甘かったことで炎上した事例です。

3月15日に、ユーザーがブログ記事を公開しました。内容は、映画チケットの予約サービスで使われるパスワードを第三者が簡単に確認できてしまうという記事です。このブログ記事が他のユーザーの情報共有によって拡散され、3月17日頃にはネットユーザーの間で話題になりました。ブログ記事が投稿された後は

「そんな怖いところに情報預けておけない」
「これは退会したくなる」
「どうしてもの時以外は使わないようにしよう」

というように、サービスの利用を控えようとするユーザーが多く現れました。また、これをきっかけに退会したものの

「退会したけどちゃんと削除されているか結構不安」
「退会してもデータは残されそう」

という不安を抱いているユーザーもいました。しかし、このパスワード管理に関して、企業からユーザーへのお知らせや今後の対応についての公式な告知はありませんでした。この状況で、3月19日に予約サービスKのサイトがメンテナンスを実施しました。これに対し

「セキュリティ不備との関連性を嫌でも勘ぐってしまう」
「パスワード管理の件に関する何かかな？」

など、パスワード管理に関する修正が行われているのではないかと考えるユーザーが多くいました。しかし、メンテナンス終了後もパスワードに関する修正は見られませんでした。

改善されないパスワード管理

今回ブログ記事が拡散され話題になったが、

「メールを送ると平文でパスワードを返信してくるサービスだって4年前にツイートしてたのを思い出した」
「数年前から指摘されていたけど全く改善する気がなさそう」
「前々から改善されないかなと思い続けていたが改善されないのね結局」

など、以前よりチケット予約サービスKのパスワード管理を指摘しているユーザーは多くいました。

ユーザーが安心して利用できるサービス提供を

企業サイトのセキュリティや、個人情報の取り扱い方法などは、ユーザーへ明確に発信することが大切です。自分の情報を預けている先や、扱われ方が不透明であれば、ユーザーは企業を信用してよいか迷ってしまうからです。その結果、サービスの利用を控えてしまったり、まったく利用しなくなってしまいます。自社の顧客層に寄り添った情報発信の方法や頻度を、社内で構築していくことが必要でしょう。