レペゼン地球の1億円プレゼント企画、申込画面から個人情報流出か

8/31 20:10追記

DJ社長が謝罪動画を公開

8/31 19:00頃、レペゼン地球のTwitterアカウントでDJ社長の謝罪動画が公開されました。

動画によると、
サーバは事前に「強化に強化を重ねてこんだけあれば絶対サーバがパンクしないだろう」という体制で臨んだが
「それを遥かに上回る信じられないアクセス数」があったとのこと。
具体的には秒間3500のアクセスがあったと発言しています。

流出した恐れのあるアカウント数は2760件。
抽選の応募の再開は9月25日頃で、その際はLINEだけで応募できるようにする予定とのことです。

謝罪の動画はTwitterにアップできる動画の時間オーバーで途中でぷっつり切れてしまいます。
何ともDJ社長らしいですね。

主催のハッシャダイのサイトには本件の経緯が掲載されています。
「1億円プレゼントキャンペーンの抽選システム障害に関するお詫びと経緯、また今後のセキュリティ対策について」

ページには技術的な説明も掲載されていますが、
原因に挙げている4バイト文字の設定や、キャッシュ設定での個人情報漏れなど、稚拙と言わざるを得えません。
DJ社長が述べた秒間3500リクエストも、LINEの登録者が200万人以上いるわけですから、当然想定される範囲のアクセス数かと思います。
 

法的な意味での個人情報流出には当たらない？

今回流出した情報は、「『ニックネーム』や『メールアドレス』なので、法的な意味での個人情報流出には当たらない」という意見がTwitter等で散見されます。

「個人情報保護法」で定義されている「個人情報」とは

1） 個人に関する情報であること
2） 特定の個人を識別できること
（一般社団法人日本情報経済社会推進協会「『個人情報』って何だろう？～その1：あなたを特定できる情報～」）

です。詳しくはリンク先をご覧ください。

応募フォームに用意されていた入力項目は
「まずは名前（あだ名・ニックネーム可）」
「年齢」
「メールアドレス」
「希望の商品」
の４つでした。

「名前」がニックネームで入力されていた場合、
本人が特定できませんので、個人情報に当たらないということになります。

ただし、

たとえば「名前」で考えてみると、「本人の氏名」のみで特定の個人を識別できる場合は「個人情報」となります。（出典は上と同じ）

とも書かれています。

「名前」欄に本名を入力していて、名前だけで本人を特定できるような珍しい名前の人の場合は、
個人情報に当たる可能性があるのではないかと思います。

以上追記

 

1億円プレゼント企画の申込みフォームはアクセス殺到で繋がらず

8/30で1億円プレゼント企画のエントリーを締め切り、今日から申し込みを受け付ける予定だった「レペゼン地球」（登録者129万人）。

アクセスが殺到したため、申込みフォームへが表示されない状態となり、DJ社長は謝罪ツイート。

8/31 16:00現在では、1億円プレゼント企画の応募画面には「障害が発生しており一時的に公開を停止しております。」とのメッセージが表示され、応募フォームは表示されません。

1億円プレゼント応募画面

 

申込みフォームから個人情報漏洩！？

公開停止になる前に応募フォームに繋がった人からは、
応募画面をリロードすると、知らない人のデータがどんどん出てくるという報告が。

申込みフォームでの登録完了後に送信される本登録完了のメールが違う人に届いていたと報告する人もいました。

 

「よりひと」は大事件への発展を懸念

物申す系YouTuber「よりひと」（登録者数41万人）は、早速のこの問題について動画を投稿し、
「VALU事件並みにでかい事件になるかも」とコメントしつつ、
「今年の夏を一番盛り上げたのは『レペゼン地球』」
「こういう炎上はマジで求めてない。」との見解も。 YouTube動画  

プログラムミスによる可能性？

2014年のベネッセの個人情報漏洩事件では、業務委託していた会社に勤務する派遣社員がデータを持ち出したことが原因でした。

今回は、現時点で判明している情報では
登録フォームを再読込すると別のユーザーの情報が表示されたということですので、
申込み者全員の情報が流出した可能性は低いと思われます。

個人的な予想ですが、おそらく大量のアクセスをさばくために施した対応策が、個人の識別に不具合をもたらせたのではないかと思います。

プレゼント応募フォームはDMMの子会社で、今回のプレゼント企画を主催する「ハッシャダイ」のサイト上に置かれています。
当サイトの調査によると、プレゼントフォームはAmazonのクラウドサーバを使用しています。クラウドサーバは、大量のアクセスでも処理できる機能があります。

200万人以上のLINE登録があった訳ですから大量のアクセスは予想できたはずで、DMMがバックに付いておきながらこのような事態を起こすのは失態と言わざるを得ません。

2018年の夏休みはレペゼンに始まり、
レペゼンに終わりました。