情報漏えいにつながる危険な PDF 利用 － Microsoft Word 網掛け機能誤解、情報公開し注意喚起（大船渡市） | ScanNetSecurity
2020.08.04（火）
コンテンツ
注目検索ワード
ホーム › インシデント・事故 › インシデント・情報漏えい › 記事

情報漏えいにつながる危険な PDF 利用 － Microsoft Word 網掛け機能誤解、情報公開し注意喚起（大船渡市）

岩手県大船渡市は7月2日、同市Webサイト上で掲載した資料について個人情報が漏えいする可能性のある形式で公開されたことが判明したと発表した。

インシデント・事故 インシデント・情報漏えい
岩手県大船渡市は7月2日、同市Webサイト上で掲載した資料について個人情報が漏えいする可能性のある形式で公開されたことが判明したと発表した。

これは同市Webサイト上で市選挙管理委員会が掲載した議案資料と会議録について、住所、氏名等の個人情報部分を黒塗りした上でPDF形式で公開していたところ、6月29日午前11時に外部から、特定の方法で黒塗りした部分から個人情報が抽出可能である旨の連絡があり、公開停止したというもの。

同市では、黒塗りで公開していた資料36件の内、告示済みの27件については既に一般に周知されているため同サイトで公開しても差し支えがないと判断した。告示していないものは以下の9件（7人分）の個人情報。

・2018年11月公開開始：3件（住所、氏名）
・2019年7月公開開始：3件（住所、氏名、生年月日、本籍）
・2019年8月：2件（住所、氏名、生年月日、本籍）
・2019年11月：1件（住所、氏名、生年月日、本籍）

同市では該当者に説明と謝罪を行っている。

ScanNetSecurityの取材に対し同市選挙管理委員会の担当者は「本資料はマイクロソフト社のWordで作成し、伏せるべき個人情報には同ソフトの機能である網掛けを使用した。見かけ上は黒塗りしているように見えたため、そのままPDF化し公開したが、文字情報は残っているためコピーすれば、伏せたはずの情報が分かる状態となっていた。私共以外にも、こういったミスをしている自治体等があるかもしれないので、啓発の意味もこめて情報公開を行った。今回の例を広く注意喚起できたらと思います。」と述べた。

同市では今後、文書公開時に複数人によるチェックを実施する等の再発防止策を徹底するとのこと。

PDFは中高年ビジネスパーソンや自治体関係者に愛される一方で、正しい操作方法の知識がユーザーに普及していない。そもそもPDFを改変編集できることを知らない中高年ビジネスパーソンすら多数存在する。

今回はワープロソフトの網掛け機能だったが、図形等を文字上に描画するAdobe Acrobatの機能を利用して、黒塗りしたつもりのPDFによる情報漏えいなどが、中央官公庁も含めて長期間にわたって全国で繰り返し起こり続けており、いい迷惑である当のAdobe社も申し訳程度に啓発情報を配信してはいる。しかし、そもそもAdobeの当該Blog記事を情報収集過程や検索で発見するようなユーザーであればはじめから当該記事を読む必要などない（たとえ黒でおおっても文字情報はコピーできることを知っている）ことがほとんどだろう。

「自治体等がAcrobat Proあるいはより安価なサードパーティー製品を有料で契約し使用訓練を行う」「無料版にもAdobe公式の墨塗機能（黒塗りと異なり文字情報を削除する）を付与する」などの別のアプローチが必要だが、前者は予算的に難しく後者は営利企業としてありえないため、今後も現場では「リテラシー向上」「ダブルチェック」などの精神論が対策として掲げられ事故は量産されると予想される。総務省は是非PDF管理も「強靱化」して欲しいものである。

このような状況の中で、今回の大船渡市のような、言い方は悪いが「やらかしてしまった」自治体本人がそれを認めて積極的に情報共有することは、改善のための前に向いた一歩であることは間違いない。なお今回の大船渡市のリリースはあくまでも「個人情報が漏えいする可能性のある形式で公開された」ことの情報発信であることに敬意を払いたい。
《高杉 世界（ Sekai Takasugi ）》

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

脆弱性「Ripple20」の対象プリンタ名公開、操作停止やメモリ破壊を引き起こす可能性（リコー） 画像

脆弱性「Ripple20」の対象プリンタ名公開、操作停止やメモリ破壊を引き起こす可能性（リコー）
PHP工房の複数の製品に脆弱性、意図しない操作やログインされる可能性（JVN） 画像

PHP工房の複数の製品に脆弱性、意図しない操作やログインされる可能性（JVN）
夏期休暇に伴いテレワーク関連リスク注意呼びかけ（NISC） 画像

夏期休暇に伴いテレワーク関連リスク注意呼びかけ（NISC）
攻撃活動が再開した「Emotet」の観測状況を公開（IPA） 画像

攻撃活動が再開した「Emotet」の観測状況を公開（IPA）
Microsoft Windows の SharedStream ライブラリにおけるメモリ制御不備により権限昇格が可能となる脆弱性（Scan Tech Report） 画像

Microsoft Windows の SharedStream ライブラリにおけるメモリ制御不備により権限昇格が可能となる脆弱性（Scan Tech Report）
沈静化していた「Emotet」、感染につながるメールを確認（JPCERT/CC） 画像

沈静化していた「Emotet」、感染につながるメールを確認（JPCERT/CC）

インシデント・事故 記事一覧へ

「Emotetウイルス」感染、社内でやり取りしたメール内容を引用したなりすましメールを確認（加賀麩不室屋） 画像

「Emotetウイルス」感染、社内でやり取りしたメール内容を引用したなりすましメールを確認（加賀麩不室屋）
枕の通販サイトへ不正アクセス、カード情報が流出の可能性（Kitamura Japan） 画像

枕の通販サイトへ不正アクセス、カード情報が流出の可能性（Kitamura Japan）
「Classi」への不正アクセス、データの外部への漏えいを確認（Classi） 画像

「Classi」への不正アクセス、データの外部への漏えいを確認（Classi）
再委託先が設定ミス「中小企業等支援策活用サポートセンター」相談者情報が閲覧可能に（京都市） 画像

再委託先が設定ミス「中小企業等支援策活用サポートセンター」相談者情報が閲覧可能に（京都市）
不正アクセスでユーザー情報が流出、対策としてサーバリプレイスを実施（キッチハイク） 画像

不正アクセスでユーザー情報が流出、対策としてサーバリプレイスを実施（キッチハイク）
「ショップチャンネル」にパスワードリスト型攻撃、定常的なモニタリングで発覚（ジュピターショップチャンネル） 画像

「ショップチャンネル」にパスワードリスト型攻撃、定常的なモニタリングで発覚（ジュピターショップチャンネル）

調査・レポート・白書 記事一覧へ

ビジネスメール詐欺実態を共同分析、攻撃者の手口と素性が明らかに（マクニカネットワークス、伊藤忠商事） 画像

ビジネスメール詐欺実態を共同分析、攻撃者の手口と素性が明らかに（マクニカネットワークス、伊藤忠商事）
子どもがSNSでトラブルに巻き込まれた経験、詐欺メール・サイトが28.3％（ニフティ） 画像

子どもがSNSでトラブルに巻き込まれた経験、詐欺メール・サイトが28.3％（ニフティ）
日経２２５企業のセキュリティリスク調査、グローバルランキングを集計（RAPID7） 画像

日経２２５企業のセキュリティリスク調査、グローバルランキングを集計（RAPID7）
攻撃者が請求側企業の担当者になりすますBECを確認--J-CSIP運用状況（IPA） 画像

攻撃者が請求側企業の担当者になりすますBECを確認--J-CSIP運用状況（IPA）
日本はIDアクセス管理とデータ・セキュリティ対策でグローバルより遅れ（KPMGコンサルティング、日本オラクル） 画像

日本はIDアクセス管理とデータ・セキュリティ対策でグローバルより遅れ（KPMGコンサルティング、日本オラクル）
脆弱性届出、製品別は「ルータ」が最多に--第2四半期レポート（IPA、JPCERT/CC） 画像

脆弱性届出、製品別は「ルータ」が最多に--第2四半期レポート（IPA、JPCERT/CC）

研修・セミナー・カンファレンス 記事一覧へ

いつもと違う夏 ～ FFRI 鵜飼裕司の Black Hat USA 2020 注目セッション 画像

いつもと違う夏 ～ FFRI 鵜飼裕司の Black Hat USA 2020 注目セッション
増加するランサムウェア攻撃、世界中の事例を紹介（CrowdStrike） 画像

増加するランサムウェア攻撃、世界中の事例を紹介（CrowdStrike）
2社のソリューション連携で一貫したスキームが実現、オンラインウェビナーを合同開催（ゼットスケーラー、クラウドストライク） 画像

2社のソリューション連携で一貫したスキームが実現、オンラインウェビナーを合同開催（ゼットスケーラー、クラウドストライク）
初級者向けログ分析トレーニング用コンテンツをGitHub上で公開（JPCERT/CC） 画像

初級者向けログ分析トレーニング用コンテンツをGitHub上で公開（JPCERT/CC）
初心者向けにサイバーセキュリティ・リレー講座 全８回を実施（経済産業省四国経済産業局） 画像

初心者向けにサイバーセキュリティ・リレー講座 全８回を実施（経済産業省四国経済産業局）
CIO、CISOを対象に「川口洋座談会ウェビナー第1回」開催（イエラエセキュリティ） 画像

CIO、CISOを対象に「川口洋座談会ウェビナー第1回」開催（イエラエセキュリティ）

製品・サービス・業界動向 記事一覧へ

テレワーク環境特化型の情報漏えいリスクアセスメント、オンライン完結も可能（BBSec） 画像

テレワーク環境特化型の情報漏えいリスクアセスメント、オンライン完結も可能（BBSec）
ハードディスク処分、テクニカルセンター内映像をYouTube公開（ブロードリンク） 画像

ハードディスク処分、テクニカルセンター内映像をYouTube公開（ブロードリンク）
破産者等の個人情報掲載サイトに停止命令、対応なき場合 罰則求める刑事告発予定（個人情報保護委員会） 画像

破産者等の個人情報掲載サイトに停止命令、対応なき場合 罰則求める刑事告発予定（個人情報保護委員会）
NRIセキュアが「iTrust」取扱開始、ペーパーレス化・脱ハンコのビッグウェーブ狙う（サイバートラスト、NRIセキュア） 画像

NRIセキュアが「iTrust」取扱開始、ペーパーレス化・脱ハンコのビッグウェーブ狙う（サイバートラスト、NRIセキュア）
総務省ガイドラインの各項目チェック＋コンサル、テレワーク環境の情報漏えいリスク可視化サービス（サイバートラスト、DNP） 画像

総務省ガイドラインの各項目チェック＋コンサル、テレワーク環境の情報漏えいリスク可視化サービス（サイバートラスト、DNP）
トレンドマイクロのニューノーマル時代の事業戦略とは 画像

トレンドマイクロのニューノーマル時代の事業戦略とは

おしらせ 記事一覧へ

上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity） 画像

上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity）
上野宣 編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード） 画像

上野宣 編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）
上野宣から編集長就任10周年の御礼 画像

上野宣から編集長就任10周年の御礼
ScanNetSecurity 創刊21周年御礼の辞（上野宣） 画像

ScanNetSecurity 創刊21周年御礼の辞（上野宣）
編集部海外取材土産プレゼント 2019 画像

編集部海外取材土産プレゼント 2019
[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像

[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ
Page Top
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします（BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます）。
×