JAIST の個人情報漏洩は VirusTotal 経由

VirusTotal から個人情報が漏洩した話についてはいろいろな所から伝え聞いていましたが、問題が起きた大学は JAIST のようです。

この問題はよくよく読んでみると VirusTotal が悪いわけではなく、利用者が VirusTotal の仕様をきちんと理解しておらず、単純にオンラインウィルススキャナーとして使ってしまったのが根本的な問題ですね。

外部サイトへの本学構成員に関する個人情報の流出について | JAIST 北陸先端科学技術大学院大学

令和2年11月20日、本学職員が業務として、ダウンロードしたファイルを外部のウィルスチェックサービスサイト（以下、「外部サイト」という。）に自動アップロードし、安全確認を行う機能が導入された端末を誤って使用し、構成員の個人情報1,725件を含む資料ファイルをダウンロードしました。
そのため、ダウンロードしたファイルが自動的に外部サイトにアップロードされることとなり、当該外部サイトにアップロードされたファイルにおいては、外部サイト運用者のみならず、外部サイトと契約を締結している第三者（主にセキュリティベンダ）から閲覧・ダウンロードが可能となりました。

マルウェア検査サイトを通じた個人情報ファイルの外部流出、そのまさかの原因が話題に【やじうまWatch】 - INTERNET Watch

それはユーザーから提供されたデータを会員企業や研究者の間で検体として共有する機能で、これらを知らずに手持ちのファイルを検査目的でアップすると、意図せず外部に漏れてしまう危険があるのだ。