米国のSNS運営会社で、利用者約5億3300万人分の電話番号などがネット上の掲示板に無料で公開された

何が起きたか

この事故で流出した、または流出したおそれがある情報は、電話番号、利用者ID、氏名、所在地、生年月日、自己紹介文、一部はメールアドレス。約5億3300万人分（報道）です。その後の対応と影響は、運営会社は2019年に機能を変更したと説明した。アイルランドのデータ保護委員会は2021年4月に調査を始め、2022年11月にGDPRの「設計段階からのデータ保護」違反として総額2億6500万ユーロの制裁金と是正命令を出したです。

原因になったのは「友達検索用の連絡先インポート機能を使った自動収集（スクレイピング）」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

運営会社の説明では、連絡先を取り込んで友達を探す機能に、電話番号を大量に送って一致する利用者を探す使い方ができた。2019年に機能を変更するまで、この方法で公開プロフィールの情報が集められた。

原因の種類は「その他」です。上の分類に当てはまらない事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は14件あります。

事故が起きてから公表されるまで

1. 2019年9月より前連絡先インポート機能を使って利用者情報が大量に集められる
2. 2019年運営会社が悪用に気づき、機能を変更する
3. 2021年4月3日ごろ約5億3300万人分のデータが掲示板に公開されたと報道される
4. 2021年4月6日運営会社が収集の経緯を公表する
5. 2022年11月28日アイルランドのデータ保護委員会が2億6500万ユーロの制裁金を発表する

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

電話番号やメールアドレスで利用者を探せる機能に、1つの接続元からの照会回数の上限や機械的な大量照会の検知を設けていれば、収集の規模を小さくできた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 電話番号・メールアドレスなどで会員や顧客を検索できる画面とAPIを一覧にする
2. それぞれに照会回数の上限と、大量照会を検知して止める仕組みがあるかを確認する
3. 検索結果に返す項目を必要最小限に絞り、非公開設定の項目が返らないことを試す

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• The Facts on News Reports About Facebook Data（Meta）2021.04.06
• Data Protection Commission announces decision in Facebook “Data Scraping” Inquiry2022.11.28