マイクロソフトのDocs.comは危険なほど機密性の高い個人ファイルや情報を共有している

個人文書の保存に Microsoft の Docs.com を使用している場合は、この記事を読むのをやめて、誤って個人情報を世間に漏らさないように注意してください。

Microsoftは、ドキュメント共有サイトにアップロードされたすべてのドキュメントをデフォルトで公開設定していますが、多くのユーザーはこのことに気づいていないようです。つまり、手動で非公開設定されていない機密性の高い個人情報を誰でもDocs.comで検索できるということです。PCWorldは、わずか数分の検索で、社会保障番号、健康保険証番号、銀行記録、求人応募書類、個人連絡先、法的文書、運転免許証番号などを発見しました。

この問題は最近セキュリティ研究者によって発見され、日曜日にZDNetによって初めて報じられました。MicrosoftはDocs.comからサイト全体の検索機能を一時的に削除しましたが、月曜日の朝には機能が復活しました。

基本的な検索技術を用いて、極めて個人情報を含む多数の文書を発見しました。これらの文書の多くには、ユーザーを個人情報窃盗やソーシャルエンジニアリング攻撃の危険にさらすのに十分な情報が含まれていました。情報の機密性が高いため、確認したファイルは公開もリンクもいたしません。

あなたの作品を世界と共有する

Docs.com にこれほど多くの個人情報が公開されている理由は、Docs.com が実際は何なのかというユーザーの混乱と、Microsoft の設計に多少問題があるためだと考えられます。

Docs.comのキャッチフレーズは「あなたの作品を世界と共有しよう」です。これは、Officeドキュメントを自分のウェブサイトでホスティングすることなく、ウェブ上に公開できる方法です。そのため、ファイルはデフォルトで公開設定されていますが、各ドキュメントのプライバシー設定を調整できます。MicrosoftのOffice OnlineやGoogleドキュメントなど、オンラインドキュメントサービスや生産性向上サービスの多くは、デフォルトでファイルを非公開に設定しており、公開したいドキュメントを明示的に承認する必要があります。

ドックスコム1 — ユーザーが Docs.com にドキュメントをアップロードしたときに最初に表示されるもの。

デザイン上の問題としては、ドキュメントが公開されることをユーザーに通知する「公開設定」の設定により、アップロードプロセス中に左側のナビゲーション列をかなり下までスクロールする必要があります。しかし、「保存」ボタンがすぐに表示されるため、スクロールダウンする必要はほとんどありません。

本稿執筆時点では、Microsoftの功績として、「保存」をクリックすると警告ボックスが表示され、アップロードした情報はすべて公開されることをユーザーに知らせています。しかし、この警告ボックスは「保存」ボタンと同じ列に表示されるため、多くのユーザーは警告ボックスの内容を読むことなく、もう一度「保存」をクリックする可能性が高いでしょう。

自宅への影響:前述のとおり、Docs.com で文書を保存している場合は、そこに保存されている内容を確認し、個人情報が含まれるものはすべて削除してください。

一般的に、Docs.comやDropbox、OneDriveなどのクラウドストレージサービスなど、あらゆるオンラインサービスに個人情報を含む文書を保存するのは賢明ではありません。個人情報をアップロードする必要がある場合は、オンラインに公開する前に、文書に強力な暗号化を施すようにしてください。そうすれば、ハッカーがあなたのアカウントにアクセスしたとしても、個人データを読み取ることはできません。