ゲッティイメージズ/WIRED
これは、ごく普通の家庭生活を垣間見せる一枚だ。多忙なカリフォルニアの母親は、最近買ったクイーンサイズのエアマットレスに穴が開いてしまったので交換する必要があった。ほうきとちりとりも必要だったので、家具店で買うつもりだった。その店では、不要になった枕カバーと、空になったソーダストリームのガスボンベを返品して新しいものと交換してもらう予定だった。スーパーマーケットにも行かなくてはならず、ピーカンナッツとカニの缶詰を買ったり、車のクラクションとサングラスホルダーを修理してもらったりする必要があった。そして、水曜日には娘を小児科に連れて行かなければならなかった。そこで彼女はその様子をTrelloに投稿した。そして、彼女は知らず知らずのうちに、彼女の生活ぶりを世界中に公開してしまったのだ。
この極めて個人的な Trello ボードの所有者は、Trello に報告するとともに、身元が特定されるのを防ぐため名前と一部の詳細を変更していますが、ボードへのアクセスを制限しないことで、知らず知らずのうちに個人データを一般に漏洩している多数のユーザーの 1 人です。
Trelloは世界を席巻し、WIREDのスタッフも含め、人々がワークフローやタスクを管理するのに役立っています。インターネット上には数百万ものTrelloボードが存在します。デフォルトでは、ユーザーがTrelloボードを作成すると、ボード内のデータは非公開（「ボードメンバーのみがこのボードを閲覧・編集できます」）になります。しかし、ユーザーはボードを公開することもできます。その場合、Trelloは「インターネット上の誰でも（Googleを含む）このボードを閲覧できます」と警告しています。
ソフォスのセキュリティオペレーション担当ディレクター、クレイグ・ジョーンズ氏は、Trelloを使って生活の様々な側面を整理しようとした際に、ユーザーがこの警告を無視していることに初めて気づいた。「ボードを作成すると、公開設定が非常に簡単にできることに気づきました。しかも、公開されていることがあまり分かりにくかったんです」。彼はボードの一つに固有の名前を付け、1日待ってからGoogleで検索したところ、自分のボードが見つかった。「自分のボードが見つかるということは、他にもボードがあるはずだ、と思いました」
その後、ジョーンズ氏は、企業の給与明細、管理業務、パスワード、そして個人的なビジネス上の決定事項がすべて公開されているTrelloボード上にあり、誰でも閲覧できる状態になっていることを発見しました。さらに、人々の健康に関する個人情報やクレジットカードの返済情報を含むHIPAA（米国医療保険の携行性と責任に関する法律）データも発見しました。ジョーンズ氏は、大企業とのTrelloデータの存在を報告した後、複数の秘密保持契約を締結しており、Googleで詳細を検索して発見したより深刻なデータの一部について話すことを禁じられています。
しかし、彼は必ずしもTrelloに責任があるとは考えていない。「彼らは板挟みになっているんです」と彼は言う。「これらのツールは誰でも簡単に使えるものです。しかし、必ずしもその機能を完全に理解しているわけではない人が使えるのです。そして、その使いにくさは、ある意味、呪いでもあるのです」。彼はこれを、自動車事故を起こしたのをメーカーのせいにするのと似ていると指摘する。つまり、ユーザーにも責任があるのだ。
「Trelloの問題点は、オリジナルのMySQLデータベースに共通する多くの問題を抱えていることです。つまり、ある用途のために設計されたのに、別の用途で使われているということです」と、UpGuardのサイバーリスク調査ディレクター、クリス・ヴィッカリー氏は述べています。「チームコラボレーション用に設計されており、公開されている部分には極秘データを保存することは想定されていませんでした。しかし、人々は公開されている部分に機密データを置くようになりました。」Trelloは、ボード上のユーザー生成コンテンツを監視していないことを認めており、「パスワード」という単語を含むボードを非公開にすると、誤検知として「パスワード」という単語を参照する一部のボードが意図せずシャットダウンされる可能性があると述べています。
「ユーザーエラー」は往々にして悪いデザインの都合の良い言い訳になるが、今回のケースでは間違いなく人間に責任があると、ハダースフィールド大学セキュア社会研究所のアビゲイル・マカルパイン氏は言う。「Trello のデフォルト設定は通常、プライバシーを重視しています」と彼女は説明する。「何が起こるかというと、ユーザーは設定をあまりにも自由に共有しすぎたり、プライバシー設定を変更してチームメンバーを追加する方法がわからないのです。」 大きな摩擦点の 1 つは、ユーザーの倹約ぶりだ。2019 年 3 月、Trello はチームとして共同作業したいユーザー向けに、無料プランでボードを 10 個までに制限した。「この制限のため、ユーザーはそれ以上のアクセスには料金を支払う必要があり、通常、ユーザーは料金を支払いたがりません」とマカルパイン氏は言う。「簡単な方法は公開してどこにもリストしないことですが、そうすると今回のような問題が発生するのです。」
WIREDはジョーンズ氏と共同で、不動産会社のソーシャルメディアアカウントのユーザー名とパスワードが書かれたTrelloボード、別の不動産会社の物件に関する問題の詳細なリスト（具体的な住所や名前を含む）、そしてあるタイ人ホテル経営者のTrelloボードにスタッフのリスト（名前、連絡先、銀行口座、仕事に対する姿勢や給料に関する個人的なコメントを含む）が含まれていたことを確認した。
これらの発見は、AmazonのAWS S3バケットをめぐる問題と類似している。AWS S3バケットは、組織がデフォルトで非公開に設定されているデータを保管するオンラインストレージ領域だが、アカウント所有者によって公開される可能性がある。「多くの人が、データがインターネット全体に再び公開されるようになっていることを必ずしも理解していない」とヴィッカリー氏は述べている。
Trelloの共同創設者であるマイケル・プライアー氏は、Trelloのすべてのボードがデフォルトで非公開に設定されていることを改めて強調し、ユーザーが本当にボードを公開したいかどうかを確認するための「安全策が組み込まれている」と付け加えた。「さらに、公開設定はすべてのボードの上部に常に表示されます」と彼は付け加えた。
この問題を解決する最も簡単な方法は、Trelloのボードをすべて非公開にすることです。「興味深いのは、ユーザーがTrelloに人生のすべてを注ぎ込んで、その後放置してしまうことです」とジョーンズ氏は言います。「誰かについて本当に知りたいことがあれば、そこにその情報があります。」もし公開されるべきではない情報を見つけた場合は、ジョーンズ氏のようにTrelloに連絡してください。Trelloは非公開ボードを公開し、ユーザーに通知します。
そして、もっと根本的なことですが、そもそも公開したくない情報はインターネット上に公開しないようにしましょう。Trelloだけでなく、あらゆるデジタルサービスにおいても同様です。「たとえ非公開と表示されていても、その企業で誰が働いていて、誰がその情報にアクセスできるのかは分かりません。雇用主、管理者、下請け業者を審査しているわけではありません」とヴィッカリー氏は言います。「Trelloのボードに投稿した情報は、たとえ非公開と表示されていても、他のサービスと同様に、簡単に公開されてしまう可能性があると想定しておきましょう。」
キャリアアップを目指しているなら、 WIRED Hiredで最新のテクノロジー関連求人情報をチェック！
この記事はWIRED UKで最初に公開されました。
