【アメリカ】グーグル、Google +で個人情報漏洩バグ公表。報告義務果たさず。同サービス閉鎖決定

　IT世界大手米グーグルは10月8日、同社SNSサービス「Google +」について、最大50万人の個人情報が本人の同意なく第三者に共有される仕様バグがあったことを公表し、「Google +」サービスを10ヶ月後に閉鎖すると発表した。「Google +」は、登録された個人情報を第三者に共有するAPIを提供していたが、ユーザーが公表しないと設定していたデータについてもAPIを通じて第三者に共有される仕様になっていた。

　グーグル発表によると、今回の件は今年初めに同社が実施したIT内部監査プロジェクト「Project Strobe」の中で発覚した。漏出した可能性があるのは、氏名、メールアドレス、職業、ジェンダー、年齢に関するデータ。バグが発生していたのは、API提供を開始した2015年からで、2018年3月に発覚、対応完了するまでの約3年間。グーグルは、APIは438サービスに提供されており、そこからデータ漏出している可能性があるという。同社によると、「Google +」は過去2週間分しかログデータを保持しておらず、発覚時から2週間以前のデータ出力状況はわからないという。一方、2週間のログデータから約50万人のデータが出力対象となっていたと確認した。同社によると、いずれのAPI活用事業者も同バグを認識しておらず、悪用した形跡はないという。

　今回の事件について、米紙ウォール・ストリート・ジャーナルは同社の発表より前に、内部関係者の文書を独自に入手し、グーグルの個人情報漏洩の可能性を報道。また、グーグルが事態を認識した3月に状況を当局に公表せず、その理由はレピュテーションリスクは当局による規制強化を恐れたためと報道した。同内部文書によると、同社幹部も個人情報漏洩の事態を把握していた。

【参照ページ】Project Strobe: Protecting your data, improving our third-party APIs, and sunsetting consumer Google+
【参照ページ】Google Exposed User Data, Feared Repercussions of Disclosing to Public

株式会社ニューラル サステナビリティ研究所