乗りつぶしオンラインに参加されている皆様
2023年6月9日
乗りつぶしオンラインでは6月16日のサイトリニューアルに向けて、6月9日からサイト移行の作業を開始しましたが、その過程で以下のとおり登録されたデータの流出が発生しました。
当サイトを信頼してデータを預けてくださった方に対して、その信頼を裏切ることとなってしまい、誠に申し訳ありません。
状況の詳細をご説明するとともに、皆様へのお願いについて申し上げます。
（6月9日23時30分追記 データを閲覧した2名（IPアドレス2箇所）の方から、データ削除のご連絡をいただきました）
（6月13日22時45分追記 刊行物、操作説明ドキュメント等、一部コンテンツのリリースを遅らせますが、サイトの稼働再開は当初予定どおり6月16日とします）
（6月15日00時00分追記 アクセス箇所を、当初の数、削除が判明した箇所を除外した後の数を、別々に記載しました）
2023年6月9日 午前0時10分頃から午前1時00分頃まで
下記のデータが、それぞれ括弧内の箇所数のIPアドレスからアクセスされました。「→」の先は、削除の連絡をいただいた方を除外した箇所数です。
なお、データの損失・改ざんは生じていません。また、サイトを閲覧したことによるPC・スマホ等のデータの流出やウイルス感染ではありません。
サイト更新にあたって全データのエクスポートが必要でしたが、データが膨大で、レンタルサーバにあらかじめ用意されているツールではエクスポートができず、サーバコンソールへのログインによる作業環境もないため、自前でウェブ上から操作する書き出しツールを用意しました。 書き出されたデータはFTPにより取得することとしていました。
書き出されたデータはアクセス制限をかける必要があったところ、本番作業時に当該ディレクトリのアクセス制限を設定したファイルをサーバに送信する手順が抜けており、書き出されたデータがウェブ上からアクセス可能になってしまいました。
さらに、作業の途中でサイトトップのindex.phpを誤って消去したため、ディレクトリの内容が表示されてしまい、書き出されたデータを格納したディレクトリにたどり着けるようになってしまいました。
お預かりしたデータの扱いを誤ったことで、ご迷惑をおかけし、ご不安を与えてしまったことを深くお詫び申し上げます。
閲覧されたデータから、パスワードそのものに復元することは困難ですので、そのまま悪用されることは通常ありませんが、念のため新サイトではパスワードを変更していただくとともに、万が一、他のサイトとパスワードを共用していた場合には、当サイトとは異なる別のパスワードに変更していただくよう、あわせてお願いいたします。
また、登録メールアドレスあてに届く、迷惑メール、フィッシングメール等には、どうぞ十分お気をつけください。
当サイトの落ち度により不適切なアクセス環境を提供してしまったものであり、データを閲覧した方に悪意はなかったものと推察します。
乗りつぶしオンラインを信頼し、これまで使ってくださっていた他の参加者の皆様のため、取得したデータは破棄されるよう、お願いいたします。
また、アクセス元の件数が少なく、時間帯も限られていることから、アクセス元の5箇所（指摘をくださった方以外で4箇所）でのデータの破棄が確認できれば、これ以上のデータの流出が防げ、他の参加者の皆様の不安、また今後のサービス存続の不安は大きく軽減できると考えています。
閲覧した方は、データの破棄をしていただいた後、その旨を主宰までご連絡くださるよう、重ねてお願いいたします。
（6月9日23時30分追記 データを閲覧した2名（IPアドレス2箇所）の方から、データ削除のご連絡をいただきました）
2005年にサイトを開設して以来、18年以上にわたって同一環境で運用してきたため、きわめて古い環境からのデータ移行を行わざるを得ず作業の安全性を欠いていたこと、 また、現行サーバのテスト環境（検証環境）が用意できなかったため、データの書き出しに関して本番とは異なる手順でのリハーサルしか行えなかったことが、 今回の事態を招いた一因であると反省しています。
特に、2005年に想定していた参加者規模をはるかに超えるデータ量を抱えながら、当初のサーバ環境のまま長年にわたって運用してきたことは適切でなく、もっと早く適切な更新を行うべきでした。
新サーバでの運用開始を機に、扱うデータの規模・重要性に見合った運用を行い、動作環境の適切なバージョンアップ、セキュリティ水準の維持、作業手順の明確化と事前の検証を意識するようにします。
現在、新サーバ移行作業を中断し、手順の再確認と作業環境のセキュリティ確保のための作業に着手しています。また、新サーバでの利用にあたって必要な案内が行えるよう、機能の改善を行っています。
これらの作業のため、新サイト稼働時期が当初お約束していた2023年6月16日より遅くなる可能性があります。見通しがつきましたらまたお知らせいたします。
（6月13日22時45分追記 刊行物、操作説明ドキュメント等、一部コンテンツのリリースを遅らせますが、サイトの稼働再開は当初予定どおり6月16日とします）
なお、新サーバではアカウントの削除機能を自動化しています。残念ながら利用を続けられない方については、ご自身の登録データをダウンロードの上、新サーバのマイページでアカウント削除の手続きをおとりいただけます。
皆様にいただいたこれまでの信頼を損なう事故を起こしてしまい、誠に申し訳ありません。今後、今回のような事態を二度と起こさないよう十分に留意して運用を続けてまいりますので、どうぞ引き続き乗りつぶしオンラインに参加を続けていただけることを願っています。
乗りつぶしオンライン 主宰 霜崎祐介