問題の記事

アエラドット（朝日新聞出版）

吉崎洋夫2021.5.17 17:03

【独自】東京ワクチン大規模接種センターの予約システムに重大”欠陥”「誰でも何度でも予約可能」 https://t.co/JFvdakrGz5 #AERAdot #週刊朝日 #AERA

— AERA dot. (アエラドット) (@dot_asahi_pub) May 17, 2021

【大規模接種 予約システムに欠陥】https://t.co/U6ktFLV7Io

東京都に開設予定の新型コロナワクチン大規模接種センターの予約システムに「欠陥」があることがわかった。予約対象者の65歳以上の高齢者ではなくても、誰でも、何度でも予約ができるという。セキュリティ設計はどうなっているのか。

— Yahoo!ニュース (@YahooNewsTopics) May 17, 2021

ーー（略）

　AERAdot.編集部で東京の予約サイトで試してみると、6桁の市区町村コードには「654321」、10桁の接種券番号には「9876543210」と適当に番号を入力。生年月日も「1956年1月1日」と適当に入力したところ、そのまま進めて、5月29日8時から予約が取れてしまった。

ーー（略）

アエラドット（一部抜粋）

毎日新聞

毎日新聞 2021/5/17 18:47（最終更新 5/17 20:35）

17日に東京23区と大阪で始まったワクチンの大規模接種予約で、でたらめな数字を入力しても予約できることを毎日新聞が確認しました。何度でも予約して枠を「占拠」することもできるとみられますhttps://t.co/dFND9mQszI

— 毎日新聞デジタル報道センター (@mainichi_dmnd) May 17, 2021

大規模接種ウェブ予約　でたらめ数字で登録可　券番号も、年齢も https://t.co/dFND9mQszI

— 毎日新聞デジタル報道センター (@mainichi_dmnd) May 17, 2021

東京と大阪で始まったワクチンの高齢者向け大規模集団接種。架空の接種券番号や、65歳未満となる生年月日でもウェブ予約できることについて、防衛省の担当者は「善意に頼ったシンプルな予約システム。いたずらで予約されては必要な人の予約が取れない」と呼びかけています。https://t.co/OGvOABpEsx

— 毎日新聞 (@mainichi) May 17, 2021

ーー

予約システムが正常に機能するかどうかを検証するため、記者が防衛省のウェブサイトから、架空の市区町村コードに加え、架空の接種券番号の10桁の数字を入力すると、手順が進んで接種会場と時間帯の指定ができ、予約が完了した。65歳未満となる生年月日を入力して予約できることも確認した。

ーー

毎日新聞　（一部抜粋）

何度もためしたようす。不正行為をするように先導しているとしか思えない。

防衛大臣が抗議

この不正行為に対し、防衛大臣が抗議。

自衛隊大規模接種センター予約の報道について。
今回、朝日新聞出版AERAドット及び毎日新聞の記者が不正な手段により予約を実施した行為は、本来のワクチン接種を希望する65歳以上の方の接種機会を奪い、貴重なワクチンそのものが無駄になりかねない極めて悪質な行為です。

— 岸信夫 (@KishiNobuo) May 17, 2021

両社には防衛省から厳重に抗議いたします。
不正な手段でのワクチン接種の予約は、本当に希望する方の機会を喪失し、ワクチンが無駄になりかねないと同時に、この国難ともいうべき状況で懸命に対応にあたる部隊の士気を下げ、現場の混乱を招くことにも繋がります。

— 岸信夫 (@KishiNobuo) May 17, 2021

本センターの予約システムで、不正な手段による虚偽予約を完全に防止する為には、全市長区町村が管理する接種券番号を含む個人情報を予め防衛省が把握し、予約番号と照合する必要があり、実施まで短期間等の観点から困難かつ、全国民の個人情報を防衛省が把握する事は適切でないと判断いたしました。

— 岸信夫 (@KishiNobuo) May 17, 2021

両社には防衛省から厳重に抗議いたします。
不正な手段でのワクチン接種の予約は、本当に希望する方の機会を喪失し、ワクチンが無駄になりかねないと同時に、この国難ともいうべき状況で懸命に対応にあたる部隊の士気を下げ、現場の混乱を招くことにも繋がります。

— 岸信夫 (@KishiNobuo) May 17, 2021

抗議してくれてよかった。

ニュース

大規模接種予約システム改修へ　朝日新聞出版と毎日新聞に抗議 | 2021/5/18 – 共同通信 https://t.co/rP4oc7cBN1

— 共同通信公式 (@kyodo_official) May 18, 2021

岸防衛相、朝日新聞出版と毎日新聞に抗議へ　架空の接種券予約でhttps://t.co/erHgatafKK

岸氏は会見で「不正な手段による虚偽予約を完全に防止するためには、市区町村が管理する個人情報を防衛省が把握する必要がある。短期間でそうしたシステムを実現するのは困難だ」と指摘 pic.twitter.com/VweDUsHRKz

— 産経ニュース (@Sankei_news) May 18, 2021

河野担当相「面白半分に予約を邪魔した報道」　朝日新聞出版と毎日念頭に https://t.co/qMepUPFr8w

— 産経ニュースＷＥＳＴ (@SankeiNews_WEST) May 18, 2021

安倍前首相「朝日新聞・毎日新聞は悪質な妨害愉快犯」　大規模接種の架空予約 https://t.co/475x2TuoZP

— 産経ニュースＷＥＳＴ (@SankeiNews_WEST) May 18, 2021

まとめ

脆弱性の手口、IPA「見つけたらまず開発者やIPA窓口に報告して」　コロナワクチンの架空予約巡りhttps://t.co/q884ox2s3w pic.twitter.com/YbYEIiqnHc

— ITmedia NEWS (@itmedia_news) May 18, 2021

脆弱性情報は、開発者が脆弱性を直すために必要な情報である一方で、攻撃に悪用される恐れがある情報でもある。このためIPAは「発見時は開発者に報告し、極秘事項にすること」とし、「報告せずに、脆弱性の存在をネット上にいきなり公開することは絶対に行ってはいけない」としている。また、攻撃者と疑われる可能性があることから「善意であっても必要以上に調査しないこと」ともしている。

IPAでは脆弱性を報告する専用窓口を設置し、情報提供を求めている。

予約システムの欠陥を巡っては、AERA dot.の記者が17日に公開した記事の中で、でたらめな番号を予約システムのフォームに入力しても予約が取れてしまうことを、実際のシステムで確かめたと記載。記事に具体的な手口があったことから「架空予約を誘導している」と報道に疑問を呈する声も上がった。

この他、データベースを不正に操作する攻撃手法である「SQLインジェクション」が予約システムに対して可能という情報も流れたことから、脆弱性など欠陥を第三者が見つけた際の取り扱いについてネット上で議論が起きていた。

自治体では、当事者への通報によりシステムの不備が明らかになったケースもある。東京都では4月27日、特殊な解析ツールを使うことで、ワクチン予約システム上に保管する医療従事者27万人分の個人情報が閲覧できる状態だったことが、外部からの情報提供で発覚。Web予約の受け付けを一時的に止め、対策後に再開していた。

ITmedia News（https://www.itmedia.co.jp/news/articles/2105/18/news145.html）

IPAもうこう書いています。

記事を読んでいると、記者はさまざま試しているようです。

　キャンセルしたから良いというものではないだろう。真似していたずらした人も多そうだし、記事を見た瞬間「業務を妨害するために予約妨害を先導しているのか！？」と感じたほどだ。

抗議しなければ、愉快犯が増加したであろうと予想される。

紹介書籍

The post 【AERA.dot/アエラドット(朝日新聞出版)、毎日新聞】国の集団接種に対し悪質な妨害行為で防衛大臣より抗議を受ける。（大規模接種センター 予約システム） first appeared on ニューレポ.