ポストモーテム: 文字起こし事業者APIキーの露出

#概要

デスクトップアプリのベータ版の一部の版において、文字起こしの委託先である外部事業者のAPIキーが、アプリの設定情報を配信するエンドポイントを通じて取得できる状態になっていました。このキーを用いると、当該ベータ版で生成された文字起こしに到達しうる状態でした。

外部のセキュリティ研究機関からの報告を受け、同日中にキーを失効させ、配信経路から取り除きました。調査の結果、報告者による管理された検証の期間を除き、第三者による利用は確認されていません。

一般提供版のデスクトップアプリは別の文字起こし経路を使用しており、本事象の影響を受けていません。

#発生原因

本事象は、委託先のAPIキーをクライアント側から参照できる場所に置いたという設計上の誤りと、不要になった設定が残り続けたという手順の漏れが重なって生じました。外部からの報告を受け付ける体制が整っていなかったことが、対応の遅れにつながっています。

#経緯

#直接の原因

1. 設計上の誤り — 委託先のAPIキーを、アプリ側から参照できる設定情報に含めていました。クライアント側にキーを置く構成は暫定的なものでしたが、当初から避けるべきでした。
2. 不要になった設定の残存 — 処理をサーバー側へ移行した時点でキーは不要になっていましたが、配信の設定から削除する手順が漏れていました。

#運用上の原因

外部からのセキュリティ報告を受け付けて優先度を判断する手順が確立しておらず、最初の照会に対する対応が遅れました。窓口のメールアドレスは公開していたものの、受信を確認して担当者に割り当てる運用が定まっていませんでした。

#対応

#影響範囲

• 影響を受けうるのは、対象期間にデスクトップアプリのベータ版を利用していた〔対象となる利用者数〕名です。
• アクセス記録の分析では、報告者による管理された検証（短時間のアクセスで、〔検証で参照された文字起こしの件数〕件の文字起こしが対象）を除き、外部からの到達は確認されていません。
• 報告者からは、検証で参照したデータを保持していないこと、および同機関の開示方針に従って調査を行ったことの確認を得ています。
• 一般提供版の利用者への影響はなく、対応は必要ありません。
• 対象となる方には、登録のメールアドレス宛に個別にご連絡しました。

#再発防止策

1. 秘密情報の取り扱いの見直し — 外部事業者の認証情報を、アプリ側から参照できる経路に置かない方針を明文化しました。既存の設定配信の内容を全件点検し、同種の情報が含まれていないことを確認しました。
2. 継続的な検出 — 継続的インテグレーションの工程に、認証情報の混入を検出する仕組みを組み込みました。検出時は本番環境への反映を停止します。
3. 報告受付の体制 — セキュリティ窓口に届いた報告の受信確認、担当者の割当て、優先度の判断、社内への共有の手順を定めました。対応状況の記録も残します。
4. インシデント対応手順の整備 — 事象の調査、影響範囲の確定、対象となるお客様への連絡までの手順と責任者を定めました。
5. 外部の専門事業者との連携 — セキュリティ窓口の監視、報告の初期評価、侵入テスト、監査について、外部の事業者の支援を受ける体制を整えました。
6. 体制の強化 — セキュリティを担当する技術者の採用を進めています。

#謝辞

責任ある開示を行っていただいた〔報告者名〕（〔報告者の所属組織名〕）、本件を広く知らせて対応の契機をつくっていただいた〔第三者として指摘した研究者名〕、調査にご協力いただいた文字起こしの委託先に感謝します。

#参考情報

• 脆弱性開示ポリシー — 調査を許可する範囲、報告の方法、報告者への対応
• セキュリティ体制 — 平時の技術的・組織的な安全管理措置
• セキュリティ・プライバシーに関するFAQ — データの保存場所と委託先の扱い
• 本件に関するお問い合わせ: tharada@the-unchain.com／脆弱性のご報告: tharada@the-unchain.com