2024/09/30

アイルランドがMetaへ9100万ユーロの罰金パスワードを平文で保存したとして

アイルランドのデータ保護委員会（DPC）は、数億人のユーザーのパスワードを平文で保存していたとして、Metaのアイルランド法人である、Meta Platforms Ireland Limited（MPIL）に9,100万ユーロ（約145億円）の罰金を科しました。

Metaへの罰金の背景

2019年3月、MetaはDPCに対し、ソーシャルメディアユーザーの特定のパスワードを内部システムに「平文」（つまり暗号保護や暗号化なし）で誤って保存していたことを通知しました。

なお、最終調査でこれらの平文で保存されたパスワードは外部には公開されていないとしています。

同社は影響を受けるユーザー数を明らかにしなかったが、当時「数億人のFacebook Liteユーザー、数千万人の他のFacebookユーザー」、そして数百万人のInstagramユーザーに通知すると推定していました。

GDPR第33条(1)、MPILはユーザーのパスワードを平文で保存することに関する個人データ漏洩についてDPCに通知しなかった。
GDPR第33条(5)、MPILはユーザーのパスワードを平文で保存することに関する個人データ漏洩を文書化できなかった。
MPILは、ユーザーのパスワードの不正な処理に対する適切なセキュリティを確保するための適切な技術的または組織的措置を講じなかったため、GDPR第5条(1)(f)に違反した。
GDPR第32条(1)、MPILは、ユーザーパスワードの継続的な機密性を確保する能力を含め、リスクに適したセキュリティレベルを確保するための適切な技術的および組織的対策を実施しなかったため。

DPCは後日、事件に関する完全な決定と情報を公表する予定です

参照