アメリカのコワーキングスペース提供サービスを運営するWeWorkのエンジニアが、顧客の個人情報を個人のGitHubリポジトリに公開していたと、技術系メディアのMotherboardが報じています。

WeWork Developers Exposed Contracts and Customer Data on GitHub - VICE
https://www.vice.com/en_us/article/bjwqxz/wework-developers-exposed-contracts-and-customer-data-on-github

「最短1カ月での賃貸借契約が可能」というフットワークの軽さを武器に急成長を遂げたWeWorkは、株式上場企業の仲間入りを果たすことを目標に資金調達を行っていました。しかし、証券取引委員会に提出された書類から事業内容の稚拙さが指摘された上に、創業者であるアダム・ニューマンCEOの奇行もあり、株式上場は難しいとみられていました。

WeWorkには日本のソフトバンクがおよそ3200億円もの追加出資を行っていましたが、2018年決算ではWeWorkはおよそ2050億円の赤字を計上しており、経営状況はかなり苦しかった模様。最終的に、WeWorkは新規株式公開(IPO)を断念することを2019年9月30日に発表しました。

経営状況を改善するためのリストラクチャリングの一環として、WeWorkは2019年11月上旬に「シェアオフィス以外の事業の売却や、大規模な人員削減を行う」と発表。海外の経済メディアであるCNBCが2019年11月21日に「WeWorkが従業員2400人のレイオフを敢行した」と報じました。これは、WeWorkの全従業員約1万2500人のうち19％が解雇されたことになります。

WeWork lays off 2,400 employees
https://www.cnbc.com/2019/11/21/wework-lays-off-2400-employees.html

WeWorkの広報担当者がCNBCに語ったところによると、WeWorkのレイオフは数週間前からアメリカのみならず世界中の支社で行われているとのこと。WeWorkの経営状況がひっ迫していたことから、多くのメディアが大規模レイオフを予想しており、WeWorkの従業員もレイオフが起きる前の段階で労働組合を結成。レイオフが報じられてからはこの労働組合が会社側との交渉を行っている模様。

そんな中、「WeWorkのエンジニアが、GitHubで契約内容と顧客データを公開している」とセキュリティ研究者のモサブ・フセイン氏が指摘しました。

フセイン氏によれば、WeWorkエンジニアがGitHubのリポジトリにあげているスクリプトの中に、Amazon Web ServiceでホストされているPDFファイルのURLが含まれていたとのこと。このURLへのアクセスには認証などが必要なく、誰でもアクセスしてダウンロードできる状態になっていました。技術系メディアのMotherboardが160件以上のPDFファイルをチェックしたところ、そのほとんどにWeWorkと契約しているインド・中国・ヨーロッパの顧客データが記載されていたそうです。

PDFファイルに記載されていた顧客のデータには、個人の電話番号と住所だけではなく、銀行口座番号も含まれていたとのこと。Motherboardは、WeWorkと法人契約を交わしていたサイバーセキュリティ企業2社に確認を取りましたが、どちらからも回答は得られなかったと報告しています。

また、WeWorkと契約している顧客のみならず、インドではWeWorkとの契約を待っている個人の本名や電話番号、メールアドレスも流出していたとのこと。

MotherboardがWeWorkにコメントを要請した直後に、PDFファイルへのリンクを含むリポジトリがGitHubから削除されていたとのこと。WeWorkの広報担当者は「WeWorkは最近、特定の機密情報へのリンクを含んで公開された個人のGitHubレポジトリ2つと、関連会社が承認していない方法で顧客に関する情報を掲載した事例について警告を受けました。直ちに調査を開始し、情報へのアクセスを制限する措置を講じました」とコメントしています。

2019年11月22日 11時35分
https://gigazine.net/news/20191122-wework-layoff-expose-data/