メルカリ、Web版で54,180名の個人情報が流出

ymasa 曰く、

メルカリWeb版で54,180名の個人情報が流出した。iOS/Androidアプリ版のメルカリは対象外という。
流出したのは名前・住所・メールアドレス・電話番号、銀行口座、クレジットカードの下4桁や履歴・設定情報など。

6月22日9:14Web版メルカリのパフォーマンス改善のためキャッシュサーバーに切り替えを行ったとき、個人情報が他者から閲覧できる状態になっていたという。
14:41発覚後15:05に従来の設定に。15:16メンテナンス状態にして15:36キャッシュサーバーへのアクセスを遮断・問題解消。15:47メンテナンスモード終了。
現在は対応を完了しているという。

Web版のメルカリにおける個人情報流出に関するお詫びとご報告
https://www.mercari.com/jp/info/20170622_incident_report/

キャッシュされるべきでないキャッシュが

[maia (16220)]

「個人情報が他者から閲覧できる状態になっていた」と「情報が流出した」はイコールではないが、実際に「表示されて」いた。詳しい事情はエンジニアのブログにて。

Mercari Engineering Blog [mercari.com]

本来キャッシュされるべきでない情報がCDN側にキャッシュされてしまい、該当時間帯にアクセスしたお客さまに、他のお客さまの情報が表示されておりました。
お客さまからのお問い合わせを受け、問題認識後、即時に設定の切り戻しとプロバイダ側のキャッシュの削除を行いました。