設定ミスとは、ソフトウェアやクラウドサービスそのものの欠陥ではなく、使う側（運営者や開発者）が公開範囲やアクセス権限の指定を誤ったために、情報が意図せず外から見える状態などが起きることを指します。製品やサービスの名前ではないため「使い方」や「料金」はありません。知っておくべきなのは、どう防ぐかと、起きたときに何を失うかです。
設定ミスとは：脆弱性との違い
脆弱性はプログラムの不具合です。直すには、提供元が修正版（パッチ）を出すのを待つ必要があります。設定ミスの場合、仕組みは正しく動いていて、「誰に見せるか」「どこに置くか」の指定だけが誤っています。英語では misconfiguration と呼びます。
利用者が自分で直せる反面、提供元が「初期設定は安全」と説明していても、利用者が設定を変えた結果として起きる場合があります。よくあるのは、本来は非公開にすべきファイルを公開領域に置いてしまう例と、データベースをインターネットから誰でも読める状態にしてしまう例です。
設定ミスによる情報漏えいの事例
当サイトでは、設定ミスが原因とされる事例を2件報じています。
1件目は、ID管理サービス「GMOトラスト・ログイン」で2492社・4万5030人分の情報が漏えいした件です。INTERNET Watchの報道によると、本来は非公開であるべきファイルが公開領域に置かれていました。漏えいした項目、公開されていた期間、第三者がアクセスしたかどうか、再発防止策は、確認できた範囲では分かっていません。ID管理サービスは多くの企業のログインをまとめて扱います。そのため、1か所の設定ミスが2492社に影響しました。
2件目は、開発基盤のSupabaseです。セキュリティ企業UpGuardの調査で、Supabase上の数千のデータベースが個人情報を公開した状態になっていると分かりました。氏名、住所、電話番号、パスワードなどが含まれていました。背景には、AIを使って手早くアプリを作る「バイブコーディング」の広がりがあり、原因は基本的な設定ミスとされています。Supabase側は「初期設定は安全」という立場です。1件目はサービスの運営者側の問題でした。こちらは、サービスを使ってアプリを作った利用者側の設定の問題です。
設定ミスの防ぎ方（エンジニア向け）
以下は事例の報道に書かれていたことではなく、2件から当サイトが考えた対策です。
- リリース前に、ファイルやデータベースの公開範囲を確認する項目を設ける - AIが生成したコードや設定をそのまま使わず、アクセス権限に関わる部分は人が読んで確かめる - ログインしていない状態で外部から実際にアクセスしてみて、見えてはいけないものが見えないかを確かめる
「初期設定は安全」という説明は、設定を変えたあとも安全だという保証ではありません。この点は2件目の事例が示しています。
企画・DX担当者と投資家にとっての意味
設定ミスに利用料はありませんが、起きたあとの対応に費用がかかります。今回の2件では、被害額や対応費用は公表された範囲では分かっていません。SaaSやクラウド基盤を選ぶときは、どの設定を提供元が受け持ち、どの設定を自社が受け持つのかを契約や仕様で確認しておくと、責任の所在がはっきりします。
投資家向けの「誰が作っているか」「競合は何か」という問いは、設定ミスが製品ではないため当てはまりません。関連する事業としては、設定ミスを外から見つける側の企業があります。Supabaseの件を調べたUpGuardはその一例です。この分野の市場規模や主な企業については、今回の参考情報には含まれていません。
