委託先から会話記録にアクセスの恐れ
Notionは、外部AI基盤のFireworks AIで起きた問題により、AI利用分析のInsightsに使う会話記録が影響を受けたと説明している。対象は全ワークスペースの1％未満とされる。これは共同作業の領域を数えた割合で、漏えいした人数や文書全体の割合とは異なる。11月12日のITmedia報道では、SecureNaviなど国内企業も、取引先名や相談・打ち合わせ内容が含まれた可能性を調べていると伝えた。
侵入と通知の時期を分けて把握
Fireworksは、10月23日に研究開発用の機械を置く外部クラウド事業者で事件が起き、24日にその経路から開発用機械へ到達されたと公表した。25日以降、顧客向け基盤への追加の不正アクセス成功の証拠は検出していないとしている。一方、Notionは11月3日朝までに接続と通信を停止し、9日に対象者へ連絡したと説明する。国内で12日に報道・調査発表が出たことは、侵入そのものが12日に起きたという意味ではない。
企業ごとの影響は同じではない
ケンオールは12日、社内でNotionを使っているため調査中としたうえで、対象時期にNotion AIを利用せず通知も受けていないことから、影響の可能性は低いと公表した。同社のサービス提供システムには影響しないという。Notion上に情報がある企業を、すべて流出が確認された企業と扱うことはできない。また、送信者などのラベルがない記録でも、本文に社名や名前が書かれていれば識別につながり得る点には注意が必要だ。
公式通知から対象データを確認
Notionは対象者に、案内した手順で記録を安全に取得・確認し、含まれていた認証情報を更新するよう勧めている。11月11日には、対象メッセージ中で見つかったNotion APIキーを無効にしたと追記した。通知がない場合は現時点で影響を特定しておらず対応不要とするが、調査は継続中である。企業の利用者は自社の担当部署と対象範囲を確認し、今後の追加通知や調査結果を追うことが必要になる。