note株式会社はまず、自らの不誠実な態度を「カイゼン」せよ(9/1記事の続報)

＊これはあくまで私個人の考えであり、他に強制するものではありません。また、取引先等がnoteを利用することを否定したり、問題視するものではありません。

＊この記事は、2020/09/01更新記事「なぜ私はnoteをやめたのか　IPアドレス流出『3つの不誠実』」の続きです。

私は、上記記事にも書きましたが、今回のIPアドレスの件で、こういうトラブルが起きたときに、不誠実な態度を取る人は、まず人として信頼できないなーと思ったので、noteのサービス利用自体をやめることにしました。

noteにあった私の有料コンテンツは9月中にすべて引き揚げ、こちらのブログで読めるようになっています。（一部内容が古い有料noteは、削除しました。）
noteにある無料コンテンツは、アーカイブとして残すことにし、その後アカウントは残しつつ、放置していました。その後は、noteからも何も説明がなかったので、「あ、このまま何もなかったことにして、ごまかして終わる気なんだな。まあ、もう使わないからいいけど。」と思っていました。

ところが、9/30にnoteからメールで送られて来た追加報告と、その後の対応が、常軌を逸した不誠実さであったため、こちらの記事を書くことにしました。


【１】9/30　noteから追加リリースが出た
【２】9/30のリリースに虚偽情報が含まれているとして、有志が脆弱性調査を行いはじめた
【３】note株式会社はまず、自らの不誠実な態度を「カイゼン」せよ

【１】9/30　noteから追加リリースが出た

９月３０日、下記のリリースが出ました。



私はこれを読んで、自分の「note脱出」の判断は正しかったと確信しました。
それと同時に、下記のような疑問点が頭に浮かびました。

【疑問点・１】
１・「同日13:50　特定商取引法上の表記として、一部の利用者が任意で記載していた情報（事業者名、連絡先）について、ソースコードからも削除」
２・「（1）すべての記事ページのAPIレスポンスから現在のサービス運営に必須ではない項目を削除
・SNSアカウントを連携させていた場合の、利用者のSNSアカウントのユーザーIDや登録名 ※
・下書き保存している記事数　など」

という点に関しては、事前のリリース等には書かれていない新事実です。それが突然、この最終報（と思われる）今回のリリースで突然登場し、サラッと書かれています。
また「など」とは、具体的に何なのでしょうか。
この「など」に、なにかnote株式会社にとって不都合な内容が含まれる可能性も高いように思います。
こういった不明瞭な書き方にも、不誠実さを強く感じます。

【疑問点・２】
２．セキュリティ強化対策（1）すべての記事ページのAPIレスポンスから現在のサービス運営に必須ではない項目を削除
とありますが、「そもそもなぜサービス運営に必須でない項目を収集していたのか」の説明がありません。

まあ、発信者情報開示請求（事件対応）などに備えて、一般的にはIPアドレスは一定期間は収集しとくもんだと思いますが、しかし、そういった理由・目的があれば、その理由を書けばいいだけだと思うんですよね。

＊私は、当初から、IPアドレスが、各一記事のソースコードに記載されていたこと自体よりも、「その事実に対する、その後の説明や対応の不誠実さ」を問題視しています。

また、原因が「システム実装時の考慮漏れ」という点にも、疑問を感じます。
一般的に、システム開発というのは、実装の前には、要件定義や設計をするはずで、そもそも実装前の時点で「考慮漏れ」しているのではないでしょうか。
また、下記のリンク先の記事にもありますが、「システム実装時の考慮漏れ」に対する再発防止策が「監視」というのも、おかしいように思います。

「監視」で「システム実装時の考慮漏れ」によるトラブルを防止するというのは、あくまで最終手段であって、本来であれば要件定義時や設計時に考慮されておくべき問題が考慮されていなかった、ということですから、改善するべきは実装時以前のプロセスであるように思います。
「- 意図しない漏洩の早期発見・通知を行うシステムの導入
　- 複数の外部セキュリティ専門機関による、定期的な脆弱性診断の実施
　- 不正アクセス検知システム（WAF）や侵入検知システムを導入し、不正な可能性が高いアクセスをブロック」
というのは、根本的な再発防止策にはなっていないように、私には思われます。
＊私はシステム開発については全くの門外漢です。この点については、おかしなことがあればぜひご指摘ください。

参考：

 
【２】9/30のリリースに虚偽情報が含まれているとして、有志が脆弱性調査を行いはじめた

その後、９月３０日のリリースに虚偽情報が含まれているとして、有志が脆弱性調査を行い、note株式会社に直接連絡したようです。

参考：

皆思い思いの方法でnoteに脆弱性を報告しています、今。

— mala (@bulkneets) October 1, 2020

上記の記事に「見ていてつらい」とありますが、まさに同じ気持ちです。

私は、第一報のときに「ちょっと、さすがにこれはないでしょ」と呆れ果てて、noteの新規更新をやめたのですが、9/30にメールが来て、続報を読んだら、本当に社員の方があまりにもかわいそうでならなくなりました。まあ、社員も経営層と同レベルの知識・感性の持ち主で、このリリースの異常さを理解できず、全く疑問を感じていないのかもしれませんが…

また上記記事には「この記事には、9月30日付けと、10月1日付けでnoteに報告した脆弱性についての解説を後ほど追記します。誠実な対応が取られないのであれば、未修正の状態でも公開します。」とありました。
9/30から、10月2日夕方くらいまでこの状態でした。この期間は、かなりユーザーを危険にさらしていた状態と言えるのではないでしょうか？

その後、Twitterで、「noteアカウントに不正アクセスを受けた」というツイートを見かけたため不安になり、もともとクレジットカード番号は削除していましたが、振込先銀行口座番号もダミーに変更しました。
＊noteはなんと、振込先情報の「削除」ができない仕様となっており、もともと自衛としてダミーの銀行口座情報を入力していましたが、一時的に振込申請のため、正しい口座情報を入力していたので、慌ててダミーに変更しました。


【３】note株式会社はまず、自らの不誠実な態度を「カイゼン」せよ

私は技術の細かい点はわかりませんが、少なくとも、先月8月14日からのnote株式会社の行いは、常軌を逸するレベルで不誠実なものであり、「note利用者のみなさま、noteのサービスに関わるみなさまに多大なるご迷惑とご心配をおかけしましたこと、改めて心よりお詫び申しあげます。」と心から思っている人が取る言動・行動ではないということは、わかります。

今までのリリースの内容というのは、「保身のために嘘を塗り重ねている」または「不都合な現実から目をそらすために幻想を見ている」→「その自ら生み出した嘘・幻想を、現実だと信じてしまっている」人の言動・行動のように、私には見受けられます。

もしそうではなくて、心からお詫びの気持ちがあるのに、この行動・言動であるなら、そもそも根本的に、インターネットビジネスをやる上での、基礎教養がなさすぎだと思います…（ちなみに私は昔、一般企業のWEB運用の仕事をやっていました）

一度カタのついた話を蒸し返すことは、あまり良くないとも思いますが、しかしこのnote株式会社全体から感じる、「悪気のない」不誠実極まりない態度であるとか、「クリエイター」（サービス利用者）への根本的なリスペクトのなさ、そしてそれに対する「無自覚」というのは、私が以前noteに書きました「noteのイラストレーター採用問題」からも垣間見えていた要素であり、今回の件とも通ずるところがあると思いますので、参考までに、再度こちらにも記事をリンクしておきます。



＊上記の件では、私はnote株式会社及びCXO深津氏や社長の加藤氏がイラストレーターの仕事や契約形態について無知であることは、彼らの不勉強さにも問題があると考えていますが、私も含めて、多くのイラストレーターが、広く世間に向けて自分の職務について発信してこなかった、もっと言えば、発注側ときちんとコミュニケーションを取ってこなかったことにも、大きな要因があると考えており、反省しています。

ちなみに、上記の件について、後日弁護士に聞いてみたところ、上記のような雇用契約は、やはり一般的には「公序良俗に反し無効」となる可能性が高いそうです。
＊こちらについては、コメント欄で質問を頂きました。コメント欄で弁護士監修の上で回答しています。詳細はコメント欄をご覧ください。

顧問弁護士はいるはずだと思うのですが、今回の件のリリースなどを見ても、どうもリーガルチェックが機能してない企業なのではないかという印象を、私個人としては強く持っています。

冒頭に書いたことの繰り返しになりますが、これはあくまで私個人の考えであり、他に強制するものではありません。また、取引先等がnoteを利用することを否定したり、問題視するものではありません。

実際、私がオーサーとして参加しているメディア「DANRO」では、noteのサークル機能を利用しています。

私は、私個人としてはnoteを更新停止しましたが、noteはこの「サークル機能」のように、WEBサービスとして優れている点もあると思っていますので、まずは自らの行いを正しく認識し、不誠実な態度を「カイゼン」するところからはじめて欲しいと思っています。

また、noteには記事のエクスポート機能がありません。
一時的に有料記事にするという形で、バックアップは取れるといえば取れるのですが、私はnoteで書いていた記事の量が多いので、移転は現実的ではありません。
ですので、無料記事は放置しようと思っているのですが、放置するだけで不正アクセス等のリスクがあって、移転もできないという現状は、私のように、長く使っていたユーザーほど困っていると思います。便利な機能とかはいらないので、まず、とにかく「安全」を保って欲しいです。

そして何よりも、今後のトラブル発生時には、今回のように「大したことないことでガタガタ言うなよ（ヘラヘラ〜）下手なことすると訴えるぞ！（ドヤァ）有名人の方は大変申し訳ございません〜（ヘコヘコ〜）うちの弁護士使って全力で対処いたします〜（ヘコヘコ）」といった態度ではなく、全てのユーザーに対して誠実な態度を取ることを求めます。インターネットサービスには「完全」はないのだから…

(2020/11/08追記)
上記で「移転は現実的ではない」と書いていたのですが、あまりに事態が改善しない上に、その後、さらに、会社全体のモラル、一市民としての人権感覚が根本的に疑問視される事件が起きました。上記イラストレーター採用で私が不安に感じていた「私のような単なる読者（１度だけ話したことがあるものの、ほぼ赤の他人）に対しても、こういった態度なのだから、身近な人や、特に職場の若い女性など、立場的に優位になるような相手には、いったい普段どういう接し方をしているのだろうかと、個人として、noteの職場環境がかなり心配になった。」という点が、まさに白日の下に晒された事件であると言えるでしょう。

また、詳細はここには書きませんが、noteの利用規約その他に、さらなる不審な点を感じたため、過去記事を放置することにも危険を感じ、はてなブログに記事を移転することにしました。noteは記事移転が完了次第、退会の予定です。

(2020/10/06追記)
noteのIPアドレス問題については、＠ITのこのマンガを読むとわかりやすいと思います。
これの24〜27回がその話です。