エディオンの通販サイトで決済入力が改ざんされカード情報最大556回分漏えいのおそれ｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. エディオンの通販サイトで決済入力が改ざんされカード情報最大556回分漏えいのおそれ
             

エディオンの通販サイトで決済入力が改ざんされカード情報最大556回分漏えいのおそれ



エディオンは11月9日、通販サイトのPC向け決済入力処理に不正プログラムが組み込まれ、クレジットカード情報が漏えいした可能性があると第2報で発表した。11月6日の第1報で「確認されていない」としていたカード情報とログインパスワードが、一転して対象に加わった。

概要

エディオンのECサイトで、不正なプログラムが組み込まれる改ざんが行われていた。不正プログラムはPC向けの決済処理に組み込まれていたとされる。対象となるのは、不正プログラムが稼働した11月4日午後7時過ぎ以降にPCから新規入力された情報である。なお、件数の「最大556回分」は人数ではなく入力の回数である。

エディオンの発表によると、時系列は次のとおり。

11月4日午後7時過ぎ、PC向け決済入力処理の不正プログラムが稼働を始めた。

11月5日午後6時30分ごろ、ECサイトのサーバーへの不正アクセスと個人情報漏えいの可能性を確認した。

11月6日、第1報を公表した。この時点では、カード番号は含まれないと報告されていた。

11月7日午後10時、ECサイトと公式アプリなどを緊急停止した。

11月9日、第2報で決済処理の改ざんと、新たに判明した漏えい対象を公表した。

11月10日、第2報に記載したサービス停止日時を11月7日午後10時に訂正した。

第1報の原因は、ログファイルを保管するサーバー領域の一部に対する、システムの脆弱性を突いた不正アクセスとされる。第2報で判明した改ざんの侵入経路は、報道の範囲では明らかになっていない。

被害・影響の範囲

漏えいの可能性があるカード情報は、カード番号、有効期限、名義人、セキュリティコードである。対象は、PCから通販サイト上で新規に入力した最大556回分である。スマートフォンからの操作や決済入力は、不正プログラムの影響を受けていないとしている。

同社はクレジットカード情報の非保持化に対応している。それでも、入力情報が第三者へ直接送られた可能性は否定できないとされる。

第2報では、ほかの項目も訂正された。注文時のエラーでログに一時記録されたカード情報が最大5件、ログインIDとパスワードが最大1,141人分含まれていた。エディオンギフトカード5,360枚分の番号、暗証番号（PIN）、利用履歴の流出も確認された。

第1報の個人情報は、氏名やメールアドレスなどが紐づくログが最大4,131名、注文情報が最大9,554名で、合計は13,685名。重複があるため、実際の対象はこれを下回る。

二次被害については、現時点で不正利用が確認されたとの発表は、確認できた範囲では見当たらない。

企業・団体の対応

エディオンは、カード会社に不正利用の監視強化を依頼した。11月4日午後7時以降にPCでカード情報を新規入力した顧客には、身に覚えのない請求がないか確認するよう呼びかけている。

ログイン情報が対象の最大1,141人には、パスワード変更を依頼するメールを送るとしている。ECサイトは新規ログインに2段階認証が必要で、直ちに不正利用が行われる状況ではないと説明している。

ギフトカードは、番号とPINだけで使えるのがECサイトに限られ、実店舗ではカード本体の提示が必要とされる。このため、サイト停止中は流出した情報だけで不正利用されることはないと説明している。

個人情報保護委員会と警察への追加報告も準備しているとされる。ECサイトは停止中で、再開日は未定としている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、サーバーのログへの不正アクセスから始まり、調査の過程で決済画面の改ざんが見つかった。カード情報の非保持化は有効な対策だが、入力画面そのものが改ざんされれば情報は奪われる。初期調査の結論が後から変わりうることも、あらかじめ想定しておく必要がある。

決済画面の改ざん検知
決済ページに読み込まれるスクリプトを棚卸しし、許可したもの以外が動けば検知できるようにする。ページ内容の定期的な差分確認や、変更時の通知も整備しておく。

ログへの機密情報の記録防止
エラー時にカード情報などの入力値がログに残らない設計になっているかを確認する。ログの保管場所へのアクセス制御と、保管期間の見直しも行う。

初動調査と公表の進め方
第1報の時点で「含まれない」とした項目が、後に訂正される例がある。確認済みの事項と調査中の事項を分けて公表し、訂正が出た場合の連絡手順も決めておく。

脆弱性対応と認証強化
公開サーバーの脆弱性管理を定期的に行い、パッチ適用の状況を把握しておく。会員サイトでは、新規ログイン時の2段階認証など、パスワード流出時の被害を抑える仕組みを備える。

顧客への情報提供
対象となる条件を、日時や操作環境まで具体的に示して案内する。カード明細の確認方法、パスワード変更、不審な連絡への注意を、問い合わせ窓口とあわせて周知する。

なお、侵入経路の詳細、不正利用の有無、サイトの再開時期は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。