ソフト99コーポレーションは11月10日、公式オンラインショップが第三者から不正アクセスを受け、最大13万6,968人の個人情報が漏えいした可能性があると発表した。侵入口は問い合わせフォームの画像添付機能とされ、カード番号下4桁など決済関連の情報も対象に含まれる。

概要

ソフト99の公式オンラインショップで外部の第三者による不正アクセスが発生し、顧客の個人データが外部に漏えいした可能性があることが判明した。同社は、ショップの運営を委託している委託先からの連絡で事態を把握した。

ソフト99コーポレーションの発表によると、時系列は次のとおり。

11月5日、委託先から同社に対し、公式オンラインショップで不審な動きが確認された旨の連絡があった。

委託先が調査したところ、外部の第三者が問い合わせフォームの画像添付機能からプログラムファイルをアップロードしたとされる。そのファイルを足がかりに、外部から命令を送り込めるファイルが置かれたという。サイトのプログラムの権限で、サーバー内の調査や設定ファイルの読み取りが行われたことも判明した。

11月9日、同社は個人情報保護委員会へ報告した。11月10日に、同社は本件を公表した。

不正アクセスの時期や、攻撃者がどのような手口で最初にファイルを設置したかについては、発表では明らかにされていない。委託先の社名や、委託先自身による発表は確認できなかった。

被害・影響の範囲

対象は、11月5日までにソフト99公式オンラインショップで会員登録をした人と買い物をした人である。流出した可能性のある情報は、次の項目である。

氏名、住所、メールアドレス、電話番号、生年月日、性別、購買情報、お届け先情報、クレジットカード情報（カード番号の下4桁、有効期限、カード名義人）。

カード番号の全桁が流出したという発表ではない。セキュリティコードや、ログインパスワードが含まれるかどうかは、発表に記載がない。

件数は136,968人とされているが、対象となる会員と件数の詳細は確認中としている。実際に情報が外部へ持ち出されたかどうかも、調査が続いている。

二次被害については、本稿の執筆時点で、被害の発生を示す情報は公表されていない。他の組織への影響も、確認できていない。

企業・団体の対応

同社は発表でおわびを述べた。現在の対応として、公式オンラインショップの一時停止と、アクセス制限の強化、その他必要なセキュリティ対策の実施を挙げている。

今後は外部のセキュリティ専門家などに調査を依頼し、調査結果と助言を踏まえて対応するとしている。ショップの再開時期は、公表されていない。

報道によれば、同社はなりすましのメール、電話、SMSへの警戒を呼びかけている。個人情報保護委員会へは、11月9日に報告済みである。

編集部コメント（読者企業が取るべき対策）

今回の事案は、問い合わせフォームの添付機能という、通販サイトで一般的な機能が侵入口になったとされる点に注意したい。ショップの運営を委託している場合、委託先で起きた事象でも、自社の顧客情報の漏えいとして対応を迫られる。自社と委託先の両方で、公開機能とその管理状況を点検しておく必要がある。

アップロード機能の棚卸し
問い合わせフォームや会員の画像登録など、外部からファイルを受け付ける機能を洗い出す。拡張子や内容の検証、保存先での実行権限の制限、ファイル名の無害化ができているかを確認する。

不審ファイルの検知体制
Webサーバー上に新しいファイルが置かれたことを検知する仕組みがあるか確認する。アップロード用ディレクトリの監視や、Webアプリケーションファイアウォールの導入と設定の見直しも検討する。

設定ファイルの権限と秘密情報の管理
今回は、サーバー内の調査や設定ファイルの読み取りが行われたとされる。設定ファイルにデータベースの接続情報などを平文で置いていないか確認する。Webサイトの実行権限は必要最小限に絞り、侵入された場合の被害を限定する。

委託先管理の見直し
委託先との契約で、脆弱性対応の範囲、ログの保管期間、インシデント発生時の連絡期限と調査への協力を明確にしておく。今回は委託先からの連絡が端緒となったため、異常を検知した際に誰がいつ連絡するかを、平時から決めておく。

顧客への情報提供とフィッシング対策
漏えいの可能性が生じた場合は、対象項目と注意点を早い段階で顧客に知らせる。氏名や連絡先、購買情報が漏れた可能性があるため、なりすましのメールやSMSへの注意喚起を併せて行う。カード会社への相談先も案内しておく。

なお、実際の漏えいの有無、対象となる会員と件数の詳細、原因の全容は現在調査中とされている。今後の続報に注意されたい。

出典

• 株式会社ソフト99コーポレーション（TDnet）
• 日本経済新聞
• NHK
• 企業情報オンライン（日本インタビュ新聞）
• セキュリティ対策Lab

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから