WAF設定ミスで不正アクセス被害、最大6,119件の個人情報流出か｜MS&consulting

不正アクセス被害についての調査結果を受け、続報を発表しました。（2018年6月1日）
関連記事約57万件の個人情報が漏洩、WAF設定ミスでSQLインジェクション攻撃防げず｜MS&Consulting

株式会社MS&Consultingは2018年5月14日に、ミステリーショッピングリサーチに関するウェブサイトに対して、WAFの設定ミスを利用した不正アクセスが行われたことを発表しました。

同社によると不正アクセス被害により一部の情報が流出した可能性があるとのこと。流出可能性がある個人情報は最大で6,119件と説明しています。なお、2018年5月13日夜までには、同サイトのWAF再設定を完了。現在は対応済とのことです。

事案の概要は？

株式会社MS&Consultingの発表によると、事案が発覚したのは2018年5月10日。同社がサーバーログの確認を行った際に不正アクセスの痕跡が発見されたため、2018年5月11日にソフトウェアに必要な修正を実施。

さらに2018年5月12日に改めて再調査を実施したところ、2018年5月2日の2時13分～13時25分に不審なアクセスが行われ、同社が保有する情報の一部が漏洩した可能性が見つかったと説明しています。

今回の不正アクセスによる被害は合計6,119件。流出情報の内訳はメールアドレスやパスワード、電話番号とのこと。攻撃者は不正なコードを注入する「SQLインジェクション」を行うことで不正アクセスを敢行したと考えられます。

同社はWAFによるセキュリティ上の対策を実施していたものの、設定に誤りがあった結果、共通のデータベースを利用していた海外子会社向けのモニター登録サイトを通じて、同サイトへの攻撃を受けたと説明しています。