脆弱性原因で顧客2,270名のカード情報流出か、中央教育研究所株式会社

中央教育研究所株式会社は2022年5月24日同社が運営する学習塾向け教材通販サイト、「CHUOHネットショップ（以下：被害サイト）」が何者かのサイバー攻撃を受けたことにより、過去被害サイトにてクレジットカード決済したユーザー2,270名のカード情報が外部流出した可能性があると明らかにしました。

対象となるのは2021年4月23日～2022年3月9日にかけてカード決済したユーザーで、不正利用に使用されるカード番号や有効期限、セキュリティコードについて流出懸念が生じているとのこと。同社によれば、公表時点で一部顧客について実際に不正利用された可能性も生じています。

同社はこのため、公表時点で被害懸念の生じているユーザーに個別に連絡を取り、注意を促すとしています。同社は2022年3月9日時点でカード会社より被害サイトからの流出について連絡を受けていましたが、対応準備が整わないまま公表することにより生じる混乱を避けるため、対応準備を整えていたと説明しています。

PCI DSS基準満たした新規サイトの計画も

中央教育研究所株式会社によると、情報流出の直接的な原因は、被害サイトに内在していたシステム上の脆弱性です。

発表によると、流出懸念を把握した同社が第三者調査機関に調査を依頼したところ、被害サイトから問題の脆弱性が検出されたとのこと。また、不正アクセスを仕掛けた人物はこれを利用してサイトの決済システムを改ざんしており、ユーザーに気付かれないようにカード情報を盗み取っていた可能性が判明しました。

同社はこのため、既に被害サイトからカード決済機能を停止し、セキュリティ強化施策を進めています。同社はまた、カード業界団体が指定したセキュリティ基準であるPCI DSSの要件を満たした新規サイトの立ち上げも検討しており、カード会社による分析や審査を経て公開する見通しを明かしました。