2019.07.14事務局FacebookTwitterはてブ2017年5月18日、ぴあ株式会社より3月に行われた不正アクセス被害報告の続報が発表されました。当初漏えいの可能性があると指摘されていたカード情報3万2,187件とは別に、新たに6,508件の個人情報にも被害の可能性があることが発覚(総数の約15万5千件に変更はなし)。続報による被害拡大の可能性が話題を呼んでいます。今回は、事件の概要からぴあで行われた対策などをまとめます。攻撃発生からの経緯は下記の通りです。チケットサイト、及びファンクラブ受付サイト」が何者かにサイバー攻撃を受ける。SNSサイト「Twitter」にて、クレジットカードの不正利用に関する書き込みが続出。クレジットカード会社より、不正利用の形跡があると報告を受ける。ぴあ株式会社は、当該ウェブサイト上でのクレジットカード決済機能を停止。同時に第三者調査機関に調査を依頼する。ウェブサイト上にて、不正アクセス被害の報告と謝罪を実施。予想される被害総数は15万4,599件(うちカード関係の情報は3万2,187件)と発表。同社CCOを委員長とする再発防止委員会を組成。再発防止に向けて取り組む。第三者調査機関の報告を受けて、ウェブサイト上で続報を発表。公表されていたカード情報3万2,187件とは別に、新たに6,508件の漏えいの可能性があることを公開。被害者に対して順次お詫びの品を送付する。クレジットカード決済を行ったユーザーの個人情報2016年5月16日~2017年3月15日の期間中にファンクラブ会費の支払い及びチケット購入を、クレジットカード決済で行った人の個人情報、3万2,187件+6,508件(今回の追加報告分)。合計3万8,695件。Struts2」の脆弱性を利用した外部からのサイバー攻撃だと明らかになっています。ぴあ株式会社ではカードの決済情報は当該サーバ上に保存されないと認識していたものの、実際は委託先企業において、ぴあ株式会社が提示した運用ガイドラインと異なる取扱いを行っており、今回の情報流出の原因となりました。Struts2」のバージョンアップを行い、脆弱性を修正。サーバの再構築を行い、セキュリティ性を向上。ファイヤーウォールを強化し、不正アクセスに備える。取り扱う情報の種類に関わらず、運用ガイドラインの徹底を行う。される被害者に対して、お詫びの品を発送。ウェブサイト上での不正アクセスの報告と謝罪。専用相談ダイヤルの設置。2017年7月6日より「電話番号認証」を実施。悪用されやすい不正なIDの取得を防ぐ。Struts2」の脆弱性を利用した、巧妙なサイバー攻撃です。ぴあ株式会社によると同社は本件に関する脆弱性を10日時点で認識していたとのこと。仮にこの時点で確認を行っていれば、被害の発生(7日~15日)をある程度抑制することができたものと考えられます。運用ガイドラインの徹底は急務また、運用ガイドライン上の取り決めが実際に行われているかを確認することも大切です。今回の事件は委託先企業が取り決めと異なる運用を行った結果として発覚した事件。(容易なことではありませんが)自社スタッフによる調査や監査など、何らかの手法を用いて実際の運用面を実施すべきだと言えるでしょう。第三者調査機関の調査は必須もし、不正アクセス被害に遭った場合は、第三者調査機関へ素早い調査依頼が望ましいと考えられます。第三者調査機関の調査報告はカード会社との連絡相談に必要なだけでなく、より正確な事態の把握に繋がるからです。今回の不正アクセス事件では、第1報と続報の被害件数が異なっています。仮に続報が公開されていなければ、より深刻な被害の拡大に繋がったかもしれません。第三者調査機関への依頼はリスク管理の為にも、最優先すべき被害対応だと言えます。電話番号認証システムの導入は、サイバー攻撃の抑制に繋がるかぴあ株式会社は2017年7月6日から、チケット販売サイト「チケットぴあ」にて電話番号による認証システムを実装することを発表しました。電話番号による確認を行うというもので、不正なIDの大量取得や転売防止の抑制効果が期待できると注目を集めています。サイバー攻撃に関わってくる対策ではありませんが、ID管理に対するセキュリティ性が増すことで不正な決済を抑制する効果が期待できるでしょう。事務局サイバーセキュリティ.com編集事務局です。サイバーセキュリティ関連の最新情報をご紹介しています。セキュリティ情報を伝えるべく日々奮闘中プロフィールはこちら事務局からのお知らせ当サイト掲載コンテンツの二次利用について2019.08.07当サイトコラムニスト星野靖裕さんが東京新聞に取材されました。資料請求リストに製品がありません。