Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。(https://foxestar.hatenablog.com/)をご覧ください。お盆休み中は1件も出て無かったかと思いますが、新たにまたカード漏洩事件が発表されていました。弊社が運営する「HARIOネットショップ」への不正アクセスによる個人情報流出に関するお詫びとお知らせ5月8日に、一部のカード会社から同サイトを利用した顧客のカード情報の流出懸念について連絡があり、同日中に同サイトでのカード決済を停止し第三者機関による調査を開始したところ、7月7日に完了した調査結果より顧客のカード情報流出と一部のカード情報の不正利用の可能性を確認したというもの。流出した可能性があるのは、2018年11月23日から2019年5月8日に「HARIOネットショップ」でカード情報を入力し決済を行った2,577件のカード情報(名義人名、カード番号、有効期限、セキュリティコード)。期間中であっても登録済みのカードで決済したカード情報の流出は確認されていない。2,325件の会員ログイン用メールアドレスとパスワードも流出した可能性が確認された。魚拓サイトで調べていたのですが、侵害を受けた「HARIOネットショップ」(※現在は閉鎖中)がPHPを使っている事は分かったのですが、会員サイトがどういった構築をされていたのか、もっと言うとEC-CUBEだったのかどうかはっきりしませんでした。調べてみると・・・関係会社の実績ページに答えが書いてありました。EC-CUBEの様です。漏洩データの時期から判断すると、EC-CUBE関連のカード情報漏洩事件が多発し始めていた頃に合致します。言えばEC-CUBEが5月に重要なお知らせという名の緊急告知を出していますが、HARIOもこの対象だったのかも知れません。不正アクセスを受けてカード情報を漏洩した各社の公式発表を見ても、ほとんどのケースでEC-CUBEを利用していた事を公表していません。今年に入ってからの事件では圧倒的にEC-CUBEユーザからの漏洩が続いています。フォックスエスタの方でとりまとめてますが、HARIOの件を入れると今年に入ってカード情報漏洩が27件あり、その内16件がEC-CUBEユーザとなり、全体に占める割合は約60%です。異常値といっても差し支えありません。フォックスエスタEC-CUBEの名前を出す影響が大きいから公表しないのか、単純な設定ミスや脆弱なパスワード等、自社が侵害を受けた理由があまりにお粗末すぎて発表できないのかは分かりませんが、EC-CUBEだと発表されてない事件(忖度)が多いが故に、他の(被害を受けてない)EC-CUEBユーザも脆弱なままであって、そこをハッカー側は集中的に狙っているのではないでしょうか?EC-CUBEの開発元、デザイン会社、あるいはECサイト事業者はもっと危機感を持つべきだと思います。EC-CUBEユーザは、HARIOはEC-CUBEで構築していたサイトを一新する、と読み取れる内容がある事にも留意が必要かも知れません。同社では今後、調査結果を踏まえてシステムのセキュリティ対策と監視体制の強化を行い再発防止を図る。5月9日から閉鎖していた同サイトについては、セキュリティの観点から再開を断念し、新規のショッピングサイトを開設し、会員情報の移管も行わないとのこと。DSS審査を受けるよりも、新たにセキュリティが強化されたフレーム(サードパーティのサービス)で新規サイトを構築する、という意味かと思いますが、セキュリティ向上のために、一定以上の費用をかける事を示唆しています。EC-CUBEユーザは自社サイトの設定の再確認、ログの確認(侵害されてないかどうか)を急ぐと共に、Webサイト改ざん検知や、脆弱性診断などを検討した方が良いかと思います。ホームページ7/8に日本プライバシー認証機構(JPAC)様からホワイトレポートをリリースしました。キタきつねとしての初執筆文章となります。「パスワードリスト攻撃」対策の参考として、ご一読頂ければ幸いです。象印の再発防止策を考えてみた。(106)調べてみた。(114)つぶやいてみた。(146)まとめてみた。(調査データ等掲載)フォックスエスタはてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。