Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。(https://foxestar.hatenablog.com/)をご覧ください。グッズ等を通信販売しているプロイディア直営ショップからカード情報が漏洩したと発表されました。EC-CUBE利用サイトの様です。ごろ、クレジットカードの決済代行会社より「クレジットカード情報が流出している可能性がある」との連絡を受け、同日中にクレジットカード決済の利用を停止いたしました。同日中にオンラインショップも閉鎖いたしました。2.漏えいの原因について調査会社の報告によりますと、ショッピングカートシステムの脆弱性を利用した攻撃によって侵入し、ご購入の際にご利用いただいたクレジットカード情報が抜き取られたとみられています。日の期間に弊社が運営しております「プロイデア直営ショップ」にて、クレジットカード決済をご利用になられたお客様が対象となります。・セキュリティコードの4つとなります。(公式発表より引用)◆キタきつねの所感EC-CUBE利用ユーザだと思います。一部魚拓サイトから確認できないページもありますが、下記の規約ページであったり、ログインページのURLの癖がEC-CUBE標準と同じですので、ほぼ間違いないかと思います。EC-CUBEのどの部分に脆弱点があったのかについては、魚拓サイトから判別はできませんでしたが(※おそらく管理画面かな?程度です)、こちらのサイトもサイト一時閉鎖を、「サイトメンテナンス」として説明していました。長期間サイトメンテナンス(不自然に)しているクレジットカード決済を持っているECサイトは・・・カード情報漏洩していると推定しうえる材料となりそうです。魚拓サイトを見ていて、少し違和感を感じたのが、何度も5月にサイトメンテナンス告知の文章を変更している様に思える所です。カード情報漏洩とはこの時点で発表できないからか、告知内容に苦心している(でも楽天店舗やヤフー店舗に誘導したい)事が伺えます。291件と漏洩件数が比較的少なかったのは幸いだったかと思いますが、サイト閉鎖(4月26日~)の影響は大きかったのではないかと思います。EC-CUBEの管理(セキュリティ設定)甘いと影響が大きい、EC-CUBEのみならずECサイト構築フレーム利用のユーザは改めて、自社のセキュリティ設定を見直すべきかと思います。ホームページ7/8に日本プライバシー認証機構(JPAC)様からホワイトレポートをリリースしました。キタきつねとしての初執筆文章となります。「パスワードリスト攻撃」対策の参考として、ご一読頂ければ幸いです。CLOTHINGもEC-CUBEまたEC-CUBEだった様です。ロック系ファッショングッツ販売の「...2019-09-07SUWADAオンラインショップもEC-CUBEまたEC-CUBEだった様です。象印の再発防止策を考えてみた。(106)調べてみた。(114)つぶやいてみた。(146)まとめてみた。(調査データ等掲載)フォックスエスタはてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。