日本国内のあるECサイトにおいて、カード情報漏洩事故が発生しました。言われる方式により決済代行会社とシステム連携していました。連携方式を採用する事で、一般的にはカード情報の漏洩事故リスクは回避できると言われていました。ECサイトにカード情報は保管されないため、万が一ECサイトに対する不正アクセスがあった場合でも、カード情報は不正利用者の手元に渡る事はありません。採用していた前述のECサイトではカード情報が抜き取られてしまう被害に遭いました。いった手口によるものなのでしょうか。被害に遭った事業者は経緯を調査し発表しています。この報告書によると、不正利用者は、まずECサイトの脆弱性に付けこみ、バックドアプログラム*を設置しました。外部からの遠隔操作を可能とする、このバックドアプログラムにより、ECサイト内部に保管された個人情報が抜き取られてしまいました。報告書では本来ECサイト側に保管されない設計であるはずのカード情報についても触れられていました。調査の結果、ECサイトは本来の想定とは異なり、開発時のデバッグモードのまま運用してしまっており、設計上はログが残らないシステム仕様であったものの知らぬ間にカード情報を保管してしまっていた事が判明。ECサイトの運営・保守を委託している事業者にはシステム開発業者から情報連携されておらず、デバッグモードのまま運用してしまった経緯は確認できないことも発表しています。ログインなどの正規な手続きを踏まずにサーバ内部に侵入し、不正に遠隔操作を行うためのプログラム。様な対応を進めてきていることにも言及しています。ともに大きいものとなる為、カード情報の非保持化対応などは余裕を持って進める事が重要です。ヨーロッパ・アメリカ以外の国と地域)からのものであり、件数も急増していることをお伝えしましたが、不正アクセスにより漏洩したカード情報はアンダーグラウンドで売買されています。ここではカード情報売買の実態について簡単にご紹介します。以下、実際のWebサイトのキャプチャ画像です。日本は国際的に信頼性が高いためか、日本発行のカード情報は比較的高額で売買される傾向にあると言われており、日本国内のEC事業者においては、国内よりも海外で発行されたカードによる不正購入が比較的多く見られます。した実態も不正を防止する参考情報になりそうです。