コピー2016.04.13つい先日、大規模な個人情報漏洩事件が明らかにされました。SHOP」より、約20万件の個人情報が漏洩したというものです。公式発表もされており、「不正アクセスによる情報漏洩に関するお知らせとお詫び」から見ることが出来ます。最大199,709件となっています。この公式発表を元に徳丸浩氏が以下のツイートをしています。公式発表による「延べ537件」についてのみの言及だとは思いますが、フォーム改竄によるものと推定されていらっしゃいます。これ自体については異論があるところではありません。当該通販サイトが決済代行を使っていたことが推定される上に、漏洩した期間が「2016年1月16日から2016年3月2日まで」と比較的短期間であること、氏名の他はクレジットカード情報に限定されていること等を総合すると、フォーム改竄によるものと推定できます。約20万件という膨大な量の個人情報が流出した部分に関しては何ら言及されていないのが気になります。この徳丸浩氏のツイートからセキュリティクラスタが「フォーム改竄による漏洩」に傾いているのも気になるところではあります。実は、以前も類似のパターンで「フォーム改竄による漏洩」にセキュリティクラスタが一気に傾いたことがあったのですが、その時は漏洩期間が長期間かつ膨大だったことから自分の方からSQLインジェクションじゃないですか?と指摘させて頂いたことがあります。今回もそのパターンに似ているなぁと思うので、敢えてブログで追記させて頂こうかと思いました。公式発表の2番目については「SQLインジェクション」の可能性が非常に高いと推定されます。漏洩期間については言及されていませんが「最大199,709件」という書き方から推定すると、発覚時点で登録されていたユーザー数なのではないかと推測されること、そして、やはり鍵になるのは「フォーム改竄」によると考えるにはあまりにも膨大な数であるという事です。ちなみに、当該サイトは「EC-CUBE構築事例」の記録によるとEC-CUBEを使って構築されていたと推測できそうです。情報が古い(2012年のもの)のですが、Googleのキャッシュでソースを見てもEC-CUBEらしき記述が多数見つかることから、漏洩段階でも使っていた可能性はありそうです。これらを総合して判断すると、今回の情報漏洩事件については古いバージョンのEC-CUBEが使われていて、脆弱性を突かれて「フォーム改竄」+「SQLインジェクション」により情報が漏洩したという事が推定できそうです。古いバージョンのCMSを使い続けて情報漏洩した場合、責任はどこにあるのでしょうか?そちらも興味深いところではあります。関連記事Securityお名前.comでメール誤送信による個人情報漏洩が発生うちでは.comと.bizのドメイン3つを個人用と会社用に分けてお名前.comで管理しています。本日から運用開始されたAmebaなう(PC版)に脆弱性が確認された。投稿に記載されたURLに飛ぶと...SecuritySNSの乗っ取りへの対応は2種類ある先日、こんな投稿が流れてきました。明らかに乗っ取られて不正に投稿されているものですね。...kumachan's「返答が正しいJSONレスポンスではありません」は真っ先にWAFを疑えWordPressで記事を書いて投稿や更新をする時に「更新に失敗しました。コメントをキャンセルメールアドレスが公開されることはありません。連絡ホーム検索トップサイドバータイトルとURLをコピーしました。