青山学院大学のオリジナルグッツ等を販売する青山学院購買会からカード情報、及び個人情報が流出した可能性があると発表されていました。サイト」への不正アクセスにより、当サイトで保持しているお客様の個人情報が漏えいした可能性がございます。当サイトではお客様のカード会員情報を保持していないため、後述の偽の決済フォームへの誘導によるものを除き、カード情報への不正アクセスは確認されておりません。サイト」への不正アクセスにより、ペイメントアプリケーションの改ざんが行われたことによります。具体的には、不正アクセスの結果、お客様を、クレジットカード情報を入力させ盗み取るための偽の決済フォームへ誘導するプログラムが用意され、当該偽の決済フォームに入力されたお客様のクレジットカード情報が漏えいしたものです。番号、住所なお、第三者調査機関による調査及び当社による追加調査の結果、実際の個人情報流出件数は、より少ない可能性もあるものの、特定不可能であるため、不正アクセスを受けた当サイト内にて保持する全データを漏えいの最大件数としてご報告しております。名において、漏洩した可能性のある情報は以下のとおりです。期間中にクレジットカード決済をされたお客様全てのクレジットカード情報を漏えいの最大件数としてご報告しております。ホール運営など学校関連業務を一手に引き受けている組織の様です。今回被害を受けたのは、グッツ販売のサイトです。v2.13に特有のコメントアウトがありました。念のためJavaScriptの中身も確認すると、v2.13で間違い無い様です。魚拓サイトで確認すると、2015年8月の魚拓では同じ様にv2.13のコメントアウトを確認しましたので、少なくても青山学院購買会は5年間以上、EC-CUBEの更新(バージョンUP)をしてない事が分かります。今回の事件では、カード情報だけでなく個人情報も漏えいしたと推定されていますが、公式発表を見ると、2015年~漏えいした可能性があるとありますので、ECサイトを構築した後の注文データを(カード情報を除いて)顧客DBとしてEC-CUBE内に保存していた所をゴソっと抜かれたという事だと推測されます。件)で、漏洩した可能性のある情報は以下のとおりです。昨年末の経産省(イーシーキューブ社)の異例の注意喚起を把握してなかった事が分かります。外部の制作会社側も、EC-CUBEの脆弱性についての感度が弱かった様です。当ブログでもたくさんのEC-CUBEサイトからの漏えい事件について記事を書いて、啓蒙に努めてきたつもりですし、イーシーキューブ社やカード会社等も当然の事ながら告知はしてきたのだと思いますが、ECサイトを構築したら放置するサイト(制作会社)に伝わってない、この事が残念でなりません。私は、書きすぎと関係各所から怒られるかも知れませんが、加盟店を管理する責任があるアクワイヤラーが、自社の加盟店に対して更なる啓蒙活動を行う必要があるのではないかと思います。※今回被害を受けた青山学院購買会のWeb制作をした会社が分かりましたので、他に影響を受ける可能性がある通販サイトに対して、注意喚起のメールを出そうと思います。(所見としては・・・この会社がEC-CUBEで制作したサイトは、脆弱性がある所が多数ありそうです)余談です。青山学院の関係者の方が多くオリジナルグッツを購入していたと思われるので、今回被害を受けた可能性があるのは、学生や大学OB、関係者が多いかと思います。事件を検知したのは「カード会社」であるのが気になりました。サイト」での商品販売を停止いたしました。(公式発表より引用)フォレンジック調査の結果として、今回の攻撃はフィッシングサイトに誘導される攻撃だったと判明している訳ですが、大学関係者が多かったと思われる被害者(519人)の方が・・・誰も(偽サイトに誘導された際に)違和感を感じなかったのかな?という点が少しひっかかりました。本日もご来訪ありがとうございました。(470)調べてみた。(306)つぶやいてみた。(261)まとめてみた。)はてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。