Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS。諸々のお問合せ(取材、執筆、各種お問合せ等)はフォックスエスタ (https://foxestar.hatenablog.com/)をご覧ください。

不正アクセス事件

JTAS StoreとNaturas Psychos Productを調査中(EC-CUBEユーザでした

出張中につき、記事を仕上げられないので仮記事としてUPします。9/17に2件のカード情報漏えいが発表されていました。簡易調査ではいずれもEC-CUBEユーザです。 www2.uccard.co.jp www2.uccard.co.jp 魚拓サイトで、EC-CUBEの痕跡を確認しましたが、加工して…

ペンはキーボードより強し

米国コロラド州デンバーのレジス大学がサイバー攻撃に苦しんでいる様です。 www.denverpost.com デンバーのレジス大学での法医学調査では、金曜日に私立大学の技術システムが国外からの「悪意のある脅威」によって攻撃されたことが確認されました。 「この問…

マグちゃんオンラインショップもEC-CUBE

EC-CUBEユーザからのクレジットカード情報漏洩事件はいつになった落ち着くのでしょうか。マグネシウムで日本一を目指している宮本製作所がカード情報を漏洩していた可能性があると発表しました。 www2.uccard.co.jp ■公式発表 【重要】クレジットカード情報…

ビバリーもEC-CUBE

カード漏洩事件がまたSecurity Nextで報じられているのに気づきました。EC-CUBEの記事ばかりで飽きている方も読者の方には多いかも知れませんが、、記事を書きたいと思います。 www.security-next.com ■公式発表 弊社が運営する「ビバリーホームページ」への…

GEKIROCK CLOTHINGもEC-CUBE

またEC-CUBEだった様です。ロック系ファッショングッツ販売の「GENKIROCK CLOTHING」がカード情報を漏洩したと発表してました。 www.security-next.com 同サイトを運営する激ロックエンタテインメントによれば、同サイトが不正アクセスを受けて改ざんされた…

SUWADAオンラインショップもEC-CUBE

またEC-CUBEだった様です。新潟の高性能ニッパー等の製造をしているSUWADAオンラインショップからカード情報が漏洩したと発表されていました。 www2.uccard.co.jp 1. 経緯2019 年 4 月 15 日、弊社が運営する「SUWADA オンラインショップ」において不正アク…

7Payの失敗はCISOを定着させるか?

JBPressの7Payの記事がよく事件背景がまとまっていました。しかし提言の部分にはちょっと違和感があったので少し考えてみます。 jbpress.ismedia.jp 4.提言 (1)適任者に求められる資質 では適任者とはどのような人物なのか。セキュリティビジネスには通…

全米歯科医院へのランサム攻撃

ランサムは依然として脅威であるのですが、WannaCryの様に多くの端末を狙った攻撃だけでなく、業務サービス提供を行うサードパーティを狙った攻撃によってランサムが拡大する、日本の医療系でも将来起こり得るのではないでしょうか。fox6now.com WEST ALLIS-…

SNSの外部連携設定を見直そう

有名人のTwitter、Facebook、インスタグラム等のSNSアカウントは攻撃対象になりやすい。しかし2要素認証を入れていても影響を受けてしまう事もある、このニュースはその事実を改めて認識させてくれました。が、その件についてはpiyokango氏が既に記事を書か…

本番データはテスト環境に使ってはいけない

セキュリティ関係者の方であれば、「ライブ(本番)データの取り扱い」には十分な気を付けなければいけないという事は常識といっても過言ではないかと思いますが、個人情報を取り扱う組織・運営受託する企業担当者には・・・必ずしも常識となってないところ…

スマホアプリがリスト型攻撃の主戦場となる

大手のカード会社であっても、隙があれば襲われる時代になったと感じるニュースでした。三井住友カードもリスト型攻撃を受けてしまったと報じられていました。 www.nikkei.com 三井住友カードは23日、会員向けスマートフォンアプリ「三井住友カードVpassアプ…

小嶋屋もEC-CUBE

新潟のへぎそばで有名な小嶋屋総本店の通販サイトもカード情報を漏洩したと発表していました。 www2.uccard.co.jp ■公式発表 「小嶋屋総本店ショッピングサイト」への不正アクセス発生についてのご報告とお詫び 1、漏洩の可能性のある期間 2015年12月9日から…

HARIOもEC-CUBE

お盆休み中は1件も出て無かったかと思いますが、新たにまたカード漏洩事件が発表されていました。 www2.uccard.co.jp ■公式発表 弊社が運営する「HARIOネットショップ」への不正アクセスによる個人情報流出に関するお詫びとお知らせ 5月8日に、一部のカード…

ChoiceホテルはMongoDBを意図せず公開していた

コンフォートホテルを日本でも展開するChoice Hotelsが、70万件の個人情報をハッカーに盗まれたと報じられていました。 www.zdnet.com Choice Hotelsに属する70万件のレコードが、ハッカーが返品の支払いを要求して盗まれたと伝えられています。 Comparitech…

管理者アクセスは安全か?

みずほ銀行の海外子会社、これもサプライチェーン攻撃と言えるのかも知れません。 www.nikkei.com みずほ銀行は15日、シンガポールの連結子会社、ユーリカヘッジがサイバー攻撃を受け、顧客情報が漏洩したと発表した。ユーリカヘッジは機関投資家などにヘッ…

プロイディアもEC-CUBE

姿勢・美容・健康グッズ等を通信販売しているプロイディア直営ショップからカード情報が漏洩したと発表されました。やはりEC-CUBE利用サイトの様です。 www2.uccard.co.jp 公式発表 不正アクセス発生のご報告とお詫び 1.経緯について2019 年 4 月 26 日(…

おもちゃ箱もEC-CUBE

海外行っている間に2件のカード情報漏洩事件が出ていた様です。遅ればせながら調べてみます。 www2.uccard.co.jp 公式発表 「omochabakoWEBSTORE」への不正アクセス発生についてのご報告とお詫び 1.漏洩の可能性のある期間ならびにお客様について2016年2月3…

ディノス・セシールの不正検知

相変わらずディノス・セシールの検知能力は高いのだという事をSecurity Nextの記事を読んで思いました。 www.security-next.com ディノス・セシールは、同社の通販サイト「セシールオンラインショップ」がパスワードリスト攻撃を受けたことを明らかにした。 …

クロネコメンバーズの不正アクセス

ヤマト運輸の会員サービス「クロネコメンバーズ」へのパスワードリスト攻撃によると思われる不正アクセスが報じられていました。 www.nikkei.com 経緯2019年7月23日(火)、特定のIPアドレスからの不正なログインを確認し、緊急の措置として、該当のIPアドレ…

コーナンPayのフィッシングメール被害

ホームセンターを展開するコーナンがPayサービスを開始していたのを、この記事を読んで初めて知りました。雨後の筍の様に●●Payが立ち上がっている気がしますが、同時にそれはハッカーに狙われる対象が増えている事でもあります。 www.itmedia.co.jp ホームセ…

金剛堂オンラインストアもEC-CUBE

連日ECサイトからの漏洩事件が報じられるのは、カード会社側でまとめた方が良い・・・といった理由でもあるのでしょうか。創価学会専門の仏壇・仏具を販売する金剛堂からのカード情報漏洩が報じられていました。 www.security-next.com ■公式発表 弊社が運営…

叶匠寿庵もEC-CUBEだった

システムメンテナンスはカード情報漏洩かも知れない。この仮説がある程度正しい事を、Security Nextさんの叶匠寿庵からの情報漏洩記事で説明できそうです。 www.security-next.com ■公式発表 叶匠寿庵オンラインショップへの不正アクセスによるクレジットカ…

EC構築サービスも狙われている

ECオーダーのユーザが不正アクセス被害を受けている様です。 nlab.itmedia.co.jp ゲームソフトなどの通販に利用されている通販業務サービス「ECオーダー」が、6月末から長期のメンテナンスで停止しています。また個人情報が流出した可能性があると指摘されて…

スプリントへの迂回攻撃

この米国通信キャリア大手のスプリントへの不正アクセスも、サプライチェーン攻撃と言えるかも知れません。サムソンのサイトから不正試行が試みられた影響で(念のため)顧客のPINが初期化されたとForbesが報じていました。 forbesjapan.com 米国の通信キャ…

ビットポイントの暗号鍵管理

ビットポイントの記者会見の映像を見ていたのですが、調査中という事もあるので仕方がない事だとは思いますが、肝心の鍵暗号化鍵の管理について、回答が控えられていたのは少し残念でした。 www.itmedia.co.jp 約30億円相当の仮想通貨不正流出を起こした仮想…

中部電力の不正ログイン

中部電力の顧客向けサイトがパスワードリスト攻撃の被害を受けていた件が報じられていました。 www.sanspo.com ■公式発表 「カテエネ」における不正ログインについて 中部電力は12日、家庭向けインターネットサービスで不正ログインがあり、顧客の氏名や住…

大学のOffice365はまだ狙われている

7Payなど、大きな注目を集めるニュースに流されてネタを拾うのが大変なのですが、東北工業大学のクラウドメール侵害が出ていました。 scan.netsecurity.ne.jp ■公式発表 不正アクセスによる個人情報漏洩の可能性及び迷惑メール送信に関するお詫び 東北工業大…

7Payの緊急会見を読み解く

週末のニュース番組を見ていても、7Payの事件が繰り返し流されていて、週末ブロガー(※ほとんどの記事は週末に書いています)の私としても、取り上げなければならないのではないかと思い始めました。とは言え、既に多くの識者の方々が様々な観点から事件を分…

ECサイトは狙われ続けている

2019年下半期初のカード情報漏えいが発表されてました。そしてやはり、EC-CUBEだったので、今後も同じ攻撃が続くのかなと予感させます。 www2.uccard.co.jp ■公式発表 弊社が運営する「バイクパーツ・バイク用品の通販ゼロカスタム」への不正アクセスによる…

富士通やNTTデータ経由の攻撃があるかもしれない

この記事の影響は日本企業にも大きいかも知れません。日本を代表するハイテク企業、富士通やNTTデータがAPT10によるハッキング被害を受けていたとロイターが報じていました。 jp.reuters.com 中国政府とつながりのあるハッカー集団「APT10」が「クラウ…