「せんたく便」「マイスターせんたく便」からのカード情報流出

宅配クリーニング大手のせんたく便のシステムが不正アクセスを受けてカード情報を漏えいした可能性があると発表しました。

www.jreast.co.jp

公式発表

【せんたく便／ヨシハラシステムズ】

・弊社が運営する「せんたく便」への不正アクセスによる個人情報流出に関するお詫びとお知らせ

【マイスターせんたく便／白永舎】

・個人情報漏洩についてのお詫びとご報告について 

キタきつねの所感

ヨシハラの「せんたく便」と言えば宅配クリーニングの先駆者とも言えるサービスで、2009年からサービスを開始し、宅配便だけでなく、コンビニ等からもクリーニングを依頼できる様になっています。

2015年にはせんたく便の会員は15万人を超え、自社で蓄積したノウハウを元に「宅配クリーニングCloud」を展開し、自社だけでなく他社にもAPI連携のプラットフォームを提供しています。

※今回同じく不正アクセス被害を受けた白永舎はヨシハラの宅配クリーニングCloudを利用していた様です。

事件を受けての公式発表を見ると、詳細手口は分からない事が多いものの、侵害につながった脆弱点が浮かび上がってくる事が多いのですが、今回は「読んでいて矛盾を感じる」内容でした。

ヨシハラ（システムズ）の発表内容を見ていきます。

漏えい件数が約5.9万件は、最近（2019～2021年）の国内カード情報インシデントでは、2020年12月のLDH（約4.5万件）を超え、2019年10月のJIMOS（約10.8万件）に次ぐ2位の漏えい件数となります。

2.個人情報流出状況
(1)原因
　第三者によって「せんたく便」に不正アクセスされ、クレジット情報が流出したため
(2)個人情報流出の可能性があるお客様
　2020年11月16日までの期間中に「せんたく便」において、新規にクレジットカード情報を会員登録いただいたお客様、又は既に会員登録により登録済みのクレジットカード番号を変更されたお客様及び旧システムからの移行データ58813名の以下のクレジットカード情報。
お客様の利用日につきまして開始日は不明（システム改修のため）ですが、該当会員様は特定できており個別にご案内いたします。

【流出した可能性のあるクレジットカード情報】
・クレジットカード名義人 ・クレジットカード番号 ・有効期限

上記に該当するお客様については、別途、電子メールにて個別にご連絡申し上げます。
なお、第三者調査機関によるログファイル等の調査の結果、個人情報が格納されたサーバが不正アクセスを受けたことは明らかになったものの、漏洩の件数は特定できませんでした。

（ヨシハラ公式発表より引用）

気になるのが、「2020年11月16日までの期間中」という表現。始まりを書かないのに、期間が分かる訳がありません。ヨシハラは2009年からサービスを開始しているので、この表現だと10年以上が対象期間となる事も想像できますが、会員が15万人以上である事を考えると矛盾があります。

次に気になったのが、漏えいしたカード情報の内容です。セキュリティコードは無いものの、カード名義人名、カード番号、有効期限が漏えい対象とされています。

魚拓サイトを使って2020年2月7日のデータを確認してみると、会員登録画面では上記の３つの入力が求められていました。

■今週のセキュリティ記事（3/28-4/3）

先週読んだセキュリティ関係の記事の中で、気になったものをご紹介します。

※は英語記事

※無印~★★★は主観での推奨レベル（★★★が閲覧推奨記事）／記事を読んだ個人的な感想ベース

■ 今週の三ッ星記事

整理No	日付	推奨	記事タイトル（リンク）
21-1235	3月28日	★★★	中国の影、たどり着いた雑居ビル　三菱電機サイバー攻撃
21-1263	3月30日	★★★	無料で読めるセキュリティ定期発行物のまとめ
21-1273	3月30日	★★★	Fileless Malware Detections Soar 900% in 2020 ファイルレスマルウェアの検出は2020年に900％急増
21-1283	3月30日	★★★	Beyond MITRE ATT&CK: The Case for a New Cyber Kill Chain MITER ATT＆CKを超えて：新しいサイバーキルチェーンの事例
21-1295	3月26日	★★★	視線の先には、日本のセキュリティの未来。にゃん☆たく＝阿部 巧が語るセキュリティへの熱い愛
21-1298	3月31日	★★★	Financial Cyberthreats in 2020 2020年の金融サイバー脅威

 ※「今週の三ッ星記事」掲載の記事は以下のカテゴリー別の記事と重複しています

①ランサムウェア

整理No	日付	推奨	記事タイトル（リンク）
21-1239	3月28日	★★	FatFace pays out $2 million to Conti ransomware gang FatFaceはContiランサムウェアギャングに200万ドルを支払います
21-1246	3月27日	★★	Clop Ransomware gang now contacts victims’ customers to force victims into pay a ransom Clop Ransomwareギャングは、被害者の顧客に連絡して、被害者に身代金の支払いを強制するようになりました。
21-1255	3月29日	★	荏原グループ海外子会社エリオットカンパニーにランサムウェア攻撃
21-1271	3月30日	★★	Younger Ransomware Victims More Likely to Pay Up 若いランサムウェアの被害者は支払いをする可能性が高い
21-1277	3月29日	★	Ziggy ransomware admin announced it will refund victims who paid the ransom Ziggyランサムウェア管理者は、身代金を支払った被害者に返金すると発表しました
21-1279	3月30日	★	And that's yet another UK education body under attack from ransomware: Servers, email, phones yanked offline そして、それはランサムウェアからの攻撃を受けているさらに別の英国の教育機関です：サーバー、電子メール、電話がオフラインでヤンクされました
21-1281	3月29日	★	Hades Ransomware Gang Exhibits Connections to Hafnium ハデスランサムウェアギャングがハフニウムとのつながりを示す
21-1300	3月31日	★★	Hackers threaten shipping firm ECU Worldwide with data leak ハッカーがデータ漏えいで世界中の海運会社ECUを脅かす
21-1327	4月1日	★★	２００超の自治体情報流出か　コンサル会社にサイバー攻撃
21-1330	4月3日	★★	Ransomware gang leaks data from Stanford, Maryland universities ランサムウェアギャングがメリーランド州スタンフォード大学からデータを漏洩
21-1340	4月3日	★★	Evolution and rise of the Avaddon Ransomware-as-a-Service AvaddonRansomware-as-a-Serviceの進化と台頭
21-1342	4月2日	★	Conti Ransomware gang demanded $40 million ransom to Broward County Public Schools Conti Ransomwareギャングは、Broward County PublicSchoolsに4000万ドルの身代金を要求しました

UCLAもAccellion FTA経由でデータを漏えいした（Cl0Pランサム）

米国の有名大学が次々とAccellion FTA経由の侵害により重要情報を窃取された事を発表していますが、最新の被害者は日本でもよく名前が知られた名門UCLA（カリフォルニア大学ロサンゼルス校）だった様です。

ktla.com

公式発表（UCLA）

・Update on Accellion data breach and what you should do to protect yourself (4/2)

・UC part of nationwide cyber attack (3/31)

UCは、全国の他の大学、政府機関、および民間企業とともに、最近サイバーセキュリティ攻撃を受けていることを知りました。この攻撃には、安全なファイル転送のために多くの組織で使用されているベンダーであるAccellionの使用が含まれます。このベンダーでは、許可されていない個人がAccellionのファイル転送サービスの脆弱性を悪用してUCファイルをコピーおよび転送したようです。

キタきつねの所感

Accellion FTA経由で侵害を受けたと確認されているのは、ニュージーランド準備銀行、Singtel、Fugro、Danaher,Jones Day、オーストラリア証券取引委員会、ボンバルディア、Kroger、Seteris、Qualys、Shell等ですが、ランサムオペレータCL0P（Fin11/UNC2546）のリークサイトに立て続けに米国の著名大学が掲載されています。

※以下TwitterでのCl0pリークサイトの投稿を引用します。

What do the universities of California, Maryland, Miami, Colorado-Boulder, Stanford and Yeshiva all have in common? They all were hit by #CL0P #ransomware this week and have data being leaked.
But what ELSE did they have in common, does anyone know? pic.twitter.com/YLZ3UcKyTM

— GarWarner (@GarWarner) 2021年4月2日

リークリストに名前が確認できるのが、コロラド大学（COLORADO.EDU）、マイアミ大学（MAIAMI.EDU）、イェシーバー大学（YU.EDU）、メリーランド大学（UMD.EDU）、UCLA（UNIVERSITYOFCALIFORNIA.ECU）、スタンフォード大学（STANFORD.EDU）ですが、いずれも名が知れた大学です。

余談となりますが、このリストの最後にある「NIPRO.COM」は日本の医療機器メーカーニプロの海外子会社、ニプロメディカルの様ですが、まだ公式リリースは出てない様です。※詳細調査する時間が取れたら別記事を書くかも知れません

nipro.com

「ゆとりの空間オンラインショップ」への不正アクセス

料理研究家の栗原はるみさんがプロデュースする通販サイトから個人情報が漏えいした可能性があると発表されました。

www.security-next.com

公式発表

・弊社が運営する「ゆとりの空間オンラインショップ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ (魚拓）

１．事案概要

（１）漏えいした可能性がある個人情報と件数
2020年12月8日～2021年3月9日の期間中に、当サイトで新規会員登録をされた5,009件の以下情報。
・お客様名
・会社名（入力任意項目）
・郵便番号、住所
・電話番号
・FAX番号（入力任意項目）
・メールアドレス
・性別
・職業（入力任意項目）
・生年月日
・パスワード
・パスワードを忘れた時のヒント
・希望メールマガジン

（２）漏えいの原因
弊社が運営する当サイトのシステムの脆弱性を悪用した第三者の不正アクセスによって、新規会員登録ページの改ざんが行われたことが判明いたしました。

（公式発表より引用）

キタきつねの所感

公式発表を見る限り、不正アクセスに対するフォレンジック調査の第一報を受けての発表となった様です。人気料理研究家の栗原はるみさん（栗原心平さん）の公式Webサイトだけあり、約3か月で5,000人の新規会員登録情報（個人情報）が、残念ながら漏えいの対象となっています。

「発覚と対応の経緯」を見ると、２つの攻撃があった可能性を感じます。

３．発覚と対応の経緯

（１）2021年1月27日、当サイトをご利用されたお客様から、ページ遷移について問い合わせがありました。弊社にて確認したところ、サイト改ざんの可能性が疑われたため、クレジットカード会社及び決済代行会社と相談の上、当サイトのカード決済を停止及び不正利用の監視を強化いたしました。また、本件の全容解明、および被害状況の把握に向け、社内調査を進めるとともに、第三者機関による調査も開始いたしました。

（２）2021年3月9日、第三者機関からの途中経過報告により、新規会員登録ページが改ざんされていると指摘があり、当該ページを修正しました。

（３）2021年3月15日、第三者機関から新規会員登録ページの改ざんにより、5009名分の情報漏洩の可能性があると指摘がありました。この指摘を受け、3月9日の当該ページ修正による暫定的な措置に加えて、再発防止策に向けた措置を検討のうえ、本日の発表に至りました。

（公式発表より引用）

１つが会員から問い合わせがあった「ページ遷移」です。詳細は書かれてないので想像になりますが、フィッシングページ（偽会員登録ページ）に誘導される様な攻撃だった可能性を感じます。

現サイトの会員登録画面の構成を見ると、「必須項目の入力」「入力内容の確認」「会員登録完了」という順にページが遷移していきますが、このどこかのページに、会員が不自然さを感じる（遷移について問い合わせてしまう）部分があった様に思えます。

「健康いきいき倶楽部 公式通販サイト」もEC-CUBE

乳酸菌等の健康食品の通販を行っている健康いきいき倶楽部のECサイトが不正アクセスを受け、カード情報を漏えいした疑いがあると発表していました。

www2.uccard.co.jp

公式発表

・弊社が運営する「健康いきいき倶楽部 公式通販サイト」への不正アクセスによる個人情報流出に関するお詫びとお知らせ (魚拓）

2.　個人情報流出状況
　(1)原因
　　　弊社が運営する「健康いきいき倶楽部 公式通販サイト」のシステムの一部の脆弱性をついた第三者の不正アクセスによりプログラムの改ざんが行われたため。

　(2)個人情報流出の可能性があるお客様
　　　2019年12月14日～2020年12月4日の期間中に「健康いきいき倶楽部 公式通販サイト」においてクレジットカード決済をされたお客様3,308件で、流出した可能性のある情報は以下のとおりです。

　・クレジットカード名義人名
　・クレジットカード番号
　・有効期限
　・セキュリティコード

（公式発表より引用）

キタきつねの所感

3月29日にカード情報漏えいを発表したのが3件ありますが、先日記事を書いたApparelX、ケンコーオンラインショッピングに続き3件目の記事となります。

余談となりますが、今回の公式発表の下の方にFAQがついており（あやうく見落とす所でした）カード情報が漏えいした可能性がある顧客向けに、丁寧な説明がされていました。

 これを見ると、公式発表にある「システムの一部の脆弱性をついた第三者の不正アクセスによりプログラムの改ざんが行われたため」の内容が、カード情報を登録（変更）するページにスキマー（入力情報を盗む不正コード＝JavaScript）が仕掛けられた手口であると推測されます。

侵害を受けたサイトを見てみると、TVで私も見た事がある気がします。カード決済は止められていますが、サイトは活きている様です。

カード決済についても、きちんと（停止中の）説明があります。

※以前に記事でも書きましたが、一定期間以上「クレジットカード利用が停止」になっているECサイトは、公式発表が無くても、侵害を受けた（ている）可能性があります。

こちらのトップページのソースコードを確認してみます。

BazarCallの攻撃手法は警戒が必要

日本ではまだ顕在化していない攻撃だと思いますが、Bleeping Computerのコールセンターを使ったマルウェア感染手法の記事が気になりました。

www.bleepingcomputer.com

多くのマルウェアキャンペーンと同様に、BazarCallはフィッシングメールから始まりますが、そこから新しい配布方法に逸脱します。電話コールセンターを使用して、マルウェアをインストールする悪意のあるExcelドキュメントを配布します。

添付ファイルを電子メールにバンドルする代わりに、BazarCall電子メールは、自動的に請求される前に、サブスクリプションをキャンセルするために電話番号に電話するようにユーザーに促します。これらのコールセンターは、BazarCallマルウェアをインストールする「キャンセルフォーム」をダウンロードするために特別に細工されたWebサイトにユーザーを誘導します。

（Bleeping Computer記事より引用）※機械翻訳

キタきつねの所感

フィッシングの新たな手法と言えるかも知れません。日本だと架空請求詐欺の手法がこれに近い気がします。

医療サービスなどの無料トライアル延長、サブスクリプションキャンセルなどを装ったフィッシングメール（一意の顧客ID入）をばら撒き、コールセンターに電話をさせ、顧客IDを確認して標的の被害者である事を確認した上で、キャンセルページ等の偽のWebサイトに誘導します。

※以下、Bleeping Computer記事に掲載されたBazarCall配布サイトのサンプル画像を引用しますが、当たり前の様に”https”ですし、画面の作りもそれっぽい（サンプルのドメインは怪しそうですが）ので、騙される方も結構いそうな気がします。

このページでキャンセル（あるいは無料期間延長）の為にメールアドレスを入力すると、悪意のあるコード（ウィルス）が裏に混入された書式が送付されてきます。

この攻撃手法を警戒すべき点がココだと思います。

偽コールセンターの偽オペレータが、電話がつながっている被害者に対し「マクロの有効化」、「アンチウィルスソフトの切る」あるいは「ウィルス検知アラートを無視」を後押し出来てしまうのです。

「ケンコーオンラインショッピング」もEC-CUBE

ストーマ用品等を取り扱うケンコーのECサイトからカード情報が漏えいした可能性があると発表されていました。

www2.uccard.co.jp

公式発表

・弊社が運営する「ケンコーオンラインショッピング」への不正アクセスによる
クレジットカード情報漏えいに関するお詫びとお知らせ (魚拓）

(1)原因
弊社が運営する「ケンコーオンラインショッピング」のシステムの一部が第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたためと、調査機関により判断されました。
(2)個人情報漏洩内容
2019 年 9 月 14 日～2020 年 10 月 23 日の期間中に「ケンコーオンラインショッピング」においてクレジットカード決済をされたお客様 152 件で、漏洩した可能性のある情報は以下のとおりです。
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

（公式発表より引用）

キタきつねの所感

3月29日にカード情報漏えいを発表したのが3件ありますが、昨日のApparelXの記事に続き、2件目の記事となります。

※昨日も書きましたが、1か月で9件発表は多い（インシデントが減ってない）気がします。

現在はカード決済を停止している様ですが、サイトは活きている様に思えたので、侵害を受けたサイトを確認してみると、閉鎖をしなかった影響か少しサイト（サイト）の整合性が崩れている様です。

（本題とは関係が無い部分ですが）少し気になったのが、カード決済を停止していて、カードブランドのロゴを表示している点でしたが、公式発表でも”停止”としていたので単に表示残りだけではあると思いますが。

同じ部分で調べてみると、「マイページ」や「新規会員登録」からの遷移画面が出てこないので半閉鎖中の様な状況なのかも知れません。

とは言え、サイトは稼働していたので、トップページのソースコードを確認してみました。