「カステラ本舗長崎異人堂」もEC-CUBE

手焼きカステラ販売のカステラ本舗異人堂の通販サイトからカード情報漏えいの発表がされていました。

www.security-next.com

公式発表

・弊社が運営する「カステラ本舗長崎異人堂」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ (魚拓）

・情報漏洩に関するご質問とご回答（魚拓）

2.個人情報漏洩状況
(1)原因
弊社が運営する「カステラ本舗長崎異人堂」のシステムの一部の脆弱性をついたこ
とによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行
われたため。
(2)個人情報漏洩の可能性があるお客様
２０１９年１１月２９日～２０２０年１１月２０日の期間中に「カステラ本舗長
崎異人堂」においてクレジットカード決済をされたお客様７０９名で、漏洩した
可能性のある情報は以下のとおりです。
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

（公式発表より引用）

キタきつねの所感

2年前に長崎に出張した時に、こちらの店舗を見かけた気がします。公式発表を見ると、約1年間侵害を受けていた様です。

2021年のカード情報漏えいインシデント発表は、手持ちの資料では既に21件となっており、去年が56件だった事を考えると、同様なペースで発表が続いている事が分かります。

現在当該サイトは閉鎖中であり、公式発表とFAQのみが公開されています。

FAQは比較的丁寧に書かれている印象ですが、事件原因については詳しく出て無かったので、いつもの様に魚拓サイトを使って侵害期間中のデータを探していきます。

■今週のセキュリティ記事（4/4-4/10）

先週読んだセキュリティ関係の記事の中で、気になったものをご紹介します。

※は英語記事

※無印~★★★は主観での推奨レベル（★★★が閲覧推奨記事）／記事を読んだ個人的な感想ベース

■ 今週の三ッ星記事

整理No	日付	推奨	記事タイトル（リンク）
21-1360	4月7日	★★★	「ニューノーマルにおけるテレワークとITサプライチェーンのセキュリティ実態調査」
21-1366	4月7日	★★★	Risk Assessment Vs Vulnerability Assessment: Which Assessment Should You Conduct? リスク評価と脆弱性評価：どちらの評価を実施する必要がありますか？
21-1374	4月3日	★★★	533 million Facebook users’ phone numbers leaked on hacker forum 5億3300万人のFacebookユーザーの電話番号がハッカーフォーラムに流出
21-1412	4月9日	★★★	Visa: Hackers Use Web Shells to Compromise Servers and Steal Credit Card Details Visa：ハッカーはWebシェルを使用してサーバーを侵害し、クレジットカードの詳細を盗みます

 ※「今週の三ッ星記事」掲載の記事は以下のカテゴリー別の記事と重複しています

①ランサムウェア

整理No	日付	推奨	記事タイトル（リンク）
21-1348	4月6日	★★	Ryuk's Rampage Has Lessons for the Enterprise リュークの暴れは企業のための教訓を持っています
21-1399	4月8日	★★	グループ従業員のID管理サーバがランサム被害 - 共英製鋼
21-1409	4月9日	★★	Leading cosmetics group Pierre Fabre hit with $25 million ransomware attack 大手化粧品グループのPierreFabreが2500万ドルのランサムウェア攻撃で攻撃

データセンターへの爆破攻撃

AWSのデータセンターをプラスティック爆弾で攻撃する事を計画していた20代のテキサス在住の男性がFBIによって逮捕された件が報じられていました。

www.bleepingcomputer.com

1月下旬に別の情報源から見つかったFBIエージェントは、Signal暗号化メッセージングアプリを使用して、「インターネットの約70％を殺す」ために、C-4プラスチック爆薬を使用してAmazonのデータセンターを攻撃することを計画していると連絡しました。

2月、ペンドリーは、バージニア州に本拠を置くAmazonのAWSデータセンターの手作りの地図をソースと共有しました。
（中略）

ペンドリーは「供給者」に、FBI、CIA、および他の米国連邦機関によって使用されていると信じているサーバーを爆撃することを計画していると語った。彼の計画には、現在米国をリードしている「寡頭制」を取り下げることも含まれていました。

覆面捜査官のFBI職員の手が不発弾を疑う
彼は4月8日に覆面捜査官のFBI職員と会い、爆発装置であると信じているものを手に入れました。代わりに、彼は不活性な装置を受け取りました。

容疑者は、FBI捜査官を車に乗せた後、「爆発物供給業者」から武装して爆発させる方法についてのデモを受けて逮捕されました。

（Bleeping Computer記事より引用）※機械翻訳 

参考

・米国裁判所（北テキサス管区）への刑事告発文書

キタきつねの所感 

逮捕された米国人男性の言葉通りであれば、この計画が成功していれば「インターネットの約70％を停止する」被害が出ていた可能性もあったかも知れません。

とは言え、普段は秘匿にされる事が多い「データセンター」所在地が、どうして犯人には分かっていたのだろうと思い、調べてみるとWikiLeaksが親切・丁寧に全世界のAmazon データセンター位置（地図）を公開しています。

※内部からの情報漏えいや、断片的な情報を繋ぎ合わせて情報を推測する「OSINT」や「モザイクアプローチ」で場所を特定されるのであれば仕方が無い面もあるかと思いますが、WikiLeaksのこうした何でも開示（リーク）する姿勢は、私は間違っている気がします。

米国東海岸のAWSデータセンターについてみてみると、米国の拠点は、東海岸側がバージニア州、西海岸側が北カリフォルニア州（サンフランシスコ近郊）、ワシントン州（シアトル近郊）、オレゴン州に固まっているのがよく分かります。

今回の攻撃対象と目されていたバージニア州のデータセンターは、こんな感じで分布している様です。ある程度固まって設置されているとは言え、「インターネットの約70％を停止する」為には、連続”テロ”が必要そう（＝かなりハードルが高い様）に思えます。

犯人は、C-4プラスティック爆弾を入手する事を試み、FBIが事前に情報を察知し、C-7爆弾の販売業者を装った、おとり捜査官に逮捕されているのですが、刑事告発文書を見ると、爆発装置（ダミー）をFBI捜査官に渡されて、起爆方法の説明を受けた（テロ実行の意思が確認された）後に捕まった様です。

ランドブレインのランサム被害

少し前に自治体などのコンサルティング業務を手掛けるランドブレイン社のランサム被害が発表されていましたが、総務省も漏えい対象だったとのニュースが気になりました。

www.security-next.com

公共事業を多数受託するランドブレインにおいてランサムウェアの感染が発生した問題で、総務省の複数委託事業でも個人情報が流出した可能性があることがわかった。

同社では、2月23日に本社のサーバがランサムウェアへ感染。情報流出の可能性も判明し、同社より報告を受けた複数自治体が事態を公表するなど対応に追われているが、同省においても委託する3事業において情報流出の可能性が判明した。

（中略）

ランドブレインでは引き続き調査を進めており、同省には、4月中旬をめどに被害範囲を確定し、報告するとの説明があったという。

（Security Next記事より引用）

公式発表

・弊社サーバのコンピューターウィルス感染について（2/24）

・弊社サーバのコンピューターウィルス感染について（2/25）改訂

・不正アクセスによる情報流出の可能性に関するお知らせ（3/2）

キタきつねの所感 

私自身も分野は少し違いますがセキュリティコンサルとして仕事をしているので、「明日は我が身（わが社）」という気持ちで、この一連のランサム被害をウォッチしているのですが、公改めて見てみると公式発表が3本出ている割には事件の詳細（原因部分）については、ほとんど何も書かれていません。

フォレンジック調査が終わるまで開示したくない（あるいは影響を考えて「発表したくない」）のだろうと推察しますが、ランサムの種類（オペレータ）も分かりませんし、侵入経路も不明です。

2021 年 2 月 22 日深夜に、弊社のサーバがコンピューターウィルス（ランサムウエア）に感染したことをご報告いたします。

（2/24公式発表より引用）

と、ウィルス感染（ランサム）被害だった事はいち早く発表されていますが、多くの自治体（※最大200自治体超の可能性）が影響を受けたインシデントに関して、もし記者会見があれば色々と記者から聞かれると想定される内容がほとんど公開されていません。

200超の自治体情報流出か コンサルにサイバー攻撃: 日本経済新聞

 （質問例）

　・原因は何であったのか？（侵害ルートはメール経由？VPN装置の脆弱性？）

　・ランサムオペレータは誰であったのか？（海外からの攻撃？APT攻撃？）

　・ファイルの暗号化はされたのか？

　・ランサムは支払った（支払う）のか？

　・バックアップは取っていたのか？

　・復旧の目途は？

　・被害範囲（影響自治体とその詳細）はいつ確定するのか？

しかし関連記事では、公式発表には書かれていない情報あったので、少しまとめてみます。

LinkedInから5億人のユーザデータが漏えい

Facebookの次はLinkedInの様です。人気のハッカーフォーラムで新たな5億件の漏えいデータの販売が開始されたと報じられています。

cybernews.com

 5億のLinkedInプロファイルからスクレイピングされたとされるデータを含むアーカイブが人気のハッカーフォーラムで売りに出され、投稿者によって概念実証サンプルとしてさらに200万のレコードがリークされました。

（Cybernews.com記事より引用）※機械翻訳

キタきつねの所感 

Facebookが2019年の脆弱性で約5.3億件のデータ漏えいが大きな騒ぎとなっていますが、今回のLinkedInの販売データは約5億件と言われています。

同等クラスのデータ漏えいなのかと考える方も多いかと思いますが、実はユーザ数が違うので、もしこの漏えいが事実であればですが、LinkedInはFacebookの漏えい事件より被害が深刻と言えるかも知れません。

Social Media Labのデータ（2021/4）では、Facebookの全世界月間アクティブユーザは約23.8億人（国内月間アクティブユーザが約2,600万人）に対して、LinkedInの登録ユーザ数は約7.4億人（国内登録ユーザは約200万人）と分析されています。

gaiax-socialmedialab.jp

この数字を元に考えると、Facebookの約5.3億人はアクティブユーザの約22％であるのに対して、LinkedInの約5億人は登録ユーザの約68％にも上ります。言い方を変えれば、3割しか”無事ではない”訳ですから、いかに今回のデータ漏えいが（もし事実であれば）問題であるかが分かるのではないでしょうか。

「悪いともだち」には気をつけろ

「悪いともだち」には気をつけろと、子供の頃に両親から言われた事がある方は多いかと思いますが、デジタルネイティブの時代での悪いともだちは、何も人だけでは無いようです。

www.asahi.com

公式発表

・The Facts on News Reports About Facebook Data (4/6)

問題のデータは、2019年9月より前に、連絡先インポーターを使用して悪意のある攻撃者によってFacebookプロファイルから取得されたと考えられます。この機能は、連絡先リストを使用して、サービスで接続する友達を簡単に見つけることができるように設計されています。

2019年に悪意のあるアクターがこの機能をどのように使用しているかに気付いたとき、連絡先インポーターに変更を加えました。この場合、悪意のある攻撃者がソフトウェアを使用してアプリを模倣し、多数の電話番号をアップロードして、どの電話番号がFacebookユーザーと一致するかを確認することを防ぐために更新しました。以前の機能を通じて、ユーザープロファイルのセットをクエリし、パブリックプロファイルに含まれるユーザーに関する限られた情報のセットを取得することができました。情報には、財務情報、健康情報、またはパスワードは含まれていませんでした。

（公式発表より引用）※機械翻訳

キタきつねの所感 

Facebookの106か国の5.3億人のユーザーデータの漏えいは、突如話題（騒ぎ）になりましたが、Facebookの公式発表（見解）を見ると、2019年に発覚した脆弱性に紐づいている様で、恐らくその頃に漏えいしたデータという事の様です。

この前の年、2018年にはケンブリッジ・アナリティカの5,000万件のデータ漏えいの事件が起きていますが、2019年にも5億件弱（当時）の漏えいが大騒ぎになりました。

今回の漏えい規模と時期から考えると、この際に多くの”不正アクセス”があり、そのどこかのルートでの漏えい情報が、今回のデータ漏えいの「大元」である可能性が高い様です。

jp.techcrunch.com

 Facebook（フェイスブック）アカウントにリンクする何億もの電話番号がオンライン上で見つかった。

暴露しているサーバーには、米国ユーザー1億3300万件、英国ユーザー1800万件、ベトナムユーザー5000万件の記録を含め、世界各地のユーザーに関する4億1900万超の記録が含まれていた。このサーバーはパスワードで保護されていなかったため、誰でもデータベースを見つけてアクセスできた。

（TechCrunch記事より引用）

Facebookの公式発表の下の方にはさりげなく、去年10月の関連ニュースのリンクが貼ってあって、「Facebookとしても法的措置で対抗していますよ」という事をPRすると共に、今回のデータ漏えいが「データスクレイピング」手法によって悪意の第三者によって窃取されたものである事を示唆しています。

「イシグロオンラインショップ」への不正アクセス

昭和27年創業で東海圏を中心に26店舗を展開する大型釣り具専門店のイシグロのECショップからカード情報が漏えいした可能性があると発表されていました。

www2.uccard.co.jp

公式発表

・弊社が運営する「イシグロオンラインショップ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ

 2.個人情報漏洩状況

(1)原因
弊社が運営する「イシグロオンラインショップ」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様
2020年5月27日～2020年10月22日の期間中に「イシグロオンラインショップ」においてクレジットカード決済をされたお客様最大3,171名で、漏洩した可能性のある情報は以下のとおりです。
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

（公式発表より引用）

キタきつねの所感 

本朝は、昨日話題になっていたTrelloの漏えい情報を調べてネットで話題になっていた”漏えい”証跡が結構収集できたのですが、個人情報や機微な情報の取扱いに時間がかかりそうでしたので、読者の方も「飽きた」とは思いますが、またカード情報漏えいの発表が出ていましたので、こちらを取り上げます。

※余談ですが、Trelloの件は公開設定不備、つまり「意図しない情報公開」が原因であり、Amazon S3やSales forceで一時期漏えい被害が続いた件と構図はほぼ同じです。個人情報公開が大好きのノーガード戦法の方々は別にして、Trelloは法人利用の有償オプションもあったはずなので、ここで携帯電話に対するMDMの様に、強制的に非公開設定を共用する（又は意図せぬ公開が無いかを確認できる）オプションを提供すべきだったのではないかと思います。

本題に戻ります。ここ1-2週間カード情報漏えいの記事が多いのが大変残念なのですが、インシデント発表件数が減少傾向になかなかなりません。

下図の7-8割の件数はEC-CUBE利用サイトですが、昨日記事の「せんたく便」や本日の「イシグロオンラインショップ」は別なCMS（又は独自開発）です。

※4/7 PM tikeさんから記事内容の間違い指摘を受け、以下大幅に内容を修正します。（Wayback machine付与のコードを勘違いしておりました。申し訳ありません。）

「イシグロオンラインショップ」を調べていくと、EC-CUBEの特徴は無く、CMSは何を使っているのだろうと思って色々調べてみたのですが、どうやらSiTEMANAGEを使っていた様です。