ベルアメールのカード情報漏えい

チョコレートの様に非保持は甘くは無かったようです。またカード情報非保持のECサイトからクレジットカード情報が漏えいした様です。

www2.uccard.co.jp

■公式発表　「ショコラベルアメール」のオンラインショップへの不正アクセスによる個人情報流出に関するお詫びとお知らせ

◆キタきつねの所感

また漏えい事件が発生していた様です。正直、今後も被害を受けるECサイトは毎月定期的に出てきてしまうのではないかなと思います。

（１）原因
　弊社が運営する「ショコラベルアメール」のオンラインショップのシステムの一部のセキュリティの脆弱性をついたことによる外部の第三者の不正アクセス

（２）個人情報流出の可能性があるお客様
　平成３０年８月６日から不正プログラムを除去した平成３１年１月２１日までの間に、「ショコラベルアメール」のオンラインショップにおいてクレジットカード決済をされたお客様１，０４５名で、流出した可能性のある情報は以下のとおりでございます。なお、お客様ご自身及び商品の送付先様の住所、電話番号、メールアドレス、生年月日等の等情報につきましては、流出は確認されておりません。
　・カード会員名
　・カード番号
　・有効期限
　・セキュリティコード　

（公式発表より引用）

ベルアメールは、QAに今回被害を受けた手口を詳細に公開していました。（※他社への類似被害等を考えると、全ての事件でこうした公開をして欲しいものですが・・・）こちらから引用しますと、偽ページを挟まれる攻撃だった様です。

f:id:foxcafelate:20190422175012p:plain

では、どうして偽ページを挟まれてしまったのか？と言う部分についてもQAで説明がありました。

Ｑ．不正アクセスとは何があったのですか？

Ａ．第三者によるアプリケーションの脆弱性を突いた不正アクセスで、管理者権限が不正に用いられたことにより、Webサーバー内の情報が改ざんされ、オンラインショップにおいてお客様情報入力画面とクレジットカード情報入力画面の間にフィッシングサイト（偽のクレジットカード情報の入力画面）が差し込まれたものと考えられます。

管理者権限が窃取されている事が、Webページ改ざんの原因であることが明示されています。

少し前のWebページを調べてみると・・現在のWebページのデザインと違ってる事が分かります。これが直接の原因かどうか分かりませんが、ショッピングカートや会員ログインが実装されていましたので、ECサイト構築のパッケージを使っていたのではないかと推測します。

だとすれば、パッチ当て（ECサイト構築パッケージのソフトウェア更新）に失敗したか、管理者のパスワードが脆弱であって破られた・・という様な可能性が高いのではないでしょうか？（恐らく前者では・・・）

f:id:foxcafelate:20190422175458p:plain