たらこ家虎杖浜もEC-CUBE

北海道白老のたらこ等海産物のECサイト「たらこ家虎杖浜」からカード情報が漏えいした可能性があると発表されていました。

www2.uccard.co.jp

公式発表

弊社が運営する「インターネットショッピングサイト」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（魚拓）

2.個人情報漏洩状況
(1)原因
弊社が運営する「たらこ家虎杖浜」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。
(2)個人情報漏洩の可能性があるお客様
2018 年 9 月 15 日～2020 年 5 月 14 日の期間中に「たらこ家虎杖浜」においてクレジットカード決済をされたお客様 811 名で、漏洩した可能性のある情報は以下のとおりです。
・クレジットカード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

（公式発表より引用）

キタきつねの所感

虎杖浜と言えばたらこのブランド産地。たらこは「なまらうまい」のに、セキュリティ対策は不味かった様です。魚拓サイトで確認すると、「たらこ家虎杖浜」は2001年2月には既にECサイトを立ち上げていた、言わば通販サイトの老舗です。

ECサイトは立ち上げてしまえば、長い間そのまま使えてしまえます。それはそれで素晴らしい事なのですが、その結果「セキュリティ対策」も併せて放置されてしまう、そんな実情を攻撃側はよく理解していて、ビジネスとしてここ数年攻めてきているのだと思います。

いつもの様に侵害を受けたサイト（現状のサイト）を調査していきます。

f:id:foxcafelate:20201110050619p:plain

何となく、いつものアレかなと思ってソースコードを見たのですが、証跡が発見できません・・・。色々考えて、原因が分かりました。

フレームを使っていたのが原因でした・・・。上側のフレームのソースコードを見ると・・・馴染みのJavaScriptがありました。

f:id:foxcafelate:20201110050855p:plain

こちらを開いてみると、EC-CUBEの痕跡がありました。

f:id:foxcafelate:20201110050957p:plain

これらの情報を推定表に入れてみると、v2.12である事が分かります。

■EC-CUBEバージョンの推定表

リリース日	バージョン
2007/12/4	EC-CUBEv2.0リリース
2008/4/10	EC-CUBEv2.1リリース
2008/10/1	EC-CUBEv2.3リリース
2009/5/19	EC-CUBEv2.4リリース
2011/3/23	EC-CUBEv2.11リリース
2012/5/24	EC-CUBEv2.12リリース ▲たらこ家虎杖浜の利用バージョン
2013/9/19	EC-CUBEv2.13リリース
2015/7/1	EC-CUBEv3リリース
2018/10/11	EC-CUBEv4リリース
2018/9/15~2020/5/14	▲たらこ家虎杖浜が侵害を受けた時期
2019/10/29	EC-CUBEv2.17リリース
2019/12/20	経産省注意喚起
2019/12/23	EC-CUBE注意喚起

8年バージョンアップをしてなかった（又は他のフレームワークに移転しなかった）事、ECサイトの侵害事件では、もちろん攻撃側（ハッカー）が一義的に悪いのですが、ECサイト側もやるべき事をやってなかった事は、責められても仕方が無いかと思います。

余談です。11月9日に公式発表が出ていて、その中ではこう書いています。

5.再発防止策ならびに弊社が運営するサイトの再開について
弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。
改修後の「たらこ家虎杖浜」の再開日につきましては、決定次第、改めてＷｅｂサイト上にてお知らせいたします。

（公式発表より引用）

ん？

f:id:foxcafelate:20201110052326p:plain