※調査が遅くなっていますが、1月分のカード情報漏えい発表を調べております
scan.netsecurity.ne.jp
公式発表
・クレジットカード情報漏洩に関するお詫びとお知らせについて（1/19）魚拓
2.クレジットカード情報漏洩状況
(1)原因
弊社が運営する「あっとよか(https://www.chojyu.com/)」にて採用している外部事業者「株式会社ショーケース」の画面表示を最適化するサービスツールの脆弱性をついたことによる第三者の不正アクセスにより、ソースコードの改ざんが行われたため。
（２）クレジットカード情報漏洩の可能性がある会員様
2022年7月19日～7月29日の間に、弊社ECサイト内での新規カード登録のお手続きを行った37件の会員様が対象で、漏洩した可能性のある情報は以下のとおりです。
・クレジットカード番号
・有効期限
・セキュリティコード
キタきつねの所感
スキンケア製品などを取扱う長寿乃里のECサイトから、カード情報漏えいが発表されていました。この件もショーケース社のWeb表示最適化サービス「サイト・パーソナライザ」が侵害された事によりカード情報の被害を受けた様です。
ショーケース関係では、現在までの所で（少なくても）12のECサイトが被害を出している様です。繰り返しのリスト掲載となりますが、こうしてまとめてみると、改めてサービスプロバイダーが短期間であっても侵害されてしまうと、影響が大きい事が分かります。
併せて、サプライチェーン攻撃の原因となってしまったショーケース社が、昨年10月にリリースを出した後に続報を出していないのも気になります。
個社のフォレンジック調査待ちの部分もあるのかと思いますが、1月に発表された分で”終わった”のかどうか位は、追加リリースを出しても良いのではないでしょうか。
余談となりますが「あっとよか」は、インシデントの公表（1/19）から考えるとかなり早い段階（1/31）にクレジットカード決済を再開させています。
カード情報漏えいを発表した企業の中にはまだカード決済を再開できていない所も多いのですが、リカバリーが早かったのは被害が比較的軽微（37件）であった事と、外部サービス侵害だった事から、そのサービスを停止しやすい事も影響しているのかと想像します。
※経産省が、カード情報漏えいインシデントの公表を早める事を検討する様です。手持ちのデータでは平均半年以上インシデント公表までかかっていますので、消費者保護や、インシデント公表が他のECサイトに対しての”注意喚起”にならないという点が、かなり改善されるのかと思います。
scan.netsecurity.ne.jp
本日もご来訪ありがとうございました。
Thank you for your visit. Let me know your thoughts in the comments.
更新履歴
