不正アクセス発生についての調査結果を報告　東商マート

今年4月13日に通販Webサイト「東商マート」で発生した情報漏洩について、サイト運営を行う東洋商事株式会社が平成29年6月23日に、調査結果をにWebサイト上で公表しました。

平成29年4月13日に公表された内容

引用元:http://www2.tsnet-web.jp/information/info20170623.pdf

外部から閲覧された情報

平成29年4 月 1 日から同月10 日における不正アクセスにより、氏名(発注担当者の登録のあった利用明細のみ) 、住所 、電話番号 、メールアドレスを含む個人情報55件が第三者に閲覧されたとのことです。

また、その際行われたWeb プログラムの改ざんにより、同月 1 日から10 日に当該サイト にて新たにクレジットカード情報を入力した(上記の 55 件とは 異なる) 利用者のクレジットカード情報(カード番号 、カード会員名 、カード会員住所、有効期限、セキュリティコード含む)が 13 件流出した可能性があるとのことです。

調査結果

 3月19日
第三者によるSQL インジェクション攻撃が開始

3月31日23時28分
SQL インジェクション攻撃によって取得された管理画面へのログイン情報を用いて、第三者が管理画面へログイン

3月31日23時31分
バックドアプログラムが第三者によってWeb サーバー上に設置、4 月 10 日 13 時までの期間、管理画面上の取引情報の一覧・ 55 件の顧客情報が閲覧

4月8日21時14分
カード情報入力フォームの実行キャッシュファイルの改ざんが行われ、同日以降入力された利用者のクレジットカード情報2件、及び、同社と外部機関によって行われたテスト入力にて用いられたクレジットカード情報3件が、画像ファイルに偽装されたファイルとしてサーバー内に記録される

 4月10日
同社は利用者から「クレジットカード決済が行えない」という問い合わせを受け本件が発覚し、これよりシステム提供元事業者による調査が開始される
Webプログラムの改ざん、サーバ内に不正ファイルが存在していたことが明らかとなり、当該サイトでのカード決済サービスを停止

4月17日
外部機関による調査を行い、一部の利用者のクレ ジットカード情報が流出した可能性があることが確認される

また、バックドアプログラムが設置された4月1日以降に入力された8 件のクレジットカード情報の漏洩の可能性が否定できないとのことです。

対応

本件より、同社は以下の対策を講じています。
・当該Webサイトに存在していたSQLインジェクションの脆弱性を修正
・jQuery等、他の洗剤脆弱性を修正
・当該システム全体のディレクトリ実行権限やアクセス権限を確認し再設定
・クレジットカード決済のPCIDSSを導入
・パスワード入力時における高度な暗号化技術を導入
・管理画面におけるIPアドレスのアクセス制限を実施
・外部機関による定期的な脆弱性調査を実施
・脆弱性情報の早期取得とバージョンアップ等による保守の徹底

また、同社は本件において漏洩被害にあった利用者へ電話にて個別に連絡をとり、同年6月23日より書面郵送による最終報告書を送付したとのことです。

関連リンク

平成29年4月13日に公表された内容

不正アクセス報告一覧

SQLインジェクション報告一覧

Web脆弱性診断サービス