保育者向けECサイトに不正アクセス、最大2,365件のカード情報が流出の可能性

SHIFT SECURITY セキュリティの学び場ニュース解説保育者向けECサイトに不正アクセス、最大2,365件のカード情報が流出の可能性

保育者向けECサイトに不正アクセス、最大2,365件のカード情報が流出の可能性

2021.07.14 ニュース解説

今回の解説ニュース
インシデント対応、公表は正確性より即時性を優先すべき理由

こちらのnoteは、セキュリティ専門家の松野によるニュース解説ラジオ「今日の10分セキュリティラジオ」の放送内容を文字起こししご紹介しています。

今回の解説ニュース

保育者向けECサイトに不正アクセス、最大2,365件のカード情報が流出の可能性

株式会社ソングブックカフェは7月6日、同社が運営する保育者のためのECサイト「Hoick」に第三者からの不正アクセスがあり、顧客の個人情報流出の可能性が判明したと発表した。(記事はこちら)

【お届けするニュースはサイバーセキュリティ専門ニュースサイト「ScanNetSecurity」の提供でお送りしています。】

ECサイトに脆弱性を突いた不正アクセスがあり、顧客情報が流出した可能性があるということです。多発する不正アクセスで求められるインシデント対応について説明します。

クレジットカード会社からの連絡を受けて第三者機関による調査を行ったところ、脆弱性を突いた不正アクセスが原因で顧客のカード情報及びログイン情報が流出した可能性があるということです。

流出した可能性があるのは、2020年10月29日から2021年4月8日の期間中にECサイトでクレジットカード情報を入力の上、決済を行った最大2,365件の顧客のカード情報ということです。PCIDSSではクレジットカード番号やセキュリティコードの保存を禁止しているため、顧客がカード情報を入力する際に、何らかの方法で通信が盗聴されていたことが考えられます。

PCIDSSとは、Payment Card Industry Data Security Standardの略で、クレジットカード情報を安全に取り扱う事を目的とした、クレジットカード業界のセキュリティ基準です。カード情報を保存、処理、伝送する企業が準拠する必要があります。

同社は顧客に対して、クレジットカードの不正利用がないか確認することと、他のサービスでECサイトと同じパスワードを使っている場合は変更することを呼び掛けています。

インシデント対応、公表は正確性より即時性を優先すべき理由

インシデント対応において、公表は正確性より即時性を優先すべきであると考えます。理由は、利用者保護や同様の被害を防ぐことを最優先すべきと考えるからです。

総務省が2020年1月28日に公開した「我が国のサイバーセキュリティ強化に向け速やかに取り組むべき事項」の緊急提言で述べられている内容で「個人情報などの流出が疑われる時点で、影響を受ける主体との関係なども踏まえつつ、速やかに情報の公表を検討することが望ましい」とされています。また「類似の被害の拡大を防ぐ観点から、インシデントに関する情報の共有を速やかに行うことが求められる」ともされています。

仮にECサイトが不正アクセスを受けた場合、カード情報が不正利用される可能性や、アカウント情報が他のサービスへの不正アクセスへ再利用される可能性があります。利用者が自信の個人情報が漏洩した可能性を知ることができれば、自ら対策を講じることも可能ですが、インシデントの公表が遅れた期間だけ、利用者の個人情報は危険にさらされた状態が継続されることになります。

また、サイバー攻撃は時に同様の手口が再利用される形で、他のサービスでも広く被害が発生する場合があります。インシデントが直ちに共有されることにより、類似の被害を未然に防ぐことができる可能性があります。

以上の理由から、インシデントの公表が混乱を招く可能性を考慮しても、即時性を優先すべきであると考えます。