[ITmedia News] エディオン、クレカ番号＋セキュリティコードも一部漏えいか 決済処理に不正プログラム、エラーログにも記録

著者 岡田有花

[ITmedia]

　エディオンは11月9日、6日に発表したECサイトへの不正アクセスの続報で、決済処理に不正なプログラムが組み込まれており、PCから決済画面に入力されたクレジットカード番号やセキュリティーコードなどが最大556回分、第三者に漏えいした可能性があると発表した。

　また、注文画面でエラーが発生した際、例外的にシステムログへ一時的に記録されていたカード番号やセキュリティコード最大5件も漏えいの可能性があると公表した。

エディオンの9日付の適時開示より。不正プログラムを通じた漏えいの可能性

ログを通じた漏えいの可能性

　同社はカード情報をサーバに残さない仕組みを採用しており、6日の初報ではカード番号は漏えい対象に含まれていないとしていたが、新たに漏えいした可能性が判明した。

不正プログラムでカード番号、有効期限、名義人、セキュリティコード漏えいか

　不正なプログラムは、PC向け決済情報入力処理に組み込まれ、11月4日午後7時過ぎから稼働していた。スマートフォンからの操作と決済入力は、不正プログラムの対象外だった。

　556回は、決済情報入力画面で新規にカード情報を入力した場合の最大の回数で、対象の情報には、クレジットカード番号、有効期限、カード名義人、セキュリティコードが含まれている。

エラー発生時にログに保存したカード情報5件も漏えいか

　第1報で報告した不正アクセスについては、その後の調査で、クレジットカード情報最大5件、エディオンギフトカード情報5360枚、ログインIDとログインパスワード最大1141人分も漏えい対象に含まれていた可能性が判明した。

　カード情報は、注文画面でエラーが発生した際、例外的に入力内容がシステムログへ一時記録されていたもので、カード番号、有効期限、カード名義人、セキュリティコードを含む。

　ギフトカード情報はカード番号、PIN、利用履歴。ギフトカードの今後の扱いは検討中。パスワード漏えい対象者には、変更を求めるメールを順次送る。

第1報では「カード番号の漏えいは確認されていない」

　6日の第1報では、ECサイトのログファイルを保存したサーバ領域の一部に、システムの脆弱性を突いた外部からの不正アクセスがあり、最大4131人分の個人情報と最大9554人分の注文情報が漏えいした可能性があると発表していた。

　その時点では、クレジットカード番号やログインパスワードの漏えいは確認していなかったが、その後の監視と調査で新たな不正アクセスの痕跡を確認した。

　同社は被害拡大を防ぐため、11月7日午後10時からECサイト、エディオン公式アプリ、エディオンスマートアプリを緊急停止した。ECサイトの再開は未定。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。