2,800人のカード情報が流出した可能性
グッドスマイルカンパニーは、公式ショップへの不正アクセスにより、2,800人分のクレジットカード情報が流出した可能性を公表しました。対象情報にはカード名義人名、番号の全16桁、有効期限、セキュリティコードが含まれます。
対象は、不正なプログラムが決済ページに設置されていた10月21日13時55分から10月23日7時までに、決済ページを利用した人です。注文が完了した384人のほか、決済を試みた人、ログイン後に商品をカートへ入れた人、予約後にカード情報を変更した185人などが含まれます。
カートに商品を入れただけの人については、カード情報の流出は起きていないと考えられます。一方、操作記録が残っておらず、決済を試みた人との区別はできません。同社は該当する可能性のある利用者に個別メールを送るとしており、決済変更を試みたものの完了しなかった人も対象となる可能性があります。
不正アクセスと決済ページの改変
不正アクセスは、公式ショップのシステムの一部にあった脆弱性が悪用され、管理者権限を取得されたことが原因とされています。同社は、近時報告されたPHPの脆弱性によるものではないと説明しています。
同社は不正アクセスを認識した後、10月23日午前7時に公式ショップを閉鎖しました。調査で、カード決済ページに不正なプログラムが設置されていた期間が特定され、影響範囲の調査と利用者への連絡が進められています。
同社の10月26日付の案内では、当初確認されたカード情報はブランド、番号の下4桁、有効期限で、名義人名、番号の全桁、セキュリティコードは含まれないとしていました。その後の調査で、別の期間にも決済ページへ不正なプログラムが設置されていたことが判明し、全桁やセキュリティコードを含む情報が流出した可能性が明らかになりました。
入力情報を狙うWebスキミング
ECサイトの決済画面などに不正なスクリプトを読み込ませ、利用者が入力した情報を盗み取る手口は「Webスキミング」と呼ばれます。スクリプトは利用者のブラウザー上で動き、入力情報を攻撃者側のサーバーへ送信します。
Webスキミングでは、利用者は改ざんに気付かず通常どおり商品を閲覧・購入できます。決済画面でカード情報を入力すると、不正なスクリプトがその情報を収集し、注文時に攻撃者側へ送信すると推定されています。
この手口では、ECサイト側のページが攻撃の足掛かりになります。決済代行会社への不正アクセスは、決済データセンターのサーバーなど代行会社側を侵入先とする事案で、情報が漏れる場所が異なります。
個別連絡とカード利用者への対応
グッドスマイルカンパニーは、対象となる可能性のある利用者へ個別にメールで連絡するとしています。また、同社を名乗る不審なメール、電話、SMSが届く可能性があると案内しています。
再発行後はカード番号や有効期限などが変わるため、公共料金やサブスクリプションなど、登録済みの支払い情報を更新する必要があります。カード会社への連絡後、利用明細に覚えのない利用があればカード会社へ相談する方法もあります。
