ViVi公式通販サイトが不正アクセスで個人情報約1万件漏えい

講談社は同社月間女性誌「ViVi」の通販サイトのサーバが2度に渡る不正アクセスを受け、会員の個人情報と注文情報が漏えいしたことを発表しました。

本件はシステムの脆弱性を突くもので、不正アクセスによりウイルスチェックをくぐり抜け、マルウェアをサーバに設置、バックドアツールが展開されたようです。

同サイトを共同運営する会社が、サイト上にて未出荷の商品が「決済完了」ステータスになっているのを発見し、調査を進めた結果、本件が発覚した模様です。

また、本件は同サイトが利用していたアパレル特化型ECプラットフォームが不正アクセスを受けたものであり、同プラットフォームを利用している42サイトの情報約98万件の情報が漏えいした恐れも否定できないとのことです。

同サイトへ2度の不正アクセス発生。

同サイト共同運営会社によるサイト上の不具合調査から、外部の不審なIPアドレスからのアクセスが発覚。

不正アクセス発生時期を特定。

該当顧客へのお詫びメール対応。

利用しているプラットフォームが情報セキュリティ対策をしっかりおこなっているかチェックしていなかったと思われます。自社からだけではなく、「委託先」からも情報が漏れるリスクがあることを加味した委託先選定が必要です。

2015年8月22日(土)15:00～2016年4月18日(月)16:38に同サイトにて注文をおこなった顧客の情報

攻撃元のIPアドレスとの通信を遮断し、設置されたバックドアなどの不正プログラムを駆除しました。また、サーバの不要なPUTメソッドを無効化し、システム脆弱性を解消しました。そして、同様の攻撃を不可能とするシステム構築をおこなったそうです。

加えて、顧客にたいして「なりすまし」などの二次被害の注意喚起をおこなっています。

再発防止策構築のため、現状のデータ保存状況、パスワードや暗号管理などを一から精査するとしています。