ホビーショップのECサイト、決済プログラム改ざんによりクレカ情報等流出

不正アクセスから対策までの情報漏洩の期間は長期間に及ばなかったものの、具体的な被害件数も含め詳細は調査中とのことで、今後の続報が待たれますが、少なくとも前述した期間においてカード情報の入力を行った利用者においては今後の不正利用の可能性に注意が必要でしょう。

近年のクレジットカード情報流出事案においては、既に「セキュリティコードも含んだ情報を自前のサーバー上に保持していた」というケースは皆無と言ってよく、不正アクセスによる改ざんで決済時において偽のフォームの表示等を行い、個人情報等の詐取を行う手口が一般的とされています。

ECサイト構築で利用される有名なフレームワークであっても、SQLインジェクションの脆弱性が発見・修正された後、アップデートしていないECサイトが攻撃を受けるケースも度々報告されており、Webアプリケーション・フレームワークからサーバーに至るまで最新のバージョンに保ち脆弱性の修正・対策を確実に行うことにより、攻撃者による侵入や改ざんの余地をなくすことは必須で、併せて攻撃の形跡・兆候を検知・遮断するためのIDS・IPSおよびWAFの設置もまた肝要です。

Webサイト上で許可していないアクセス先へのリクエスト送信やファイル読み込みを遮断するセキュリティ機構であるContent Security Policy(CSP)は多くのWebブラウザーで対応が済んでおり、近年のカード情報流出事案等の多くで効果があるとされ、決済機能を提供する外部業者からもその利用を推奨する流れとなることに期待したいものです。

同社の注意喚起では、6月上旬にPuTTYの他、PuTTYと同じくSSHプロトコルによってファイル転送を行う「WinSCP」や、パスワード管理ツール「KeePass」でOysterを混入させたインストーラーによる攻撃を確認しているとのことです。

マルバタイジングによる偽のインストーラーへの誘導攻撃の事例は過去にも画像ソフトウェア「GIMP」等でみられており、時にはURLに国際化ドメイン名(IDN)等を用いるケースもあります。

PuTTYはサーバー等へのリモートアクセス用途で人気のあるソフトウェアの一つですが、現在Googleで「PuTTY」を検索した際、危険ではないとみられるものの、公式ではないサイトがトップに表示されるようになっていることもあり、入手・インストールの際は安易に検索結果の上位に手を出さないこと、万全を期すならば公式サイトのURL(https://www.chiark.greenend.org.uk/~sgtatham/putty/ )を確認すること、または日本人開発者によって長年開発され信頼されている日本語対応版(PuTTYrv・iceiv+putty等)のサイトをブックマークするのも一考でしょう。