約2.8万件のカード情報が漏えいか、「イタリア自動車雑貨店WEBサイト」に不正アクセス

自動車雑貨のECサイト「イタリア自動車雑貨店WEBサイト」を運営するハックルベリー・アンド・サンズは6月24日、海外からの不正アクセスにより、2万8212件のクレジットカード情報が流出した可能性があることを明らかにした。

漏えいした可能性があるのはクレジットカード番号、有効期限、カード名義。セキュリティコードは含まれていない。

現段階で漏えいの可能性が確認できたのは、2014年1月から2015年4月23日までにクレジットカード情報を登録した顧客情報。ただ、2004年4月2日のサイト開設時からの情報が漏えいした恐れもあるという。

原因は、Webサーバー内にバックドアプログラムが設置されたことによるプログラム改ざん。サイトを構築した開発事業者が、2012年のリニューアル予定のテスト環境サイトを同一のWebサーバー内に無断で設置し、放置していた。

あわせて、テスト環境管理画面のID・パスワードをぜい弱性ある文字列で管理。本番環境とテスト環境が同一データベースを参照していたため、Webサーバー内にバックドアプログラムが設置され、プログラムが改ざんされたという。

4月23日にカード決済代行会社から不正利用された懸念のあるカードがあるという旨の報告を受け、第三者機関を交えて調査を開始。ウェブサイトの閲覧以外のすべての機能を停止した。

同時にサーバー上の個人情報を隔離し、バックドアプログラムの削除を行った。現在は流出の可能性のあるカード番号について、カード会社と協調してモニタリングを行っているという。

こうした事態を受け、再発防止を図るためにクレジットカード情報の非保有体制に移行。PCIDSS（PCIデータセキュリティ基準で国際ペイメントブランド5社が協同策定した、カード業界のグローバルセキュリティ基準）に準拠した決済代行システムを導入したサイトを構築するとしている。