エディオンのECサイトに不正アクセス、クレカ番号とセキュリティコードが漏えいした可能性。決済情報入力処理に不正なプログラム

家電量販店大手のエディオンは11月6日、ECサイトへの不正アクセスが発生し、個人情報が漏えいした可能性があると発表した。11月7日からECサイトの運営を停止。11月9日には、決済情報の入力処理に第三者が不正なプログラムを組み込んでいたことが判明し、11月4日以降にパソコンから新たにクレジットカード情報を入力した最大556回分について、カード番号、有効期限、カード名義人、セキュリティコードが漏えいした可能性があるとした。

当初の発表ではクレジットカード情報の漏えいは確認されていないとしていたが、その後の調査で新たな不正アクセスの痕跡と決済処理の改ざんが判明した。

11月6日時点ではカード情報の漏えいは確認されず

エディオンは11月6日、前日の11月5日18時30分ごろ、ECサイトのサーバーへの不正アクセスを確認したと発表。システムの脆弱性を突かれ、サイトの稼働状況や通信処理を記録するログファイルが格納されたサーバー領域の一部にアクセスされたという。

最初の発表では、ログファイルに氏名、メールアドレス、電話番号、住所、生年月日、性別、顧客番号などが記録されていた可能性があると説明。複数の情報がひもづいた状態で記録されていたのは、最大4131人分。また、複数のログを照合すると、注文情報と結び付けられる顧客が最大9554人に上り、その場合、メールアドレスや電話番号、住所の一部、カードの有効期限、エディオンのプリペイドカード番号なども判明する可能性があるという。

この時点では、クレジットカード番号やログインパスワードはログに含まれておらず、クレジットカード情報の漏えいは確認されていないとしていた。

11月9日にカード情報漏えいの可能性を公表

その後の調査で、エディオンはECサイトの決済関連処理に、第三者によって不正なプログラムが組み込まれていたことを確認。11月9日には、11月4日19時過ぎから稼働していたこのプログラムにより、パソコンから決済画面に入力されたカード情報などが直接外部に送信された可能性を否定できないと発表した。

対象となるのは、11月4日19時以降にパソコンからECサイトを利用し、決済画面で新たにカード情報を入力した場合で最大556回分としている。スマートフォンからの操作や決済情報の入力は、不正プログラムの対象外だったことを確認したという。

さらに、第1報ではカード情報の漏えいは確認されていないとしていたが、ログの詳細解析により、注文時のエラーログに最大5件分のカード番号、有効期限、カード名義人、セキュリティコードが記録されていたことも新たに判明。注文画面でエラーが発生した際、例外的に入力内容がシステムログに一時記録されていたためと説明している。

このほか、エディオンのプリペイドカード5360枚分の番号やPIN、利用履歴、ログインID・パスワードが最大1141人分流出した可能性も公表した。

ECサイトは停止、カード会社に監視強化を依頼

エディオンは被害拡大を防ぐため、11月7日22時にECサイトや公式アプリなどを緊急停止した。ECサイトは停止を継続しており、再開時期は未定。公式アプリは安全確認を行ったうえで、デジタル会員証やクーポン表示など一部機能を11月8日から再開した。

同社は、対象期間にパソコンから新たにカード情報を入力した顧客のカードについて、提携するカード会社に不正利用の監視強化を依頼した。該当する顧客には利用明細の確認を呼びかけ、不審な請求があった場合はカード会社へ連絡するよう案内している。

個人情報保護委員会および所轄警察署への報告も進めており、影響範囲などの調査を続けるとしている。