ネバーセイネバーの「ラズレナ」で3701件のカード情報が漏えい、OpenSSLの脆弱性が原因

レディースファッションECサイト「LuzLlena（ラズレナ）」を運営するネバーセイネバーは7月8日、通販サイトが外部からの不正アクセス攻撃を受け、3701件のクレジットカード情報が外部に流出した可能性があることを明らかにした。5月20日にクレジットカード決済サービスを停止。情報流出の再発防止に向けて、セキュリティ対策を強化していくとしている。

漏えいした可能性があるのは、2014年12月6日～2015年5月20日の期間に、クレジットカード情報を「ラズレナ」の自社ECサイトで入力した顧客が対象。氏名、住所、電話番号、メールアドレス、カード番号、有効期限が無作為に閲覧されたという。

原因はOpenSSLの脆弱性。カード決済終了後、通信を暗号化して情報を送信する際に利用しているOpenSSLの脆弱性を、外部からの不正アクセスで突かれた。

なお、6月にシステムの全面移行を実施。現在利用しているシステムではなく、刷新前のシステムに流出原因があった。

5月20日、契約先の決済代行会社からカード情報が流出した可能性がある旨の連絡を受け、カードの利用停止措置を実施。情報流出対策本部を設け、クレジット情報流出事案の専門調査機関である「Payment Card Forensics（PCF社）」に調査を委託した。

PCF社からの最終報告書は6月24日付で受領し、本件を公表。経済産業省、原宿警察署、警視庁生活安全サイバー犯罪対策課にも報告した。

なお、5月20日に自社ECサイトでのカード決済を停止しているため、クレジットの利用は「ショッピングモール（楽天店、DeNA店、ヤフー店、アマゾン店、Shoplist店、Qoo10店）」、代金後払いを推奨している。

ネバーセイネバーはセキュリティ対策の強化を進める。PCIDSS（PCIデータセキュリティ基準で国際ペイメントブランド5社が協同策定した、カード業界のグローバルセキュリティ基準）に準拠した決済代行システムを、今秋までに導入する。

具体的には、オンライン決済におけるクレジットカード情報の非保持のほか、伝送、処理も行わない環境作りを進める。「導入後は弊社サーバを通過せず決済代行会社の画面に遷移するので、流出する可能性を排除できる」としている。