調味料などのECサイトでカード情報6679件が漏えいか、セキュリティコードも

ECのシステムに使用しているソフトウェアの脆弱（ぜいじゃく）性を突いた不正アクセスが原因と推測

2017年12月22日 10:00

調味料などのECサイト「トキワオンラインショップ」（運営は常磐商事）のサーバが外部からの不正アクセスを受け、最大でクレジットカード情報6679件が流出した可能性があることがわかった。ECサイトのWebサーバは通販・ECシステムの開発を手がかけるKBKプラスに管理を委託していた。

流出した可能性があるのは、2016年10月23日～2017年11月1日の間に、「トキワオンラインショップ」でクレジットカード決済を利用した顧客のカード情報。カード会員名、カード番号、有効期限、セキュリティコードが対象。

ECのシステムに使用しているソフトウェアの脆弱（ぜいじゃく）性を突いた不正アクセスが原因と推測している。

「トキワオンラインショップ」はKBKプラスが管理していた（画像は編集部がキャプチャ）

外部の専門調査会社である「Payment Card Forensics」（PCF）に調査を依頼。調査結果ではECシステムで暗号化通信を実現するために使用していたソフトウェアの脆弱（ぜいじゃく）性はすでに修正したという。

2017年12月22日現在、ECサイトの運営は停止。再開については季刊発行のカタログ、メールなどで案内するとしている。

EC業界におけるセキュリティ対策について

経済産業省主導の「クレジット取引セキュリティ対策協議会」（事務局は日本クレジット協会）は、2017年3月8日に公表した「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2017-」において、EC事業者に対して2018年3月までにカード情報の非保持化、もしくは「PCI DSS準拠」を求めていく方針を掲げた。

カード情報の漏えいの頻度が高い非対面（EC）加盟店については原則として非保持化（保持する場合はPCI DSS準拠）を推進。EC加盟店におけるカード情報の非保持化を推進するため、PCI DSS準拠済みのPSP（決済代行会社）が提供するカード情報の非通過型（「リダイレクト（リンク）型」または「JavaScriptを使用した非通過型」）の決済システムの導入を促進するとしている。

また、独立行政法人情報処理推進機構では不正アクセス対策についての資料をまとめており、「安全なウェブサイトの作り方」などを閲覧することができる。