象印のECサイトが不正アクセスで個人情報28万件が流出、改ざん決済画面の誘導でクレカ情報が不正盗取された可能性も

象印マホービングループの象印ユーサービスは12月5日、運営するECサイト「象印でショッピング」において買い物をした顧客情報が最大で約28万件が流出したと発表した。漏えいしたのはユーザー名、住所、注文内容（商品、金額など）、配送先情報、メールアドレスなど。

流出したメールアドレスには、改ざんしたサイトへ誘導するためのリンクを設置したメールが送信されており、クレジットカード情報を入力した一部顧客のカード情報が不正に搾取された可能性があることも判明しているという。

「象印でショッピング」システムの一部の脆弱（ぜいじゃく）性を突いた第三者による不正アクセが発生。28万52件にものぼる個人情報の抜き出しに加え、商品情報、決済情報入力画面の改ざんが行われていたことが判明した。

この改ざんによって決済情報入力画面が書き換えられた可能性が高い。悪意の第三者から送られたメールから改ざんサイトに移動し、当該画面でクレジットカード情報を入力した一部顧客のカード情報が不正に盗取されたという。

盗取された可能性のあるクレジットカード情報は、カード名義人名、クレジットカード番号、有効期限、セキュリティコード。

12月4日、一部顧客からキャンペーンに乗じた不審なメールが届いているとの問い合わせがあり、第三者による不正アクセス、個人情報の漏えいが発覚。「象印でショッピング」の運営を停止した。

象印グループでは、第三者調査機関の調査結果を踏まえ、システムのセキュリティ対策、監視体制、リスクマネジメント体制の強化を実施。再発防止を図っていくとしている。

EC業界におけるセキュリティ対策について

経済産業省主導の「クレジット取引セキュリティ対策協議会」（事務局は日本クレジット協会）は、2017年3月8日に公表した「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2017-」において、EC事業者に対して2018年3月までにカード情報の非保持化、もしくは「PCI DSS準拠」を求めていく方針を掲げた。

カード情報の漏えいの頻度が高い非対面（EC）加盟店については原則として非保持化（保持する場合はPCI DSS準拠）を推進。EC加盟店におけるカード情報の非保持化を推進するため、PCI DSS準拠済みのPSP（決済代行会社）が提供するカード情報の非通過型（「リダイレクト（リンク）型」または「JavaScriptを使用した非通過型」）の決済システムの導入を促進するとしている。

2018年6月1日に施行された「割賦販売法の一部を改正する法律（改正割賦販売法）」では、クレジットカードを取り扱うEC事業者などに対して、「クレジットカード情報の適切な管理」と「不正使用防止対策の実施」が義務付けられている。

また、独立行政法人情報処理推進機構では不正アクセス対策についての資料をまとめており、「安全なウェブサイトの作り方」などを閲覧することができる。