カゴヤ・ジャパン　クレジットカード情報など漏えい

データセンターやホスティング事業などを手掛けるカゴヤ・ジャパンによると同社がサイバー攻撃を受け、クレジットカード情報を含む利用者の個人情報が外部へ流出したと発表しました。合わせて複数の顧客が利用するサーバーにて不正なプログラムのアップロードがあったことも判明しております。

以下詳細となります。

(1)流出の対象期間：2015年4月1日～2016年9月21日
※脆弱性があった期間を想定

(2)原因・不正アクセスの手口
第三者の不正アクセスにより、OSコマンドインジェクション(※)の脆弱性を利用されて、DBサーバー内の情報を不正取得された。

(※)OSコマンドインジェクションとは、閲覧者からデータ入力や操作を受け付けるようなWEBサイトにてOSに対するコマンドを入力し不正に操作する攻撃手法のことです。

(3)流出の規模(疑いを含む)
個人情報の件数：48,685件(人数)うちクレジットカード情報の件数：20,809件(カード番号の数)
(すでに解約されたお客様を含みます。)

(4)流出した情報(疑いを含む)
①氏名(カード名義人名)
②住所
③電話番号
④メールアドレス
⑤ご契約アカウント名・パスワード
⑥クレジットカード番号
⑦有効期限

同社によると、定期的に行っているスクリーニング調査の結果、顧客が利用しているサーバーに不正なプログラムがアップデートされていることが分ったことから判明しました。調査すると、まずサービスを提供する同社のデータベースサーバーに侵入し、顧客のパスワードを漏えいさせ、その後に顧客のサーバーに侵入したとのことです。
同社では現在、被害のあった顧客のサーバーのパスワードをすべて変更した上で、情報流出対象のお客様に、電子メールおよび郵送にて、お詫びと注意喚起を直接案内しているとのこと。不正アクセスのあったカード情報をすべて削除し国際カード会社のセキュリティ基準であるPCIDSSに準拠する決済代行会社に決済業務を委託しています。

ここ数年のサイバー攻撃の傾向として一つはランサムウェアに代表されるウィルス・マルウエア感染。そしてもう一つが情報漏えいです。特にクレジットカード番号や、インターネットバンキング用にIDパスなどを盗み、金銭を不正送金される被害が流行しています。

今回は個人が狙われたものではなく、いわゆるプロのサーバーが狙われていることからサイバー攻撃がいかに防ぎづらいかを証明しています。

しかし通常のサイバー攻撃は基本的な対策でかなり防げます。事前のセキュリティ対策が重要です。