グッスマ、不正アクセスでカード情報漏えいの可能性　2800名

グッドスマイルカンパニーは、公式ショップへの不正アクセスによる情報漏えいについて第3報を発表した。不正プログラムが設置され、クレジットカード決済時の情報が盗み取られた可能性などについて報告されている。

グッドスマイルカンパニー公式ショップでは、不正アクセスの発生を受け10月23日からWebサイトを閉鎖している。被害の内容は、19日～22日にかけて第三者による不正アクセスがあり、ユーザー情報が複数回閲覧されたほか、21日13時55分～サイト閉鎖の23日7時まで、クレジットカード決済ページに不正なプログラムが設置されたというもの。不正プログラムの設置が判明したのは28日としている。

不正アクセスの原因となった脆弱性(PHPではないとしている)は改修を完了、セキュリティ強化策を講じた。同社は今回の事案を個人情報保護委員会に報告。今後はクレジットカード会社や決済代行会社への報告を進める。サイトの再開時期は改めて案内される。

決済時に入力したカード情報の漏えい

不正プログラムが設置されていた期間(21日13時55分～23日7時)に、クレジットカード決済ページにてカード情報を入力した可能性のあるユーザー、最大2,800人は、入力した情報が不正プログラムにより盗み取られた可能性がある。同社は対象ユーザーに個別に連絡を行なった。

漏えいの対象になる情報は、クレジットカード名義人名、クレジットカード番号(全16桁)、有効期限、セキュリティコード。

なお2,800人のうち、クレジットカード決済で実際に注文したユーザーは384人としている。ほかには、決済を試みたが決済を完了しなかったユーザー、サイトにログインしカートに商品を入れたが決済手続きに進まなかったユーザー、予約の後に決済に用いたクレジットカード情報について変更手続きをしたユーザー(185人)が2,800人に含まれる。

上記のうち、決済手続きに進まなかったユーザーについては情報漏えいの可能性は低いとするものの、サイトのシステムがユーザーの操作を記録していない都合上、特定ができず、個別連絡の対象とした。

なお上記の2,800人以外にも、「注文後、決済に用いたクレジットカード情報について変更手続を試みたが完了に至らなかったユーザー」についても、クレジットカード情報が漏えいしている可能性があるとしている。

クレジットカード情報の一部の漏えい

このほか、同サイトにクレジットカード情報を登録したことがあるユーザーの、クレジットカード番号の下4桁と有効期限が漏えいした可能性がある。対象は最大40万2,466枚。こちらは、クレジットカード名義人名とセキュリティコードの漏えいは無いとしているほか、この情報に紐づく会員情報も漏えいしていないとしている。

注文情報の漏えい

注文情報も一部が漏えいした。10月22日22時20分～23時頃までの間に注文したユーザー、最大7,673人が対象。不正に閲覧された注文件数は202件だが、完全な特定が難しいため、可能性のある7,673人を対象としている。

情報漏えいの対象になっている情報は、届け先(請求先)の名前、住所、電話番号と、メールアドレス、注文内容、金額、決済方法。