セキュリティコード含むクレジットカード情報流出、EC-CUBE の脆弱性突かれ（マグファイン）

磁石の通販や量産、特注製作を行う株式会社マグファインは5月18日、同社が運営する「株式会社マグファインオンラインショップ」に対する第三者からの不正アクセスで、クレジットカード情報の流出の可能性が判明したと発表した。

これは2019年1月25日に、同社に対し決済代行会社を通じて一部のクレジットカード会社から「株式会社マグファインオンラインショップ」を利用した顧客のカード情報の流出懸念について連絡があり、同日中に同サイトでのカード決済を停止し第三者調査機関による調査を行ったところ、2019年4月26日に完了した調査結果より、同サイトで使用しているEC-CUBEシステム一部バージョンの脆弱性を突いたことによる第三者の不正アクセスでカード決済を選択した顧客が偽の決済画面へ誘導され、入力したカード情報が流出し、一部のカード情報が不正利用された可能性を確認したというもの。

流出した可能性があるのは、2018年10月5日から2018年11月8日の期間中に「株式会社マグファインオンラインショップ」にてクレジットカード決済を行った顧客178件のカード情報（番号、有効期限、セキュリティコード）。なお、AmazonPayで購入の顧客のカード情報については流出していない。

同社では既に、カード会社と連携し流出した可能性のあるカードによる取引のモニタリングを継続して実施し不正利用の防止に努めているが、顧客に対してもカードの利用明細に身に覚えのない請求項目が無いか確認するよう呼びかけている。

同社では5月18日から、個人情報が流出した可能性のある顧客に対し、メールにて説明と謝罪を行う。

同社では今後、調査結果を踏まえてシステムのセキュリティ対策と監視体制の強化を行い再発防止を図るとのこと。