「せんたく便」にSQLインジェクション脆弱性突く不正アクセス、カード情報流出

株式会社ヨシハラシステムズは4月5日、同社が運営する「せんたく便」に第三者からの不正アクセスがあり、クレジットカード情報流出の可能性が判明したと発表した。

これは2020年10月30日に、一部のクレジットカード会社から「せんたく便」を利用した顧客のカード情報の流出懸念について同社に連絡があり、同日中にカード決済を停止し、第三者調査機関P.C.F.FRONTEO株式会社による調査を行ったところ、第三者からのSQLインジェクションの脆弱性を突いた「せんたく便」への不正アクセスが原因で、新規にカード情報を登録した顧客、カード情報を変更した顧客、旧システムから移行した顧客のカード情報が流出し、一部顧客のカード情報が不正利用された可能性が、2020年12月30日に調査機関による調査で判明したというもの。

流出した可能性があるのは、2020年11月16日までの期間に「せんたく便」で新規にカード情報を会員登録した顧客、登録済みのカード情報を変更した顧客、旧システムからの移行データ58,813名のカード情報（名義、番号、有効期限）。顧客の利用日について開始日はシステム改修のため不明だが、該当会員は特定できている。なお、P.C.F.FRONTEO社によるログファイル等の調査の結果、個人情報が格納されたサーバに不正アクセスがあったことは明らかになったが、漏えいの件数は特定できなかった。

同社では対象の顧客に別途、メールにて個別に連絡を行う。

同社では既に、カード会社と連携し流出した可能性のあるカードによる取引のモニタリングを継続して実施し不正利用の防止に努めているが、顧客に対してもカードの利用明細に身に覚えのない請求項目がないか確認するよう注意を呼びかけている。

同社では1月26日に所轄警察に報告を、1月30日に監督官庁である個人情報保護委員会に報告を行っている。

同社では今後、調査結果を踏まえて現行システム移行、および監視体制の強化を行い、再発防止を図るとのこと。