弊社が運営する「ヤマダウエブコム・ヤマダモール」への不正アクセスによる個人情報流出に関するお詫びとお知らせ｜ヤマダデンキ　YAMADA DENKI Co.,LTD.

テクノロジーカテゴリーの変更を依頼記事元:

227users がブックマークコメント

弊社が運営する「ヤマダウエブコム・ヤマダモール」への不正アクセスによる個人情報流出に関するお詫びとお知らせ｜ヤマダデンキ　YAMADA DENKI Co.,LTD.

2019年5月29日お客様各位株式会社　ヤマダデンキ弊社が運営する「ヤマダウエブコム・ヤマダモール」... 2019年5月29日お客様各位株式会社　ヤマダデンキ弊社が運営する「ヤマダウエブコム・ヤマダモール」への不正アクセスによる個人情報流出に関するお詫びとお知らせこのたび、弊社が運営する「ヤマダウエブコム・ヤマダモール」におきまして、第三者による不正なアクセスを受け、クレジットカードの情報が最大37,832件流出した可能性があることが2019年4月16日に判明いたしました。お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。不正アクセスの可能性が疑われたため、調査を経て2019年4月26日時点で　「ヤマダウエブコム・

eidai セキュリティコードを保存してたとは書いてない。DBへの不正アクセスではなく、アプリケーションの改ざんとなってるので、悪意有るホストに不正送信されてたように見える。

2019/05/29 リンク

mkusunok 情報公開の順番がおかしい。クレジットカード登録を止める段階でユーザーに影響があるのだから、その段階で第一報をプレスリリースすべき。調査報告書を待って公表するのは明らかに後手では

evergreeen ヤマダモールって、ユニシスだよね。確かレベニューシェアだったはずだけど、こういうときの責任分担はどうなるんだろ？日経コンあたりで取材してほしい。

napsucks セキュリティコードもお漏らししちゃったのか。これキッツイな。PCIDSSに準拠してるだろうしセキュリティコードを保存することはないはずなのでペイメントアプリの改ざんで外部送信させられてたんだろうな。

ksugimori アプリケーションの改竄って言ってるので、新規登録・変更時に POST された値をそのままどこかに送信してたんでしょう。アプリケーション層の中間者攻撃。

ikurii 流出したクレカ情報は3/18〜4/26に新たに登録、または変更した分のみ。つまりこの間、盗聴されていたような感じで、セキュリティコードを保存していたとは限らないのでは。/ 4/26の調査完了から公表まで1ヶ月以上の理由は

ruteinyoyokk121 ヤマダのサイトもアプリも使ったことある人なら分かるけど、めちゃくちゃ使いにくいよね。なぜか値下げ交渉ボタンあるしw

2019/05/30 リンク

sashiharajp 不正アクセスによるペイメントアプリケーションの改ざんが原因。やはりペイメントアプリケーション部分は狙われるのでネットワークも権限も分離してセキュアに守る必要がある。詳細が知りたい。

soratomo 「アプリケーションが改ざんされた」これって、SSHやFTPアカウントが漏洩ってことでいいのかなぁ。内部犯の可能性もあるし関係者のPCを意図的に乗っ取った可能性も大きそう。

security

satomi_hanten ヤマダは全く使ってないので影響ないけどヨドバシも結構やらかしてるし今の作りも良くはなさそうだしやはりWebで使うクレカは分けるべきだなぁ。

augsUK 改竄されてた間の入力情報を全部抜かれて、その報告が一ヶ月以上経ってから。セキュリティも事後対応も両方終わってるなあ。

daishi_n 最近不正利用があったのでカード再発行したけど、ヤマダはPayPal支払いにしてるからカード保存はしてない。他でインジェクションされたかDBからパクられたか

opera627 そもそもクレカとかバンクの4桁キーとかは物理世界で現物ありきの運用だから機密性がギリみたいなとこある気がするので、情報だけの存在にされてしまうと全然機密性の基準値が足りない。アプリが脆弱だと致命的。

petitbang ヤマダのシステムがセキュリティコードを保存してたワケではないのね。該当期間には利用してないのでとりあえず影響なしと考えて良いのかな。

kaerucircus クレカ情報保持してたって事はPCI DSS準拠してたの？つか、PCI DSS準拠して不正アクセス破られるって規制がザルだったって事？

miron_mikan 起きた事象に対しての批判なら分かるけど、この対応は説明すべきとこを全て説明して補償もしててわりと完璧じゃね？変に騒ぐより影響範囲を特定してからの告知は悪くないと思うけどな。補償もするっていってるし

nekobosi 例えば特定のcookieを持つユーザーだけに発動するxssとかだと内部からは気付きにくい、というところはある。しかし流出疑いの時点で止めるべきだなー

roller_skate 『【流出した可能性のある情報】・クレジットカード番号・有効期限・セキュリティコード』豪華三点セットだ……

はてなブックマーク

弊社が運営する「ヤマダウエブコム・ヤマダモール」への不正アクセスによる個人情報流出に関するお詫びとお知らせ｜ヤマダデンキ　YAMADA DENKI Co.,LTD.

記事へのコメント62件

関連記事