フィッシング一本で13万人分が漏れた #
トレジャー・ファクトリーの連結子会社カインドオルが運営するECサイトが第三者の不正アクセスを受け、136,464人分の個人情報が漏えいした。発端はスタッフアカウントを狙ったフィッシングメールで、盗まれた認証情報でログインされたとみられる。決済情報の被害有無は調査中だが、氏名・住所・連絡先クラスの大量流出は確実視されている。
注目すべきは、突破口が高度な脆弱性ではなく「フィッシング＋パスワード認証のみ」という古典的な組み合わせだった点だ。ECサイトの管理画面は在庫・注文・顧客情報にフルアクセスできる、いわば店舗の金庫室の鍵に等しい。にもかかわらず二段階認証(2FA)が未設定だったことで、パスワード1個の漏えいがそのまま全顧客データへの侵入経路になった。攻撃側からすればゼロデイも高度な標的型攻撃も不要で、既製のフィッシングキット一つで十分だったことになる。
1. フィッシングメール送付
スタッフ宛に業務メールを装い認証情報の入力を誘導。
2. 管理画面へログイン
盗んだID/パスワードのみで認証突破。2FA未設定。
3. 顧客情報の窃取
13万6464人分の個人情報にアクセス・持ち出し。
「子会社まかせ」のセキュリティ管理が弱点になる #
親会社が上場企業でも、EC運営を担う子会社の管理画面認証まで統制が行き届いていないケースは珍しくない。グループ経営では監査対象が親会社中心になりがちで、現場のシステム管理者権限アカウントほど2FA導入が後回しにされやすい。1アカウントの重みに見合った認証強度を、グループ全体でどう底上げするかが今後の課題だ。ECサイトを利用する側も、パスワードの使い回しをやめ、不審な問い合わせが来た際は公式サイトから改めて確認する習慣を持ちたい。
COMMENTS 0
No comments yet — be the first to leave one.