RIZAP運営ECサイトに不正スクリプト、カード情報流出の恐れ

RIZAPが運営するスポーツ・アウトドア用品通販サイト「APORITOオンラインストア」が不正アクセスを受け、利用者のカード情報を含む個人情報が流出した可能性があると発表した。手口は「システム内に設置された悪意あるスクリプト」による外部送信で、5月1日から8月5日までに注文・情報入力した利用者が対象という。サイトは8月5日から閉鎖中で再開時期は未定だ。

見えない改ざん「Webスキミング」の恐ろしさ #

今回の手口は、EC業界で「Webスキミング」「Magecart型攻撃」と呼ばれる典型的な攻撃だ。決済ページのJavaScriptに数行の不正コードを紛れ込ませ、利用者が入力したカード番号・有効期限・セキュリティコードをその場で外部サーバへ送信する。サイトの見た目や動作は一切変わらないため、利用者はもちろん運営側も気づきにくい。今回も約3カ月間、誰にも検知されずに情報が抜き取られ続けた可能性がある。決済処理自体は正常に完了するので、注文履歴やレシートを見ても異常は分からない点が厄介だ。

ユーザーが今すぐできる自衛策 #

企業側の検知の遅れは今後も繰り返される構造的な問題だが、利用者側にも対策はある。該当期間に同サイトで購入・登録した人は、まずカード会社の利用明細を細かくチェックし、不審な請求があれば即座に利用停止・再発行を依頼したい。EC決済では都度発行の仮想カード番号やコンビニ決済を使えば、そもそも実カード番号を渡さずに済む。

サイト運営側にとっても他人事ではない。決済ページの改ざんを検知するファイル整合性監視(FIM)や、許可していないスクリプトの読み込み・外部送信を止めるContent Security Policy(CSP)の導入が急務だ。PCI DSSではこうした改ざん検知が要求事項に含まれるが、実装が追いついていない中小ECは少なくない。「サイトが正常に見える」ことは、もはや安全の証明にはならない。