「雑談用ストーリー [2]」記事へのコメント

タリーズオンラインストアからクレカ情報流出か？

[Anonymous Coward]

https://news.yahoo.co.jp/articles/94641af2bae882460eb0ac59ba9deb34a8dd849f

Re:

[Dharma-store (47177)]

クレカ情報って、業者は持たないようにしましょうというのが世の流れなのに、
どういうことなんだろうと不思議に思ったのですが、

> サイトのシステムの一部に脆弱性があり、第三者の不正アクセスを受けて
> ペイメントアプリが改ざんされたことが原因。

とのことで、もうソレはどうしようもないかと。

> 氏名、住所、電話番号、性別、生年月日、メールアドレス、ログインID、ログインパスワード、配送先情報
> クレジットカード番号、カード名義人名、有効期限、セキュリティコード

って、もう全部持っていかれて、涙目にしかならない。セキュリティコードは洒落にならないなぁ。
このアプリでは2段階認証とかしてたとしても、ほかの所で使えたらどうにもしようがない。

Re:タリーズオンラインストアからクレカ情報流出か？

[Anonymous Coward]

＞> サイトのシステムの一部に脆弱性があり、第三者の不正アクセスを受けて
＞> ペイメントアプリが改ざんされたことが原因。

＞とのことで、もうソレはどうしようもないかと。

こんな長期間改竄に気づかないってことありえる？

Re:タリーズオンラインストアからクレカ情報流出か？

[taka2 (14791)]

他のページと共通で読み込んでる、
画像の横スライド表示切替を実現する
汎用のオープソースJavaScriptライブラリー slick のファイルが改竄されて、
フォーム入力したクレジット番号などを別途送信してた。

slickの機能は決済システムと無関係だし
htmlそのものは改竄されてないから
htmlなどを見ても分からない(なにも問題がない)し、
デザインリニューアルしても、jsファイルを読み込んでる限りは問題は続く。
自身でメンテしてるファイルはチェックもするだろうけど、
以前から使い続けてるライブラリーだとチェックが甘くなるのも分かる気がする。

最大の問題は、どうやってサーバのファイルを改竄したか、かな。
どのファイルでも書き換えられるような裏口進入した上で、
発覚リスクの少ないslickファイルの改竄を行ったんだろうから、
その改竄手口を解き明かさないと、真の問題解決にならない。

あとはまあ、Content-Security-Policyが適切に設定されてなかったのが残念。これが適切なら、悪意ある外部サイトへの情報送信はブロックされてたはず。

Re:

[Anonymous Coward]

「ペイメントアプリ」ってのは結局何なの、がよくわからないけど、
決済を担当するアプリサーバーがあって、それは決済単機能を担っているために機能更新の必要がなくて、
黙々と同じ動作を続けていたとかあってもすごく不思議とは思わない。

あと別の見方として、実際はいつ改竄が行われたのかの裏が取れない状況で、可能性最長の期間を報告している場合もあると思う。

Re:

[Anonymous Coward]

今はたくさんの決済手段があって、その多くに対応しようとすれば決済機関ごとに契約が必要になる。
だから自前で決済&請求を処理せずに請求処理は決済代行会社に委託しているとこが多く、その場合「ペイメントアプリ」に相当するものも外部業者の管理下なので改竄に気付きにくい
なんてことはあるかもしれないね。

Re:

[Anonymous Coward]

そのペイメントアプリを使ってる他社サイトでも同じ問題起きてるかもしれないな。