「雑談用ストーリー [2]」記事へのコメント

タリーズオンラインストアからクレカ情報流出か？

[Anonymous Coward]

https://news.yahoo.co.jp/articles/94641af2bae882460eb0ac59ba9deb34a8dd849f

Re:

[Dharma-store (47177)]

クレカ情報って、業者は持たないようにしましょうというのが世の流れなのに、
どういうことなんだろうと不思議に思ったのですが、

> サイトのシステムの一部に脆弱性があり、第三者の不正アクセスを受けて
> ペイメントアプリが改ざんされたことが原因。

とのことで、もうソレはどうしようもないかと。

> 氏名、住所、電話番号、性別、生年月日、メールアドレス、ログインID、ログインパスワード、配送先情報
> クレジットカード番号、カード名義人名、有効期限、セキュリティコード

って、もう全部持っていかれて、涙目にしかならない。セキュリティコードは洒落にならないなぁ。
このアプリでは2段階認証とかしてたとしても、ほかの所で使えたらどうにもしようがない。

Re:

[Anonymous Coward]

＞> サイトのシステムの一部に脆弱性があり、第三者の不正アクセスを受けて
＞> ペイメントアプリが改ざんされたことが原因。

＞とのことで、もうソレはどうしようもないかと。

こんな長期間改竄に気づかないってことありえる？

Re:タリーズオンラインストアからクレカ情報流出か？

[taka2 (14791)]

他のページと共通で読み込んでる、
画像の横スライド表示切替を実現する
汎用のオープソースJavaScriptライブラリー slick のファイルが改竄されて、
フォーム入力したクレジット番号などを別途送信してた。

slickの機能は決済システムと無関係だし
htmlそのものは改竄されてないから
htmlなどを見ても分からない(なにも問題がない)し、
デザインリニューアルしても、jsファイルを読み込んでる限りは問題は続く。
自身でメンテしてるファイルはチェックもするだろうけど、
以前から使い続けてるライブラリーだとチェックが甘くなるのも分かる気がする。

最大の問題は、どうやってサーバのファイルを改竄したか、かな。
どのファイルでも書き換えられるような裏口進入した上で、
発覚リスクの少ないslickファイルの改竄を行ったんだろうから、
その改竄手口を解き明かさないと、真の問題解決にならない。

あとはまあ、Content-Security-Policyが適切に設定されてなかったのが残念。これが適切なら、悪意ある外部サイトへの情報送信はブロックされてたはず。