マット販売サイトでクレジットカード情報等(1,635件)、及び個人情報(最大7,086件)が外部に漏洩した可能性

2022年2月21日、株式会社オカが運営するマット販売サイト「マット&ラグファクトリー本店」が第三者による不正アクセスを受け、クレジットカード情報(カード名義人名、クレジットカード番号、有効期限、セキュリティコード、マット&ラグファクトリー本店 ログインID及びパスワード) 1,635件、および会員情報の個人情報(氏名、住所、電話番号、FAX番号、メールアドレス、生年月日、性別、職業) 最大7,086件が漏洩した可能性があることを公表しました。

情報流出
クレジットカード情報が1,635件、個人情報が最大7,086件が漏洩の可能性
要因
脆弱性を狙った不正アクセスによりプログラム改ざんが行われたため

被害企業概要

本社所在地
和歌山県海南市南赤坂8番
事業内容
バス、トイレタリー、キッチン、収納、消臭、インテリア、その他関連グッズの企画、商品の製造販売
資本金
4,500万円
従業員数
93名(2018年11月実績)ほかに、上海工場 現地採用 約200名

実施しておきたい対策

脆弱性診断
脆弱性を速やかに把握できるよう、定期的な脆弱性診断の実施、診断ツールの導入
被害事例では、システムの脆弱性を狙った不正アクセスがあったことを把握しています。定期的な脆弱性診断の実施により、未然に脆弱性を把握し、速やかに補修することで不正アクセスを抑制することが可能になります。
不正アクセス抑止機能
既知の攻撃による不正アクセスからWebサイトを保護する仕組みの導入
発見・公表から間もない脆弱性は補修作業が間に合わないケースも考えられます。他のWebサイトで類似の被害が続出するような、よく使われる不正アクセス手段による改ざんであった場合、不正アクセス抑止機能の導入により、脆弱性の補修が反映されていなくとも、攻撃を抑制できる可能性があります。
保有する情報の内容・数量の定期的な確認
Webサイト内に格納されている情報を定期的に整理する運用ルールの策定と実施
不正アクセス等により、万一、流出事故が発生した場合に備え、被害を受ける方が1人でも少なくなるよう、Webサイトに格納する情報は必要最低限とする運用方針です。個人情報は可能な限り、インターネットが接続されていないオフライン環境へ移し、サーバー上には必要最低限の件数としておくことで、事故の際の被害範囲を最小限に抑えることができます。
※なお、個人情報保護法(第22条)では、個人データを利用する必要がなくなった際には、当該個人データを遅滞なく消去する努力義務が定められています。
個人情報保護法<第22条>データ内容の正確性の確保等
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。
引用:e-Gov法令検索

Case Study
その他のサイバー攻撃 被害事例