D5/100
情報漏えい · 高
ステップゴルフに不正アクセス 最大21.5万件の情報漏えいの可能性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： ステップゴルフの会員・利用者、最大21.5万件の個人情報
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- ステップゴルフで不正アクセスが発生し、最大21.5万件の情報が漏えいした可能性があると報じられた
- 漏えいの可能性がある情報には、金融機関名、支店名、口座番号、口座名義などの口座振替情報が含まれる
- 契約状況、予約履歴、購入履歴、レッスンカルテ、顔写真、要配慮個人情報も漏えいした可能性がある
なぜ重要か
口座振替情報やレッスンカルテなどの要配慮個人情報を扱うサービスでは、アクセス制御と不正アクセスの検知体制が欠かせないことを示す事例である。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 一般消費者向けのゴルフスクールサービスであり、開発者や運用チームが使うIT製品ではない。 |
| いいえ | 基幹インフラ | ゴルフスクール事業者の顧客管理システムへの侵入であり、基幹インフラソフトウェアの問題ではない。 |
| いいえ | 人気ツール | 開発者が広く使うフレームワークやツールではなく、一社の顧客サービスに関する事案である。 |
| はい | 悪用確認済み | ITmedia NEWS: ステップゴルフへの不正アクセスにより情報が漏えいした可能性があると報じている。 |
| いいえ | 公開エクスプロイト | ITmedia NEWS: 攻撃手法や公開されたエクスプロイトについての記述はない。 |
| いいえ | 認証不要のリモート攻撃 | ITmedia NEWS: 侵入経路や攻撃者が必要とした認証条件について記述がない。 |
| いいえ | 完全な乗っ取り | ITmedia NEWS: 管理者権限の奪取やコード実行については触れず、情報漏えいの可能性のみ報じている。 |
| はい | シークレットの流出 | ITmedia NEWS: 口座番号、契約状況、予約履歴、顔写真などの顧客情報が漏えいした可能性があると報じている。 |
| いいえ | サプライチェーン | ITmedia NEWS: 開発者が信頼する配布経路を通じた悪意あるコードの配布については記述がない。 |
| いいえ | 修正なし | ITmedia NEWS: 修正や対策の状況については記述がなく、確認できる根拠がない。 |
出典
口座番号や顔写真、要配慮個人情報も……「ステップゴルフ」不正アクセス、最大21.5万件漏えいの可能性 ↗ ITmedia NEWS 最新記事一覧 · 3時間前