D5/100
マルウェア · 高
エディオン通販の決済画面に不正プログラム カード情報流出の恐れ
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 11月4日から7日にエディオン通販のPCでカード情報を入力した利用者
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- エディオンは11月9日、通販サイトのパソコン向け決済情報の入力処理が改ざんされ、クレジットカード情報などが第三者に流出した恐れがあると発表した。
- 対象は11月4日午後7時過ぎから、サイトを停止した7日午後10時までに、パソコンから新たにカード情報を入力した最大556回分である。
なぜ重要か
決済画面の入力処理が不正プログラムで改ざんされた事例であり、ECサイトを運営する開発者は決済ページで読み込む外部スクリプトや改ざん検知の仕組みを見直す契機になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 一般消費者向けの通販サイトの決済画面であり、開発者や運用チームが使うソフトウェアではない。 |
| いいえ | 基幹インフラ | 特定企業の通販サイトの事案であり、ほぼすべてのチームが運用する基幹ソフトウェアには当たらない。 |
| いいえ | 人気ツール | 広く使われる開発技術やプラットフォームではなく、エディオンの自社通販サイトの問題である。 |
| はい | 悪用確認済み | CNET: 決済情報の入力処理が改ざんされ、11月4日からサイト停止までカード情報が入力された。実際の改ざんが起きた。 |
| いいえ | 公開エクスプロイト | CNET: 公開された攻撃手順や概念実証の記述はない。 |
| いいえ | 認証不要のリモート攻撃 | CNET: 改ざんの侵入経路や攻撃手法は示されていない。ネットワーク経由で認証なしに悪用できたとは書かれていない。 |
| いいえ | 完全な乗っ取り | CNET: コード実行や管理者権限の取得は報じられていない。決済入力処理の改ざんにとどまる。 |
| はい | シークレットの流出 | CNET: クレジットカード情報などが第三者に流出した恐れがあると、エディオンが11月9日に発表した。 |
| いいえ | サプライチェーン | CNET: 正規ソフトウェアの配布経路や開発パイプラインの侵害は報じられていない。決済画面の改ざんである。 |
| いいえ | 修正なし | CNET: 修正状況は報じられていない。サイトは停止されたが、復旧や対策の完了は確認できない。 |
タイムライン
対象期間の開始（午後7時過ぎ）
サイトを停止（午後10時までに）
エディオンが決済情報の改ざんと流出の恐れを発表
feed.japan.cnet.com
エディオン通販、PC向け決済画面に不正プログラム カード情報流出の恐れ
出典
エディオン通販、PC向け決済画面に不正プログラム カード情報流出の恐れ ↗ feed.japan.cnet.com · 2時間前