D2/100
情報漏えい · 中
au PAY の使えるお店で個人情報と推測される情報を掲載 サービス停止
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： au PAY加盟店の顧客情報と推測される情報
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
シークレットの流出
要点
- au PAYの使えるお店の情報で、個人氏名と推測される店舗名が最大4,417名分掲載された
- 8月下旬からサービスを停止しており、再開時期は未定である
なぜ重要か
決済サービスで個人情報と推測されるデータが公開された場合、サービス停止や再開判断が長期化しうることを示す事例である。決済やポイント連携を実装するエンジニアは、個人情報の取り扱いと障害時の影響範囲を見直す材料になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| いいえ | 開発者に影響 | 一般利用者向けの決済関連サービスであり、開発者や運用チームが使うソフトウェアではない |
| いいえ | 基幹インフラ | ほぼすべてのチームが運用する基幹ソフトウェアではなく、単一サービスの問題である |
| いいえ | 人気ツール | 広く使われる決済サービスだが、開発技術やフレームワークではない |
| いいえ | 悪用確認済み | netsecurity: 個人氏名と推測される情報を掲載したと報じるが、攻撃の観測は記載されていない |
| いいえ | 公開エクスプロイト | netsecurity: 公開されたエクスプロイトや概念実証についての記載はない |
| いいえ | 認証不要のリモート攻撃 | netsecurity: 攻撃手段や必要な権限についての記載はない |
| いいえ | 完全な乗っ取り | netsecurity: コード実行や管理者権限の取得についての記載はない |
| はい | シークレットの流出 | netsecurity: 個人氏名と推測される店舗名を最大4,417名分掲載したと報じている |
| いいえ | サプライチェーン | netsecurity: 正規ソフトウェアの配布経路が侵害されたとの記載はない |
| いいえ | 修正なし | netsecurity: サービスは8月下旬から停止し再開未定と報じるが、修正版の有無は不明 |
出典
「au PAYの使えるお店」個人氏名と推測される店舗名を最大4,417名分掲載、8月下旬から停止し再開未定 ↗ scan.netsecurity.ne.jp · 3時間前