D5/100
情報漏えい · 高
ギフティで不正アクセス相次ぎeギフト5.5億円の損失
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： ギフティのeギフト利用者とPICKS・skyticketの利用者
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- ギフティのeギフトで不正発行が相次ぎ、約5.5億円の損失が生じたと報じられている
- サーティワンもこの不正発行の影響を受けたと伝えられている
- モバイルオーダーサービス「PICKS」と旅行予約サイト「skyticket」からも個人情報の流出が取り上げられている
なぜ重要か
外部サービスと連携してeギフトや会員情報を扱うシステムでは、不正発行や情報流出の対策と影響範囲の把握を見直す必要があることを示す事例である。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 一般利用者向けのeギフトや注文サービスであり、開発者が使うツールではない |
| いいえ | 基幹インフラ | 全チームが運用する基幹ソフトウェアではなく、ギフティのサービス固有の問題である |
| いいえ | 人気ツール | 広く使われるサービスだが、開発で多くのチームが使う技術ではない |
| はい | 悪用確認済み | Nikkei xtech: ギフティで不正アクセスが相次ぎ、eギフトが不正発行された |
| いいえ | 公開エクスプロイト | Nikkei xtech: 攻撃手法やエクスプロイトの公開について記載はない |
| いいえ | 認証不要のリモート攻撃 | Nikkei xtech: 攻撃の経路や認証の要否については記載がない |
| いいえ | 完全な乗っ取り | Nikkei xtech: 管理者権限やコード実行の奪取については記載がない |
| はい | シークレットの流出 | Nikkei xtech: PICKSから個人情報が漏洩し、skyticketからも情報が流出した |
| いいえ | サプライチェーン | Nikkei xtech: ソフトウェアの配布経路や正規パッケージの侵害は報じられていない |
| いいえ | 修正なし | Nikkei xtech: 修正版の提供状況についての記載はない |
出典
ギフティGで不正アクセス相次ぐ、eギフト5.5億円損失 サーティワンも影響 ↗ xtech.nikkei.com · 2時間前