「情報漏えい、当社に関係なし」の嘘(第7回)ぴあですら個人情報流出の可能性。守りは急務

脅威・サイバー攻撃

公開日:2017.05.12

  • PDF PDF
  • ボタンをクリックすることで、Myクリップ一覧ページに追加・削除できます。追加した記事は、「Myクリップ」メニューからいつでも読むことができます。なお、ご利用にはBiz Clipに会員登録(無料)してログインする必要があります。

 またしても大手企業から個人情報流出か?というニュースが流れてきた。2017年4月25日にチケット販売大手のぴあが、運営を受託しているサイトから15万件余りの個人情報流出の可能性があると発表したのだ。クレジットカード情報を含む個人情報の流出で、現実にクレジットカードの不正利用も確認される事態にまで発展した。

 経緯は以下のようなものだった。個人情報が流出した可能性があるのは、ぴあが運営を受託しているB.LEAGUE(公益社団法人ジャパン・プロフェッショナル・バスケットボールリーグ)のB.LEAGUEチケットサイトとファンクラブ受付サイトのサーバー。何者かがサーバーにサイバー攻撃を仕掛けた。これにより最大で、約15万5000件の個人情報が悪意ある第三者に流出した。そのうち約3万2000件はクレジットカード情報を含むという。

流出した情報からクレジットカード不正利用も

 今回のぴあの事件では実害が生じた。情報セキュリティー対策の必要性が改めて実感させられる。ぴあによる4月21日の集計時点で、197件、計約630万円のクレジットカードの不正利用が確認された。ぴあは不正使用分の金額を負担して、クレジットカード会社を通じ補償する。さらに被害の拡大についてもクレジットカード各社と連携して、情報が流出した可能性のあるクレジットカードによる取引のモニタリングを強化。さらなる不正利用の防止に努めるという。

 今回の情報流出の直接的な原因は、JavaのWebアプリケーションフレームワーク「Apache Struts2」の脆弱性を突かれたことにある。Apache Struts2は、Apache Software Foundationが開発するオープンソースのソフトだ。Webアプリケーションを開発する際に、国内外で一般的に使われる。2017年3月9日、情報処理推進機構(IPA)はApache Struts2の脆弱性の最新情報を公開し、任意のコードが実行される可能性を指摘した。対策として、IPAでは最新バージョンへのアップデートを実施するように促している。

 一般的に使われるApache Struts2だけに、情報流出のリスクはどのような企業や団体でもあったはずだ。ただ、多くは対策を施しリスクを回避できた。ぴあもIPAの発表を受けて、脆弱性の存在を認識していた。ところが、今回のB.LEAGUEチケットサイトとファンクラブ受付サイトのサーバーでは、想定外のことが起こっていた。ぴあでは、これらのサーバー上に、クレジットカード情報などの個人情報が「ない」と判断していたのだ。だが、実際にはクレジットカード情報がサーバー上に保存されていた。「ない」はずの個人情報が、サーバーの脆弱性を突いた攻撃で、外部に流出してしまったのだ。

システムリスクには「人間」の関与も考慮

続きを読むにはログインが必要です

\ かんたん入力で登録完了 /

会員登録3つのメリット!!

  • 最新記事をメールでお知らせ!
  • すべての記事を最後まで読める!
  • ビジネステンプレートを無料ダウンロード!

執筆=岩元 直久

【MT】

あわせて読みたい記事

「脅威・サイバー攻撃」人気記事ランキング

連載バックナンバー

無料!おすすめのダウンロード資料

  • 企業の情報セキュリティリスク認知調査2023

    企業の情報セキュリティリスク認知調査2023

    テクノロジーの進化によって、生産性の向上や多様な働き方の実現などの恩恵がもたらされる一方、サイバー攻撃も多様化・複雑化の一途をたどっています。こうした中、攻撃手法などの情報セキュリティリスクをどれくらい認知しているのだろうか。その最新動向について調査しました。

  • 情報セキュリティ対策意識調査2022

    情報セキュリティ対策意識調査2022

    DX推進が企業にとって成長のドライバーとなる中、サイバー攻撃も多様化・複雑化の一途をたどっています。AIやRPAなど各種のICTテクノロジーや、社内外のコミュニケーションを円滑化するクラウドストレージ活用が進む現在、企業における情報セキュリティ対策はどうなっているのだろうか。対策度合いや、脅威に感じるもの、対策をするうえでの課題などの最新動向について調査を行いました。

  • その対策は効果ナシ!セキュリティの常識を検証する

    その対策は効果ナシ!セキュリティの常識を検証する

    サイバー攻撃の被害が深刻化し、従来のセキュリティの常識が 崩れ始めています。本当に必要な対策とは何か?情報セキュリティ大学院大学の大久保隆夫教授にお聞きしました。

オンラインセミナー動画

人気
  • 新着記事

配信期間

配信期間:2023年9月15日(金)~2024年8月30日(金)

セキュリティ関連

【経済産業省サイバーセキュリティ課登壇】 サイバー攻撃に対して中小企業が取るべき対策とは