家電量販店大手のエディオンは11月9日、自社の通販サイト（ECサイト）への不正アクセスについて第2報を公表した。パソコン向けの決済情報の入力画面に外部の第三者が不正なプログラムを組み込んでおり、11月4日19時過ぎ以降に入力されたクレジットカードの番号、有効期限、名義、セキュリティコードが最大556回分、第三者に渡った可能性がある。11月6日の第1報はカード番号とログインパスワードは含まれないと説明していたが、これを訂正した。同社は11月7日22時から通販サイトを止めており、再開の時期は決まっていない。
決済画面の改ざんで、入力したその場から流出の恐れ
第2報によると、今回新たに分かったのは、通販サイトの決済に関わる処理が改ざんされていたことだ。不正なプログラムは11月4日19時過ぎから稼働していた。
エディオンの通販サイトは、カード決済で「非保持化」に対応している。カード情報を自社のサーバーに残さない仕組みで、利用者が入力した番号は同社のデータベースには記録されない。ところが今回は、パソコン向けの入力画面そのものに不正なプログラムが組み込まれていたため、入力されたカード情報が直接第三者に送られた可能性を否定できないという。サーバーに情報を残さない仕組みでも、利用者が番号を打ち込む画面が書き換えられれば、その場で抜き取られることになる。
対象は、11月4日19時以降にパソコンから決済画面で新たにカード情報を入力した場合に限られる。件数は人数ではなく入力の回数で示しており、最大556回だ。同じ人が複数回入力していれば人数はこれより少なくなる。スマートフォンからの操作と決済の入力は、不正なプログラムの対象外だったと確認したという。
第1報の調査からも、カード番号やパスワードが見つかる
第2報は、第1報で調べていた不正アクセスの範囲についても、新たに分かった情報を挙げた。
| 区分 | 漏えいした情報 | 件数 |
|---|---|---|
| 決済画面の不正プログラム | カード番号、有効期限、名義、セキュリティコード | 最大556回 |
| 注文時のエラーログ | カード番号、有効期限、名義、セキュリティコード | 最大5件 |
| エディオンギフトカード | カード番号、PIN、利用履歴 | 5,360枚 |
| ログイン情報 | ログインIDとパスワード | 最大1,141人分 |
注文画面でエラーが起きたとき、例外的に入力内容がシステムのログに一時的に記録されていた。これが最大5件ある。プリペイド式のエディオンギフトカードは、番号とPINだけで使えるのは通販サイトに限られ、店舗では実物のカードを示す必要がある。同社は、通販サイトを止めているいまは、漏れた情報だけで第三者が不正に使うことはできないとしている。ログイン情報については、新たにログインするときは2段階の認証が要るため、直ちに不正に使われる状況ではないと説明した。
第1報で示した範囲は、通販サイトの稼働状況などを記録する「ログファイル」の保存領域への不正アクセスだった。システムの脆弱性を突かれたもので、氏名、メールアドレス、電話番号、生年月日、住所などが最大4,131人分、注文番号や注文金額などが最大9,554人分、漏えいした可能性があるとしていた。両方に当てはまる人がいるため、対象の人数は合計の1万3,685人を下回る。顧客データベースの本体への不正アクセスは確認されていないとしていた。
「通常どおり利用できる」から3日で停止
エディオンが通販サイトのサーバーへの不正アクセスを確認したのは11月5日18時30分ごろだった。翌6日の第1報では、不正な通信はすでに遮断し、同じ手口を防ぐ技術的な対策を終えたと説明した。外部のセキュリティ専門機関から安全性が保たれているとの評価を得たとして、通販サイトは「引き続き通常どおりご利用いただけます」としていた。
しかし第2報によると、決済画面の不正なプログラムは11月4日19時過ぎから動いており、第1報を出した時点も対象の期間に含まれる。その後の監視と詳しい調査で新たな不正アクセスの痕跡が見つかり、同社は11月7日22時に通販サイトと公式アプリを止めた。第2報は当初、停止を「11月8日」と記していたが、翌10日に「11月7日22時」と訂正した。
公式アプリ2種（エディオン公式アプリ、エディオンスマートアプリ）は、つながるサーバーやファイルを点検し、不正なプログラムの影響が無いことを確かめたとして、11月8日21時10分から会員証とクーポンの表示などに絞って再開した。通販サイトは止めたままで、再開は未定だ。
本紙はこれまでも、ニトリHDに不正アクセス、個人情報最大3762万件が流出の恐れ カード情報は対象外やMUJI Card番号の全桁、約109万件もアクセスされた可能性 良品計画が第二報を報じてきた。良品計画も第一報でカード情報を対象外としたあと、第二報で範囲を広げている。
該当する人は明細の確認を
エディオンは、11月4日19時以降にパソコンから通販サイトで新たにカード情報を入力した人に、カードの利用明細に身に覚えのない請求が無いか確かめるよう求めている。不審な請求に気付いたら、カード裏面に書かれた窓口へ連絡する。同社は提携するカード会社に、該当期間の利用分とエラーログの5件について不正利用の監視を強めるよう頼んだ。
ログイン情報が漏れた1,141人には、パスワードの変更を求めるメールを順に送る。ギフトカード5,360枚の扱いは検討中で、方針が決まり次第、対象者に知らせるという。同社をかたる不審なメールやSMS、電話にも注意するよう呼びかけた。
第1報の時点で個人情報保護委員会に報告しており、第2報では、委員会と所轄の警察署へ追加で報告する準備を進めているとした。問い合わせはお客様相談センター（0120-77-0095、9時〜18時）で受け付ける。
「非保持化」でも防げない手口、業界は対策を必須に
カード情報の管理は法律で義務づけられている。割賦販売法第35条の16は、カード番号を取り扱う販売業者などに、経済産業省令で定める基準に従い、漏えいを防ぐなど適切に管理する措置をとるよう求めている。実務の指針として「クレジットカード・セキュリティガイドライン」がある。
日本クレジット協会が公開するガイドラインのFAQ（6.0版）は、非保持化を「自社で保有する機器・ネットワークにおいて『カード情報』を『保存』、『処理』、『通過』しないこと」と定義する。そのうえでFAQは、通販の加盟店で起きている最近の漏えいの傾向として、カード情報が自社を通らない「非通過型」の決済システムを入れた場合でもカード情報の窃取が起きていると指摘する。このため2025年4月以降、通販の加盟店には「脆弱性対策」が指針上の対策となり、対応が必須になったと説明している。
FAQは、電話での通話記録にカード情報を保存する場合を非保持化の定義の例外に挙げている。通話録音からカード番号が取得されたロート製薬、顧客279万人分の情報漏えい 通話録音からカード番号も9715人分は、この例外にあたる経路だった。
今回のエディオンの件は、カード情報を保存しない仕組みを取っていても、入力画面を書き換えられれば情報が抜き取られることを示した。第2報は、不正なプログラムがいつ、どのような経路で組み込まれたのか、第1報で見つかった脆弱性とつながりがあるのかを明らかにしていない。556回の入力が何人分にあたるのかも示していない。同社は、影響の範囲の特定など新たな事実が分かり次第、知らせるとしている。