Information
SIPS Security Report

【配信日】 2020年10月26日

狙われるショッピングサイト、流出するクレジットカード情報

今年8月の後半から日本のショッピングサイトに対する不正アクセスが多発している。
ネットニュースで公開されていただけでも、20社以上のショッピングサイトが不正アクセスによる被害を受けていてクレジットカード情報を含む様々な個人情報が流出している。
そして確認できているクレジットカード情報の流出数は合計するとこの3ヶ月で約7万人にも上る。

何故ショッピングサイトが狙われているのか？サイトのセキュリティはどうなっているのか？
この約2ヶ月間にはドコモ口座から始まりキャッシュレスペイサービスを不正利用したサイバー犯罪や証券会社になりすましログインによる不正送金など世間を賑わせたサイバー犯罪があったが、その裏でショッピングサイトがハッキングされ大量の個人情報が盗み取られていた。

中国ブラックマーケットでは8月から現在までにショッピングサイトの情報売買に関する掲示は23件確認されているが、1月から6月の半年間で17件の売買情報掲示だったことからみると、この3ヶ月は異常なペースで増加していることがわかる。
おそらくハッキング被害を受けた会社の情報がこの3ヶ月で売買されている情報に含まれているのは間違いがないだろう。

この3ヶ月でハッキング被害を受けた会社が急増していることから、少し注目して各社の状況を調査してみると被害を受けた会社の約半数近くが同じプロバイダーのサービスを受けていることが分かった。
誰もが知る超有名な大企業である。

中国ブラックマーケットでは、ハッキングして権限情報を奪取したサーバをブラックマーケット内のサイバー攻撃者達が共有していて、その情報を基に様々なサイバー攻撃を繰り返している。
SIPSではこのハッキングしたサーバの権限情報を使い独自開発したシステムがあり、過去のデータをDB化してある。
このシステムを使うと、IPアドレスやプロバイダー名からハッキングされたサーバの情報が簡単に確認可能であり、ハッキングされたショッピングサイトで多数利用されている有名プロバイダーの被ハッキング数を確認してみると既に13万台ものサーバがハッキングされ権限情報を奪われている状況であった。

おそらくサイバー攻撃者は既にバックドアのような自由に出入りできるルートを確保し、プロバイダー内に侵入し、任意にサーバをハッキングして情報を抜き取っているのであろう。

日本では電気通信事業法等により「通信の秘密」という条項が定められていて、サービスを提供するプロバイダーが自社の設備であっても、第三者にサーバを提供してる場合は、そのサーバの中を確認することが出来ない。
仮に借主のサーバで大量の(不正な)通信が発生していても、プロバイダーはそれを確認して借主に通知出来ないため、サイバー攻撃者達にとっては好都合と言う訳だ。

ショッピングサイトのハッキングによる情報流出はクレジットカード情報が含まれていることから、実際にはハッキングを受けた会社だけではなく、流出した情報の本人がその後被害を受ける可能性が高い。
流出したクレジットカード情報は、中国ブラックマーケットだけではなくダークウェブなど世界中のサイバー犯罪者たちが集まる闇市場で売買されている。

コロナ禍でネット利用が通常の現在、搾取したクレジットカード情報を使いネット販売で物を買う。
送り先は倉庫や人のいないマンションの一室などが多く、時には海外転送サービスも悪用する。
商品はブランド品や家電、PC、ゲーム機など高く売却できるものを選ぶ。
直接売買しなくてもフリマアプリやオークションなどを使っても現金に替えることもできる。

様々なハッキングで入手した情報の中でも特にクレジットカード情報は高く売れるのである。
最近では公式サイトそっくりな偽サイトも出てきている。目的はクレジットカード情報である。
人気の掃除機を購入する時に、クレジットカード情報を含む個人情報を入力させるのである。
目的は情報搾取なのだから当然商品は届かない。いわゆるフィッシングサイトだ。

特別定額給付金の第2回目というフィッシングメールも出回っているが、フィッシングに遭うとどうなるか体験できるサイトを警視庁が作っているので、一度体験してみるのもいいかもしれない。

最近の中国ブラックマーケットでの書き込み情報を見ていると、この1ヶ月程で特に多く名指しで売買情報が頻発しているショッピングサイトがある。正直異常なほど掲示がある。
そのショッピングサイトにアクセスしても簡単な注意事項しか記載がない。
つまりハッキングされ情報を搾取されていることも分かっていないという事である。
大きな事故にならなければいいが・・・と願うばかりである。

このような状況の中、クレジットカード情報は既に流出しているものであると考え、利用額の変更やパスワードの変更など、個人で出来ることもしておきたい。
ショッピングサイト運営者は自社が被害を受けるだけでなく、第三者の個人に迷惑をかけるという事を今一度理解してきちんとした対応を取って頂きたい。

　<参考URL>
NHK：2020/10/21
“公式そっくり” 偽の通販サイト 消費者庁が注意呼びかけ
https://www3.nhk.or.jp/news/html/20201021/k10012674261000.html?utm_int=news-new_contents_list-items_001

サイバーセキュリティ総研：2020/10/14
約5年間顧客の個人情報窃取され続けていた 青山学院購買会通販サイト
https://cybersecurity-info.com/news/aogaku-mail-order-site-unauthorized-access/

＠Press：2020/10/15
警視庁がフィッシング詐欺をバーチャル体験できるサイトを公開
https://www.atpress.ne.jp/news/230493