再春館製薬、不正アクセスで14万人分の情報流出か 32
ストーリー by yoosee
世に情報漏洩のタネは尽きまじ 部門より
世に情報漏洩のタネは尽きまじ 部門より
Anonymous Coward曰く、
再春館製薬は自社のWebサイトに外部から不正アクセスがあり、一部の顧客情報が閲覧されたことを発表。 5月1日夜10時から再春館製薬のサイトは「お知らせとお詫び」に変更されている。
同サイトの案内によれば、2007年5月1日、定例システムチェックを実施した際に通常を上回るアクセス数の記録を確認し、調査の結果一部の顧客情報が漏洩した可能性が発見された。被害を受けたのは顧客情報約27万人のうち、14万1483人分。 閲覧された内容は、氏名、メールアドレス、電話番号、ユーザーID、パスワードと説明しており、 クレジットカード番号、口座番号、その他の情報は閲覧されていない。 同社は情報が閲覧された顧客に対し、お詫びのメールや手紙を送信したとしている。
読売新聞記事 再春館製薬所HPに不正アクセス、顧客情報14万人分流出か によれば、顧客情報が閲覧された時間帯(4月30日午前9時20分〜5月1日午前10時44分)に記録された接続元の場所は中国国内だったという。 通常の接続数は、1日約1万件であるのに対し、顧客情報が閲覧された時間帯の約25時間では、約14万件もの接続があったという。
ある解釈 (スコア:5, すばらしい洞察)
>なお、クレジットカード番号、口座番号、その他の情報につきましては閲覧されていないことが確認出来ております。
「探せばクレジットカード番号と口座番号もあるよ」
って言っちゃってない?
Re:ある解釈 (スコア:4, 参考になる)
口座番号は押印済みの申請用紙が必須なんで、Webから変更できるメリットないし、やっぱり自社管理してないって可能性があります。
決済代行業者任せにすれば、危ないデータは自社で持つ必要が無い
決済代行業者が危なくないのかって話は、また別のお話......
------------
惑星ケイロンまであと何マイル?
Re:ある解釈 (スコア:1)
本質的にはカード番号は決済時(オーソリ時)にしか必要ありません。
(実際に決済を完了させるためには、オーソリ時にもらう承認番号が必要です
ので、こちらは保存しておく必要がありますが)
私なら、オンラインバンキング・トレーディング級の
セキュリティが確保できる自身がなければ、
絶対にカード番号は保存しませんね。
Re:ある解釈 (スコア:2, すばらしい洞察)
「クレジットカード番号、口座番号、その他の情報」と出すのは、顧客へのアナウンスとして
妥当と思いますが。
原因はSQLインジェクション脆弱性? (スコア:3, 興味深い)
Re:原因はSQLインジェクション脆弱性? (スコア:2, おもしろおかしい)
Re:原因はSQLインジェクション脆弱性? (スコア:0)
Re:原因はSQLインジェクション脆弱性? (スコア:0)
データを溜め込みたいのは企業の論理ですけど、管理が甘く漏えい事態になったときには確実に溜め込んだ件数が足かせになると思うのですよ。
サーバー (スコア:2, おもしろおかしい)
内部清掃に○時間
ログ解析に○時間
組み立てに○時間。
Re:サーバー (スコア:1, おもしろおかしい)
一方、イギリスでは (スコア:1, 興味深い)
パスワードは平文だろうか (スコア:1)
閲覧されたパスワードは平文だろうか。ウェブアプリケーションでは多くの場合パスワードはハッシュしてデータベースに格納するかLDAPのような認証基盤を使うと思うんだけど、あとから異なる認証システムに依存したアプリケーションと統合しなけりゃならない可能性があるとかの理由でパスワードを平文のまま格納しているなんて言うケースもあるのかな?
屍体メモ [windy.cx]
Re:パスワードは平文だろうか (スコア:4, 参考になる)
「本人認証(秘密の質問と答えなど)で認証を通ったらパスワードを表示する」という場合は
平文であると考えられます。
今回との件とは関係ないですが、APOPやCRAM-MD5認証を行っているISPで
パスワードを平文保存しているのはご存知の通りです。
ハッシュすると認証機構の拡張性に乏しくなるのは事実ですね。
一種類のハッシュ化メソッドだけによる照合しかできなくなるわけで。
拡張性はセキュリティリスクとのトレードオフなので、管理能力が問われることになります。
Re:パスワードは平文だろうか (スコア:1)
ハッシュ化している場合は「パスワードは暗号化されているため、流出データから本来のパスワードを取得することは極めて困難です」くらいの文言があるのではないかと思います。
httpサーバを足がかりにデータベースもやられたの? (スコア:0)
Re:httpサーバを足がかりにデータベースもやられたの? (スコア:0)
気づくきっかけ (スコア:0)
逆に言えば、アクセス数が少なければ気づかなかったということだな。
誰かがどこかにアドレスを晒したからアクセス数が伸びたんだろうね。
こっそりやられてれば分からなかったんだろう。
Re:気づくきっかけ (スコア:4, おもしろおかしい)
Re:気づくきっかけ (スコア:3, おもしろおかしい)
Re:気づくきっかけ (スコア:1)
犬が犬であるように、猫でありたい
Re:気づくきっかけ (スコア:1)
Re:気づくきっかけ (スコア:1)
アクセス数はもっとも基本的な統計項目で真っ先に目に着いたという可能性もあるのではないでしょうか?
もっとも、一日の統計が出るまで(不正アクセスが行われている瞬間に)気がつかなかったという意味ではその通りですが。
Re:気づくきっかけ (スコア:0)
なので、定期的に統計をきちんと取って確認していると解釈できます。
最近のシステムはパワーがあって呼び出しの閾値にも余裕を持たせられるので、
瞬間的に大量のアクセスが来ないとリアルタイムでは気づかないかもしれません。
それでも、同一アドレスから一定時間に既定以上のアクセスが集中した場合、
ロックをかけたりアラームを上げるように作ることはできると思いますけどね。
万全の管理か? (スコア:0)
アクセスできないと住所変更できないのでは? (スコア:2, すばらしい洞察)
毎回、住所入力させるなら外部から見えないようにしても良いけど、通常は顧客の利便性を考慮しませんか?
そうなれば、お届け先の確認画面とか修正画面が必要になるますのでDBを外部からアクセスする必要があります。
# ディフォルトパスワードが安直だったとか、そういう理由で顧客の登録情報画面を見られてしまったのでは?
notice : I ignore an anonymous contribution.
Re:アクセスできないと住所変更できないのでは? (スコア:0)
普段買い物しない人がいきなりDB閲覧 x 多数とか異常行動出たら即時アラートみたいなシステム組まないと怖いな。
っつーか、それ考えると「会員登録しないと買えません」なんてサイト使えない( ;゚Д゚)
Re:アクセスできないと住所変更できないのでは? (スコア:0)
例の「お試しセット」って、同一人物が繰り返しもらえるわけじゃないよ。
Re:アクセスできないと住所変更できないのでは? (スコア:1)
試供品の送付と顧客の回答のとりまとめで喰ってる会社があるので、リピート率はそれなりに高いのでは?
# アクティブな顧客が何割いるのか、非常に興味があるけど、企業秘だろうな...
notice : I ignore an anonymous contribution.
Re:万全の管理か? (スコア:0)
せめてスラドくらい (スコア:0)
Re:せめてスラドくらい (スコア:0)
外から容易に閲覧できる状態になってたんだろうね