パスワードを忘れた? アカウント作成
15339 story

再春館製薬、不正アクセスで14万人分の情報流出か 32

ストーリー by yoosee
世に情報漏洩のタネは尽きまじ 部門より

Anonymous Coward曰く、

再春館製薬は自社のWebサイトに外部から不正アクセスがあり、一部の顧客情報が閲覧されたことを発表。 5月1日夜10時から再春館製薬のサイトは「お知らせとお詫び」に変更されている。

同サイトの案内によれば、2007年5月1日、定例システムチェックを実施した際に通常を上回るアクセス数の記録を確認し、調査の結果一部の顧客情報が漏洩した可能性が発見された。被害を受けたのは顧客情報約27万人のうち、14万1483人分。 閲覧された内容は、氏名、メールアドレス、電話番号、ユーザーID、パスワードと説明しており、 クレジットカード番号、口座番号、その他の情報は閲覧されていない。 同社は情報が閲覧された顧客に対し、お詫びのメールや手紙を送信したとしている。

読売新聞記事 再春館製薬所HPに不正アクセス、顧客情報14万人分流出か によれば、顧客情報が閲覧された時間帯(4月30日午前9時20分〜5月1日午前10時44分)に記録された接続元の場所は中国国内だったという。 通常の接続数は、1日約1万件であるのに対し、顧客情報が閲覧された時間帯の約25時間では、約14万件もの接続があったという。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • ある解釈 (スコア:5, すばらしい洞察)

    by Anonymous Coward on 2007年05月05日 10時56分 (#1152697)
    再春館製薬所TOPより
    >なお、クレジットカード番号、口座番号、その他の情報につきましては閲覧されていないことが確認出来ております。

    「探せばクレジットカード番号と口座番号もあるよ」
    って言っちゃってない?
    • Re:ある解釈 (スコア:4, 参考になる)

      by Lurch (10536) on 2007年05月05日 11時58分 (#1152710)
      良くあるパターンで、代行業者のサイトを使うと、自社のサーバーにクレジットカード番号は保存されません。
      口座番号は押印済みの申請用紙が必須なんで、Webから変更できるメリットないし、やっぱり自社管理してないって可能性があります。

      決済代行業者任せにすれば、危ないデータは自社で持つ必要が無い

      決済代行業者が危なくないのかって話は、また別のお話......
      --

      ------------
      惑星ケイロンまであと何マイル?
      • by nim (10479) on 2007年05月05日 23時31分 (#1152909)
        少なくともカード決済なら、代行業者であれ自前であれ、
        本質的にはカード番号は決済時(オーソリ時)にしか必要ありません。
        (実際に決済を完了させるためには、オーソリ時にもらう承認番号が必要です
        ので、こちらは保存しておく必要がありますが)

        私なら、オンラインバンキング・トレーディング級の
        セキュリティが確保できる自身がなければ、
        絶対にカード番号は保存しませんね。
    • Re:ある解釈 (スコア:2, すばらしい洞察)

      by faune (23406) on 2007年05月05日 11時30分 (#1152701) ホームページ 日記
      いや、Web通販で顧客はカード情報や(口座引き落としがあれば)口座情報も入力しているだろうから、
      「クレジットカード番号、口座番号、その他の情報」と出すのは、顧客へのアナウンスとして
      妥当と思いますが。
  • by Anonymous Coward on 2007年05月05日 15時07分 (#1152773)
    読売新聞記事 再春館製薬所HPに不正アクセス、顧客情報14万人分流出か によれば、・・・・顧客情報が閲覧された時間帯の約25時間では、約14万件もの接続があったという。
    1アクセスで1件取得のタイプのSQLインジェクションですかね。
  • サーバー (スコア:2, おもしろおかしい)

    by Anonymous Coward on 2007年05月05日 11時40分 (#1152704)
    分解に○時間
    内部清掃に○時間
    ログ解析に○時間
    組み立てに○時間。
  • by Anonymous Coward on 2007年05月05日 11時56分 (#1152707)
    日本での次の流出事件の予想が、ブックメーカーで賭けの対象になっていた。
  • >閲覧された内容は、氏名、メールアドレス、電話番号、ユーザーID、パスワード

    閲覧されたパスワードは平文だろうか。ウェブアプリケーションでは多くの場合パスワードはハッシュしてデータベースに格納するかLDAPのような認証基盤を使うと思うんだけど、あとから異なる認証システムに依存したアプリケーションと統合しなけりゃならない可能性があるとかの理由でパスワードを平文のまま格納しているなんて言うケースもあるのかな?
    --
    屍体メモ [windy.cx]
    • by Anonymous Coward on 2007年05月05日 12時27分 (#1152722)
      「パスワードを忘れた場合、無条件で再発行」であればハッシュしてあるでしょう。
      「本人認証(秘密の質問と答えなど)で認証を通ったらパスワードを表示する」という場合は
      平文であると考えられます。

      今回との件とは関係ないですが、APOPやCRAM-MD5認証を行っているISPで
      パスワードを平文保存しているのはご存知の通りです。
      ハッシュすると認証機構の拡張性に乏しくなるのは事実ですね。
      一種類のハッシュ化メソッドだけによる照合しかできなくなるわけで。
      拡張性はセキュリティリスクとのトレードオフなので、管理能力が問われることになります。
    • 平文の可能性が高いですね。
      ハッシュ化している場合は「パスワードは暗号化されているため、流出データから本来のパスワードを取得することは極めて困難です」くらいの文言があるのではないかと思います。
    • 「サイトに外部から不正アクセス」されてユーザーIDとパスワードが漏れるのはまあわかるとして「氏名、メールアドレス、電話番号」が何故漏れるのか疑問。「お客様のプロフィール画面」みたいなのを見られたのだとしたらパスワードが漏れてるのが謎だし。
  • by Anonymous Coward on 2007年05月05日 11時11分 (#1152698)
    > 定例システムチェックを実施した際に通常を上回るアクセス数の記録を確認

    逆に言えば、アクセス数が少なければ気づかなかったということだな。
    誰かがどこかにアドレスを晒したからアクセス数が伸びたんだろうね。
    こっそりやられてれば分からなかったんだろう。
    • Re:気づくきっかけ (スコア:4, おもしろおかしい)

      by Anonymous Coward on 2007年05月05日 11時30分 (#1152700)
      抽出を一滴一滴見守る人員を一人でも回して、ログを一行一行チェックしていれば…
    • by sanbon (24823) on 2007年05月05日 11時24分 (#1152699)
      そうとも限らないと思います。
      アクセス数はもっとも基本的な統計項目で真っ先に目に着いたという可能性もあるのではないでしょうか?
      もっとも、一日の統計が出るまで(不正アクセスが行われている瞬間に)気がつかなかったという意味ではその通りですが。
      • by Anonymous Coward
        > 定例システムチェックを実施した際に通常を上回る
        なので、定期的に統計をきちんと取って確認していると解釈できます。

        最近のシステムはパワーがあって呼び出しの閾値にも余裕を持たせられるので、
        瞬間的に大量のアクセスが来ないとリアルタイムでは気づかないかもしれません。

        それでも、同一アドレスから一定時間に既定以上のアクセスが集中した場合、
        ロックをかけたりアラームを上げるように作ることはできると思いますけどね。
  • by Anonymous Coward on 2007年05月05日 14時11分 (#1152754)
    過去何年分か判らないけど16万のデータを外部からアクセスできるサーバーに入れっぱなしっつーのは十分無用心だと思う。
    • by Dobon (7495) on 2007年05月05日 14時46分 (#1152767) 日記
      試供品の送付用って事なので、リピート率は高いはず。
      毎回、住所入力させるなら外部から見えないようにしても良いけど、通常は顧客の利便性を考慮しませんか?
      そうなれば、お届け先の確認画面とか修正画面が必要になるますのでDBを外部からアクセスする必要があります。

      # ディフォルトパスワードが安直だったとか、そういう理由で顧客の登録情報画面を見られてしまったのでは?
      --
      notice : I ignore an anonymous contribution.
  • by Anonymous Coward on 2007年05月05日 23時06分 (#1152902)
    「不正アクセス」でないものを「不正アクセス」と呼ぶのはやめようではないか。
typodupeerror

日々是ハック也 -- あるハードコアバイナリアン

読み込み中...