エディオン、「含まれない」としたカード情報とパスワードが一転　漏えいの可能性

　エディオンは11月9日、同社のECサイトへの不正アクセスに関する第2報を発表した。11月6日の第1報では確認されていないとしていたクレジットカード情報とログインパスワードについて、その後の詳細解析で一部が含まれていたことが判明したとして、訂正して報告した。

　まず、調査の進展で次の漏えい対象が判明した。クレジットカード情報は、注文時のエラーログに一時記録されていた最大5件で、カード番号、有効期限、カード名義人、セキュリティコードが含まれる。ギフトカード情報は5,360枚分で、カード番号、PIN、利用履歴が対象。ログインIDとパスワードは最大1,141名分という。

　加えて、ECサイト内の決済関連の処理で、外部の第三者により不正なプログラムが組み込まれる改ざんが行われていたことも判明した。このプログラムは11月4日19時過ぎから稼働していたという。クレジットカード決済は「非保持化」に対応しており、サーバーに情報を残さない仕組みだが、パソコン向けの決済情報入力処理が改ざんされたため、パソコンから決済画面に入力されたカード情報が直接第三者に漏えいした可能性を否定できないとしている。対象は最大556回分で、スマートフォンからの決済入力は対象外だった。

　抑止策も示した。ギフトカードは、ECサイト以外ではカード原本の提示が必要で、ECサイトが停止中の現在は漏えいした情報だけで不正利用されることはないという。新規ログイン時には2段階認証が必要なため直ちに不正利用が行われる状況ではないとし、対象者には順次、パスワードの変更を依頼するメールを送る。カード情報については、提携する各クレジットカード会社に不正利用の監視強化を依頼した。

　ECサイトと公式アプリなどは11月7日22時から緊急停止している（停止日時は11月10日付で訂正）。アプリは11月8日21時10分からデジタル会員証機能などに限って再開したが、ECサイトは停止が続き、再開日は未定という。

　11月4日19時以降にパソコンで新規にカード情報を入力した顧客には、利用明細の確認を呼びかけている。同社は個人情報保護委員会と所轄の警察署への追加報告を準備しており、新たな事実が判明しだい報告するとしている。