通販サイトのペイメントアプリ改ざんで、3年間にわたりカード情報が漏えいか？ 「下鴨茶寮オンラインショップ」

株式会社下鴨茶寮のウェブサイトに10月31日付で掲載されたお知らせ

　株式会社下鴨茶寮は10月31日、同社が運営する「下鴨茶寮オンラインショップ」への不正アクセスにより、利用者の個人情報1万9235件と、クレジットカード情報1万6682件が漏えいした可能性があることを発表した。クレジットカード番号のほか、有効期限やセキュリティコードの情報も含まれており、一部の利用者のクレジットカード情報が不正に使用された可能性があることも確認されたという。

　個人情報が漏えいした可能性があるのは、2024年5月13日までに同オンラインショップにおいて会員登録を行った1万9235人で、対象となる情報の種類は以下。

• 氏名
• 住所
• 電話番号
• 性別
• 生年月日
• メールアドレス
• ID
• 配送先情報

　クレジットカード情報が漏えいした可能性があるのは、2021年6月12日～2024年5月13日の期間に同オンラインショップにおいてクレジットカード決済を行った1万6682人で、対象となる情報の種類は以下。

• クレジットカード会員名義人名
• クレジットカード番号
• 有効期限
• セキュリティコード

　同社では、対象者にメールまたは書面で個別に連絡する。あわせて、カード会社と連携し、情報が漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続するとしているが、対象者においてはクレジットカードの利用明細書に身に覚えのない請求項目がないか確認し、万が一身に覚えのない請求項目があった場合はカード会社に問い合わせてほしいと呼び掛けている。なお、クレジットカードの再発行を希望する場合は、利用者にカード再発行の手数料負担をかけないよう、同社からカード会社に依頼するとしている。

原因はペイメントアプリケーションの改ざん

　下鴨茶寮では7月16日、同社サイト利用者のクレジットカード情報の漏えいの懸念についてカード会社から連絡があったことを受け、クレジットカード決済を停止。7月18日、不正アクセスによるシステム侵害の可能性について公表し、その後、第三者調査機関による調査を開始していた。9月2日に調査が完了したことを受けて、今回の調査結果の発表となった。

　原因は、下鴨茶寮オンラインショップのシステムの一部の脆弱性を突いた不正アクセスにより、ペイメントアプリケーションの改ざんが行われたためだとしている。

　同オンラインショップは5月14日、環境の異なる新しいシステムに移行しているという。今回の不正アクセスは移行前の旧システムに対するものであり、旧システムが稼働していた5月13日までに会員登録していた利用者の個人情報が漏えいしている可能性があると判断しているとのことだ。

　なお、新システムにおいては、個人情報の漏えい、およびクレジットカード情報の漏えいは確認されていないとしている。