先週のサイバー事件簿 - PayPalで一部顧客の残高が移動したように見える不具合
11月22日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。
○PayPal、システム不具合で引き出し処理が誤動作
PayPalは11月23日、システム不具合によって一部顧客の銀行口座への引き出処理が誤って行われたと発表した。ペイパルのアカウント残高が移動したように見えるという減少だった。
同社によると、システムエラーに起因するもので不正アクセスによるものではないとのこと。改正資金決済法対応に伴うシステム処理との関係もない。
11月26日には、影響を受けたペイパルアカウントの大部分で日本円残高が回復。日本円以外の通貨についても、アカウント残高の早急な回復を実施中。
○QNAPのNASにスタックバッファオーバーフローの脆弱性
11月12日の時点で、QNAPのNAS向けアプリ「Multimedia Console」に脆弱性を確認している。影響を受ける製品は、Multimedia Consoleを実行しているQNAP NAS製品。
脆弱性はスタックバッファオーバーフローで、悪用されると攻撃者が任意のコードを実行する可能性がある。セキュリティの重要度が「高」と高いため注意が必要だ。
すでに脆弱性を解消した最新バージョンを公開済み。アップデート後のバージョンは、Multimedia Console 1.4.3、Multimedia Console 1.5.3となる。
○auやKDDIを騙るSMSに注意
11月26日の時点で、auもしくはKDDIを騙るSMSが拡散している。SMSの内容は以下の通り。
【auからの重要なお知らせ】ご利用金額が設定した金額を超えました。ご確認が必要です。（URL）
auお客さまセンターです。ご利用料金のお支払い確認が取れておりません。ご確認が必要です（URL）
【KDDI】利用料金の未払い金があります。お支払い期限を過ぎた利用料金があります。ご確認ください（URL）
共通しているのは、内容が利用料金の支払いについてのものであること。料金未払いという内容で不安を煽り、URLをクリックさせる狙いだ。クリックするとフィッシングサイトへ飛ばされる。11月26日の時点でフィッシングサイトは稼働中なので注意したい。
○スイーツ専門店の西光亭ネットショップでクレジットカード情報3,079件が流出
サンタネが運営する「西光亭ネットショップ」で不正アクセス被害が発生した。不正アクセスはシステムの一部の脆弱性をついた改ざんによるもので、クレジットカード決済時の入力情報やデータベースを不正に閲覧できる状態となっていた。
不正アクセスが発覚したのは2021年6月16日。西光亭ネットショップのシステム開発元から脆弱性の連絡を受けて点検したところ、不正アクセスの痕跡を発見。同日、ネットワーク遮断とシステム停止を実行した。
第三者機関による調査の結果、2021年3月10日〜2021年6月16日の期間に「西光亭ネットショップ」でクレジットカード決済をした顧客のクレジットカード情報（3,079件）に流出の可能性があること、メールアドレスやパスワードなどの情報漏えい、攻撃者によるデータベースへの不正アクセスの可能性を確認した。
流出した情報の詳細は、カード名義人、カード番号、有効期限、セキュリティコード、メールアドレス、パスワード、顧客操作端末のIPアドレス、注文日、注文時間。データベースの不正閲覧では、氏名、メールアドレス、住所、電話番号、FAX番号、生年月日、会員パスワード（暗号化済みで復元できない状態）が流出した可能性があるという。
同社はクレジットカード会社と連携し、流出したクレジットカード情報による取引のモニタリングを継続して実施。顧客に対しては、クレジットカードの利用明細書に不審な請求項目がないかどうかの確認を呼びかけている。合わせて、会員登録していた顧客のパスワードリセットも実行。システムのセキュリティ対策と監視体制の強化など、再発防止策も徹底するとしている。
○経済同友会事務局システムが不正アクセス被害
経済同友会事務局の情報システムに対する不正アクセスが確認された。同会は、現時点で個人情報を含む情報流出の可能性が高いと判断し、緊急対応として情報システムの一部稼働を停止している。
同会は昨年（2020年）もランサムウエア攻撃を受けており、その際にセキュリティ強化を推進してきたが、再びサイバー攻撃に見舞われる結果となった。一部情報によると、流出した情報は経済同友会に所属する会員の名前、電話番号、メールアドレスなどのデータとのこと。現在は専門調査会社とともに対応を実施しており、新たな事実が判明した場合にはホームページなどで告知するとしている。
○PayPal、システム不具合で引き出し処理が誤動作
PayPalは11月23日、システム不具合によって一部顧客の銀行口座への引き出処理が誤って行われたと発表した。ペイパルのアカウント残高が移動したように見えるという減少だった。
同社によると、システムエラーに起因するもので不正アクセスによるものではないとのこと。改正資金決済法対応に伴うシステム処理との関係もない。
○QNAPのNASにスタックバッファオーバーフローの脆弱性
11月12日の時点で、QNAPのNAS向けアプリ「Multimedia Console」に脆弱性を確認している。影響を受ける製品は、Multimedia Consoleを実行しているQNAP NAS製品。
脆弱性はスタックバッファオーバーフローで、悪用されると攻撃者が任意のコードを実行する可能性がある。セキュリティの重要度が「高」と高いため注意が必要だ。
すでに脆弱性を解消した最新バージョンを公開済み。アップデート後のバージョンは、Multimedia Console 1.4.3、Multimedia Console 1.5.3となる。
○auやKDDIを騙るSMSに注意
11月26日の時点で、auもしくはKDDIを騙るSMSが拡散している。SMSの内容は以下の通り。
【auからの重要なお知らせ】ご利用金額が設定した金額を超えました。ご確認が必要です。（URL）
auお客さまセンターです。ご利用料金のお支払い確認が取れておりません。ご確認が必要です（URL）
【KDDI】利用料金の未払い金があります。お支払い期限を過ぎた利用料金があります。ご確認ください（URL）
共通しているのは、内容が利用料金の支払いについてのものであること。料金未払いという内容で不安を煽り、URLをクリックさせる狙いだ。クリックするとフィッシングサイトへ飛ばされる。11月26日の時点でフィッシングサイトは稼働中なので注意したい。
○スイーツ専門店の西光亭ネットショップでクレジットカード情報3,079件が流出
サンタネが運営する「西光亭ネットショップ」で不正アクセス被害が発生した。不正アクセスはシステムの一部の脆弱性をついた改ざんによるもので、クレジットカード決済時の入力情報やデータベースを不正に閲覧できる状態となっていた。
不正アクセスが発覚したのは2021年6月16日。西光亭ネットショップのシステム開発元から脆弱性の連絡を受けて点検したところ、不正アクセスの痕跡を発見。同日、ネットワーク遮断とシステム停止を実行した。
第三者機関による調査の結果、2021年3月10日〜2021年6月16日の期間に「西光亭ネットショップ」でクレジットカード決済をした顧客のクレジットカード情報（3,079件）に流出の可能性があること、メールアドレスやパスワードなどの情報漏えい、攻撃者によるデータベースへの不正アクセスの可能性を確認した。
流出した情報の詳細は、カード名義人、カード番号、有効期限、セキュリティコード、メールアドレス、パスワード、顧客操作端末のIPアドレス、注文日、注文時間。データベースの不正閲覧では、氏名、メールアドレス、住所、電話番号、FAX番号、生年月日、会員パスワード（暗号化済みで復元できない状態）が流出した可能性があるという。
同社はクレジットカード会社と連携し、流出したクレジットカード情報による取引のモニタリングを継続して実施。顧客に対しては、クレジットカードの利用明細書に不審な請求項目がないかどうかの確認を呼びかけている。合わせて、会員登録していた顧客のパスワードリセットも実行。システムのセキュリティ対策と監視体制の強化など、再発防止策も徹底するとしている。
○経済同友会事務局システムが不正アクセス被害
経済同友会事務局の情報システムに対する不正アクセスが確認された。同会は、現時点で個人情報を含む情報流出の可能性が高いと判断し、緊急対応として情報システムの一部稼働を停止している。
同会は昨年（2020年）もランサムウエア攻撃を受けており、その際にセキュリティ強化を推進してきたが、再びサイバー攻撃に見舞われる結果となった。一部情報によると、流出した情報は経済同友会に所属する会員の名前、電話番号、メールアドレスなどのデータとのこと。現在は専門調査会社とともに対応を実施しており、新たな事実が判明した場合にはホームページなどで告知するとしている。
