お問い合わせ
本記事では、全国漁業協同組合連合会が運営する通販サイト【JFおさかなマルシェ ギョギョいち】が不正アクセスされ、通販サイトを改ざんされた結果、合計3万件以上の個人情報漏洩のおそれがある件について公式リリースや報道記事をもとに専門家目線で解説しています。
出典：JF全漁連
目次
【JFおさかなマルシェ ギョギョいち】が不正アクセスを受ける
2024年5月14日に、JF全漁連は警視庁から、「JFおさかなマルシェ ギョギョいち」のサイト内のプログラムの一部が不正に改ざんされていることについて連絡を受け、同日にサイトを停止しました。
その後、警視庁への全面的な協力ならびに第三者調査機関によるフォレンジック調査を進めたことを発表しています。
出典：JF全漁連
【ギョギョいち】調査結果によるとサイト改ざんか
2024年8月19日にJF全漁連は、第三者調査機関による調査結果を公表しました。フォレンジック調査によると、以下個人情報が漏えい懸念対象となったそうです。
- サイトに会員登録された顧客【21,728件】
- 2021年4月22日～2024年5月14日の間に購入された顧客【11,844件】
- 氏名
- 性別
- 生年月日
- メールアドレス
- 郵便番号
- 住所
- 電話番号
- クレジットカード番号
- クレジットカードの有効期限
- クレジットカードのセキュリティコード
出典：JF全漁連
ギョギョいちへの不正アクセスの手口
不正アクセスの手口として、全国漁業協同組合連合会が利用しているサイト構築サービスのクロスサイトスクリプティングの脆弱性が挙げられています。
クロスサイトスクリプティングの脆弱性をついたことによる第三者の不正アクセスがにより、不正ファイルの設置及びペイメントアプリケーションの改ざんが行われたと発表がありました。
「クロスサイトスクリプティング（XSS）」とはWebサイトの脆弱性を悪用して、悪意のあるスクリプトをWebブラウザに実行させる攻撃です。攻撃者はXSSを利用して、ウェブサイトの見た目や内容を変更することが可能です。
＞クロスサイトスクリプティング（XSS）攻撃とは？仕組みや対策について解説
全国漁業協同組合連合会の行った対応
全国漁業協同組合連合会は、サイトに登録のある顧客全員にメールに連絡、調査結果などを行ってきました。
監督官庁である個人情報保護委員会には、2024年5月15日に報告済みとのことです。
さらに、クレジットカード会社と連携し、顧客に対してのサポートを行っています。
- 漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めている。
- 顧客には、クレジットカードの利用明細書に身に覚えのない請求項目がないか、再度ご確認いただくようお願いしている。
- 身に覚えのない請求項目があった場合は、クレジットカードの裏面に記載されているカード会社にお問い合わせするようお願いしている。
- 被害があった可能性のあるクレジットカードについては、再発行を希望される場合、手数料が発生しないようクレジットカード会社に依頼している。
Webサイトの脆弱性とは？
脆弱性とはセキュリティ上の欠点を指しており、Webサイトはアプリケーションやソフトウェアで構築されています。つまりWebサイトの脆弱性とは、構成されているアプリケーションやソフトウェアの脆弱性ということです。
開発元が利便性向上やセキュリティ向上のため日々更新していますが、社内のリソース不足などが原因でアップデートされず脆弱性が放置されていると攻撃を受ける可能性が高くなります。
定期的に脆弱性診断を行うことで、セキュリティの脆弱性を洗い出し、対策を行うことができます。
＞脆弱性診断を実施する基準とは？考慮すべきポイントなどを解説
今回の手口は「クロスサイト・スクリプティング」(XSS)に該当します。
クロスサイト・スクリプティングとはターゲットとなるWEBサイトの脆弱性を利用して閲覧したユーザーを悪質なサイトへ誘導するスクリプトを挿入するサイバー攻撃です。
「ギョギョイチ」というWebサイトを信頼できるものとして使用していたユーザーは疑うこともなく悪質なサイトに誘導されていたことが予想できます。
実際にどういった手口で改ざんが行われたのかは、きちんと調査しなければ分かりません。
調査してみると重大な脆弱性が放置されていたことが発覚するケースもあるため、WEBサイトの改ざん被害に遭った際は一刻も早く専門家によるフォレンジック調査を行うことが望ましいです。
フォレンジック調査とは
フォレンジック調査とは、サイバー攻撃、情報漏えい、データ改ざんなどのセキュリティ関連インシデントが発生した際に、その原因を特定し、被害の範囲や影響を明らかにするための詳細な調査手法です。
もともとフォレンジック調査は、犯罪や事件が起きた時、その現場から犯行の手掛かりとなる「鑑識」を指していました。特にデジタルデータからの証拠収集・分析は「デジタル鑑識」あるいは「デジタル・フォレンジック」とも呼ばれます。
インシデントが起きた場合、特定の機関に報告義務が発生する場合があります。自社だけの調査では、調査報告をしても認められない場合があり、第三者機関で調査を行うのが一般的です。
私たちデジタルデータフォレンジック（DDF）には、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応実績があり、IPAからも承認を得ています。
相談や見積もりを無料で受け付けています。いつでも対応できるよう、24時間365日体制でご相談を受け付けておりますので、まずはお気軽にご相談ください。
＼相談から最短30分でWeb打ち合わせを開催／
DDFは累計ご相談件数3.2万件以上のフォレンジック調査サービスです
まとめ
今回の記事では、【JFおさかなマルシェ ギョギョいち】不正アクセスされ情報漏洩が発生した件についてまとめました。
今回の手口はWebサイト改ざんと呼ばれるものです。Webサイト改ざんについて詳しく知りたい方は、下記に解説記事がありますのでお読みください。
関連記事
この記事を書いた人
デジタルデータフォレンジック
エンジニア
