決済代行を使っていてもクレジットカード情報が漏洩するフォーム改ざんに注意

先日以下の記事が公開されました。決済代行会社を使っていたのにカード情報が漏洩したというものです。 同社は、薬局への医薬品の卸売りのほか、運営するショッピングサイト「eキレイネット」でコラーゲンやヒアルロン酸などの美容関連製品を販売している。流出した疑いがあるのは、平成26年10月8日～27年11月5日、サイトでカードを使って商品を購入した顧客の氏名や住所、クレジットカードなどの情報だった。この間、1955人が利用していた。 名の売れた大企業ではない。従業員わずか10人の小さな会社がサイバー攻撃の標的になったのだ。 問題が発覚したのは昨年11月。決済代行会社からカード情報が流出した疑いがあると指摘があった。 従業員10人なのに「標的」に サイバー攻撃、中小企業が狙われる理由より引用 これに対して、以下のブックマークコメントがつきました。 そもそも、決済代行会社を使っているのになぜカード情報が

[rryu]

画面遷移型も遷移先を攻撃者が用意して遷移先を変えれば詐取は可能だが、API型はデータを横流しするだけで済むので狙われやすいということなのだろうか。

[NOV1975]

利用者側での見極めは難しいからなあ…

[teppeis]

画面遷移型はEC事業者としてはリスクを分断できる反面、利用者のUXとしては落ちてしまうのが残念。Web Payments APIはこの問題を解決するのか？

[master-0717]

遷移先を改ざんすれば画面遷移型でも漏洩リスクが残るけど、URLとサーバ証明書がブラウザに表示されるし決済ができないので漏洩に気づける可能性が高まる

[asakura-t]

（記事とは直接関係ない）継続決済（課金）でも画面遷移で利用可能な決済代行はどのへんだろ。

[skam666]

“決済代行会社を使っていたのにカード情報が漏洩(中略)決済代行を使っているからカード情報は漏れないと油断していると危険”

[szks]

フォームが改竄できるような脆弱性が何に由来するものなのかが不思議。

[kumoha683]

これ運営側のWAFの導入で防げるのだろうか？あと、利用者側ではどうやって被害者になるのを防げば良いんだろうか

[ya--mada]

画面遷移カコワルイとか感じる人もいるよね。wpとかec-cubeはお手軽じゃないよ、他人の軒先借りるを最初に検討して星井と発注者にはお伝え…、してるんだろうなぁミンナ。

[deep_one]

あ、私の疑問に回答された。フォームを改ざんするという手口があったか。／リンク決済型は決済結果の取りこぼしが怖い。…あとあるサービスでリンク仕様に脆弱性を見つけたことがあるので好きじゃない（笑）

[yagishita]

決済代行サービスは、データ伝送型より画面遷移型のサービスを採用することで、リスクの低減がはかれるということね。

[kgrock]

決済代行を使っていてもクレジットカード情報が漏洩するフォーム改ざんに注意

[securecat]

個別にEC立ててるところでそもそも決済したくないな

[style_blue]

前は決済屋に飛ばすの何だかなーって思ってたけど、ちゃんと戻ってきてくれるなら画面遷移型の方がセキュアか。あとは決済代行会社次第か。

[mas-higa]

"画面遷移型"

[dynamicsoar]

関係ないけど、画面遷移型のサイト（たしか国際会議の参加費だったと思う）で、そのサイト内ではAdBlock除外しといたんだけど遷移した瞬間に有効になって支払いできない、みたいのがあったな…incognitoでいけたが

[xrekkusu]

「コラーゲンやヒアルロン」がゲヒルンに見える事案があった - 決済代行を使っていてもクレジットカード情報が漏洩するフォーム改ざんに注意 | 徳丸浩の日記 :

[itochan]

同一ドメイン内の処理と、ドメイン遷移型ということかな？URL見ていてわかるようなら、（リスク移転が）わかりやすい　＞データ伝送(API)型と画面遷移型があり、

[instores]

3D認証という方法もあるけど本人がパスワード覚えてない事が多い。クレジットカード会社がSMSでカードを利用された瞬間にリアルタイムで本人に明細送ってくればいいんだよ。

[pismo]

これな。じゃぁ、「eキレイネット」はどっち？というのが気になるけど、期間が長期間にわたっていることからするとSQLiかな？

[doubleup]

なるほど

[info55]

電子マネー決済ではAPI型も多いですが、クレジットカード決済でも使ってた所あるんですね。

[hiroomi]

"決済代行サービスには大別して、データ伝送(API)型と画面遷移型があり、元々データ伝送型を採用していたが、画面遷移型に切り替えるということですね"

[digitalglm]

決済代行を使っていてもクレジットカード情報が漏洩するフォーム改ざんに注意 | 徳丸浩の日記: 先日以下の記事が公開されました。決済代行会社を使っていたのにカード情報が漏洩したというものです。…

[machida77]

漏洩の事例と対策。

[rain-tree]

サーバーにバックドアプログラムが設置され、オンラインショップの支払方法入力画面に改ざんが加えられ、入力したクレジットカード情報が不正に外部のサーバに送信されるよう改ざんされる

[hatomugicha]

ありがたや