「カラーミーショップ」における情報流出に関するご報告とお詫び ※2018年2月21日追記 | GMOペパボ株式会社

本件に関する問い合わせにつきましては、2月16日（金）15時より以下の通り、変更させていただきます。 電話番号：050-3204-4543 受付時間：午前10時～午後7時（平日のみ） このたび、GMOペパボ株式会社（以下、「弊社」）が運営するネットショップ運営サービス「カラーミーショップ」（以下、「本サービス」）において、第三者による不正アクセスが確認され、本サービスを利用してネットショップを運営いただいている一部のお客様（以下、「ショップオーナー様」）の情報の流出と、一部のショップオーナー様および本サービスを利用しているネットショップで購入された一部の方（以下、「購入者様」）のクレジットカード情報の流出、またはその可能性があること（以下、「本件」）が判明いたしました。

[zomy]

なんでセキュリティコード保存してんの？JCCAの定めてるガイドラインも守れないなんてダメすぎる。 id:fujii_yuji それなら対象の(2)の間、ずっと脆弱性があったってことになってしまうのでは？

[augsUK]

セキュリティコードごと流出したら、店でもカード会社でもなくシステム提供社が補償するルールにすればもう少しまともに運営するんじゃないのか。

[tecepe]

だから誰かGMOグループ熊谷総帥の何でも夢が叶う手帳に「もう情報流出しない」っていますぐ書けって申し上げてくれよ。

[fujii_yuji]

セキュリティコードを保管していたのではなく、データ送信過程で不正プログラムを経由して抜かれた可能性があるという話ではないのかなあ。分からないけど…/(追記)状況からして意図していないログっぽいかな。

[pmint]

パスワードに英大文字が使えるようになったきっかけ。「パスワードに使える文字が増えました。なのでパスワードリセットします。」の意味不明な流れの理由。https://shop-pro.jp/news/change_password/ 最初に検知したのはMackerel？

[yokosuque]

はてなだったらカラースター購入における情報流出か。よし、買わない。

[iasna]

クレカ番号全部とセキュリティコードも丸見えだと……？！？！クソ恐ろしい。

[whiteandpeach]

クレジットカード情報流出してしまった。この前違うカード不正利用されて変えたばっかなんだけどついてない…

[CDG]

ペパボって昔なんかやらかして絶対信用しない会社の１つだけどトップブコメ見てるとそういう認識はもう古かったりするの…？そして昔の事件が思い出せない、社長？が土下座してたのは覚えてるけど

[fukasho39]

GMOペイメントゲートウェイの契約する時、カード番号を加盟店を形上でも通過するのはダメだからトークン契約しろとか言いながら、自分はおもらしとかダメじゃん。グループだろうけど。

[stealthinu]

セキュリティコードも漏れてるの、理由はなんなのだろう。1.セキュリティコードを保管してた（論外）2.ログとかどこかに書いちゃってた 3.クラックされてプログラムの改竄なり通信の傍受なりで取得された

[ichiko_revjune]

ショップオーナーさんが不要に責められないといいな… / “クレジットカード情報が流出した可能性のある購入者様へのご連絡 対象となるショップオーナー様から本件に関する詳細についてご連絡がありますので”

[laiso]

“独自アプリケーションの機能を悪用した不正アクセス” Smartyでカスタマイズできるところかな?

[uraway]

これだけだと技術的に何があったのかよくわからないんだけど、規模を考えるとバックドア仕掛けられてカード決算の通信が盗まれたんじゃなくて、データベースにセキュリコード保存して流出したの？

[yo_waka]

おお、セキュリティコード保存してたのか。。

[vifam84]

もう本当にセキュリティコードを自前のシステムに保存している企業は罰して然るべき時期に来ている。改正割賦販売法の施行も近いってのに何やってんだ

[nakakzs]

GMOだと「ああ、なるほど」と思ってしまう。

[celitan]

人はなぜセキュリティコードを保存してしまうのか

[and_hyphen]

なぜセキュリティコードまで...

[yto]

セキュリティコードを保存してて流出。

[ukidousan]

GMO系列でもペパボなら…とは言うけど前にもでかいのやってたような id:entry:159989130

[solidstatesociety]

「絶対保存しちゃダメコード」に改名すべき

[nikousatsu]

絡みが流出したのか。エロい

[iga_k]

対応が神。すごいな・・・。

[ifttt]

ロースおじさんが悪いのか

[wwolf]

お名前コムのVPS使ってるけど、引き上げるかなー...

[mirucons]

やっぱGMOと関わってはいけない（戒め

[new3]

こっち見ても技術的に何が問題なのか何も書かれていない…流出経路・対策方法を公表できないのってよっぽど自信が無いか他の自社サービスで対策がまだできていないからと勘ぐってしまう。ってか2017/03/15からって…

[mixvox-j]

GMOグループ選手、今シーズン第1号

[shifumin]

セキュリティコードも流出しているのすごい。

[kocb]

技術周りはよく分からないけど、UXUIの改善プログラムを開始した頃から、やたら有料オプションを売ろうとしてて、なんかゲスなサービスに成り下がったとは感じてた。コンサルに騙されて要らぬことをし始めたらフラグ

[hryord]

何でもGMOで叩くのは良くない。GMOPGの件は経緯をみれば同情に値する。これはダメだしGMO大っっ嫌いだけど。

[rryu]

2017年3月15日からという流出の対象期間が謎だが、その頃からやられていたということなのだろうか。

[localnavi]

流出したカード情報がバラエティに富みすぎてるのは何なんだろうか？　セキュリティコードまで抜かれたら、不正使用されないためには1分1秒を争うではないか。

[modal_soul]

"独自アプリケーションの機能を悪用"ってことは、内部向けサービス使われちゃったとか？中の人から技術的な解説がでてくるといいなぁ

[kabin12]

何度おもらしすれば気がすむの

[marisatokinoko]

ページが改竄されたとは書いてないし、通信経路はSSLだろうからやはりセキュリティコード保存していた？