不正アクセスによる情報流出に関するご報告とお詫び | 株式会社メタップスペイメント

2022年2月28日 各位 株式会社メタップスペイメント 代表取締役社長 和田洋一 不正アクセスによる情報流出に関するご報告とお詫び 2022年1月25日「不正アクセスに関するご報告とお詫び」にて、中間のご報告と共にトークン方式のクレジットカード決済サービスの停止をお知らせしました。 今般、第三者専門調査機関によるフォレンジック最終報告書を受領し、社内調査も完了いたしましたので、下記の通り事態の概要および当面の対処、今後の対応についてお知らせいたします。 関係する皆様方に多大なご迷惑をおかけしましたことを、心よりお詫び申し上げます。 1. 本件の概要 弊社決済データセンターサーバー内に配置された一部のアプリケーションの脆弱性を利用され、不正アクセスが行われました。攻撃は、2021年8月2日から2022年1月25日にわたって以下の事項が複合的に行われ、決済情報等が格納されているデータベースに

[degucho]

決済基盤の会社で今時SQLインジェクションとかセキュリティコードの保存とか基礎がなってないのは役満だから退場願いたい

[gfx]

この報告だと何が起きたのか不明だけど、不正ログイン、SQLインジェクション、バックドア設置、からの半年間不正アクセスに気づかず放置したって感じでだいぶ深刻だな。

[kobito19]

同姓同名の別人ちゃうのん、と思ってググったけど本人だったわ https://bit.ly/3hpa43M

[yamuchagold]

“株式会社メタップスペイメント 代表取締役社長　和田洋一” 元スクウェアの和田さんが社長さんやん。

[qq3]

クラッカー側も「気づくの遅くね？」って思ってそう

[ockeghem]

決済代行事業者がSQLインジェクションにより不正アクセスされ、セキュリティコード含む46万件のカード情報、240万件程のカード情報その他が漏洩

[advancive61]

どこで使われてるのか知りたい

[Pasta-K]

発表がそもそも遅すぎるけど、不正ログイン、SQLインジェクション、バックドアと全部やられてたけど、半年近く気付かないのどうなってるんだ…… クレカ差し替えた方が良いのかな〜って気分になるけど面倒過ぎる…

[NOGjp]

経緯も公表も遅すぎるよ・・・

[ikura_chan]

日赤に定期寄付してるんだけどこの決済システム使っててらしい。ここのところ引き落とし多いなと思ったけど単なる無駄遣いで変な請求もなかった…クレカあと半年くらいで期限切れるから変えるか迷う。

[y-yosuke]

会費ペイも情報流出

[sonots]

期間が長い

[tetsutalow]

侵入されてから4ヶ月近く気づかず外部から指摘されても1ヶ月以上原因特定できてない。フタ開けたらSQLインジェクション。素直に読めばこれDBにセキュリティコード保存してたってこと？PCIDSSの監査すり抜け？残念すぎ。

[pandafire]

この対象者になりましてカードを作り直したよ。不正アクセス喰らってたけどJCBがやべえと思って止めてくれてたので被害はなかった。メインカードだったのですごい大変。

[yu_fuk]

SQLインジェクションは以前から周知されたシステム脆弱性の1つだが、そこが補強されないまま不正アクセスを許してしまったのは痛い。ひとまず今後の対応を見守るしかないがシステム刷新は要検討では？

[nomanssky00]

大手の決済事業者でもシステムが酷いところはあるよ。

[Wafer]

まあ、和田洋一ならせやろなとしか

[peachpear]

この会社潰れないの？

[chiba1008]

メタップスなあ。昔はイケイケな感じだったけど、作りっぱから放置されてるサービスが多い印象

[utsuidai]

コレはもう…

[takashi1211]

クソ対応だ

[kiki-ten]

さっさとどこに影響あるのか発表してほしい。カード会社からの連絡を待てってなんだよ。

[QueSTioN]

どこが使ってるか出せよ…。

[Fushihara]

わ、和田さん…

[Ni-nja]

不正利用がないか今後ずっと確認するの面倒だからもうクレカ会社に電話して再発行手続きした

[atsu10]

PCI DSSの認定受けててこんなことあるんだ。色々ダメだなぁ。

[lifefucker]

どこが使ってたか公表してくれよ

[hase0510]

そういえばOmiaiはどうなったのかな〜と見てみたら、 https://pdf.irpocket.com/C6175/OMfg/twgm/rvX4.pdf 情報漏洩は2021年5月に発覚だけど、全然影響がないように見える。みんな気にしてないのかそもそも知られていないのか・・・

[greenbow]

この図を見るとトークンが有効な間はセキュリティコードを保持してるってことかな。PCI DSS 的には決済完了後に破棄すればセーフなのかしら。 https://www.itmedia.co.jp/news/articles/2201/25/news129.html

[harumomo2006]

名前はよく聞くけどどこで使われたか分からない

[and_hyphen]

12/14に懸念事象が出てて1/25に中間報告して今…

[toruhjp]

無茶な開発ばかりして守りが手薄だったのかなあ…。開発フローに興味ある。っていうコメントは開発者寄りの興味関心から来るものだけど、影響を考えるとそうとうまずい事案だろう

[debabocho]

なぜこれで決済代行業をやってこれたんだろう？ PCI DSS準拠なんて10年以上前からの話じゃないか。毎度のアセスがザルだったか、回答偽装か、買収してたのか。アセスする側も問題だ。つくづく度し難い。

[Tezcatlipocasan]

スクとエニを合併して、職人気質なゲーム会社からリメイクや完全版商法を惜しげもなくやる営利企業に作りかえたおじさんの会社じゃん

[orangehalf]

8月から不正アクセスされていたけれどクレジットカード会社から連絡がきた12月まで気付けず、そこからさらに調査していた1月下旬までの間にもデータを抜かれ続けてたと。やべえ

[HHR]

金融庁仕事しろ、と思ったけど青で忙しいのか…

[chopapapa]

PCI-DSSにきちんと準拠しててこんなことある？？？この規模の決済代行事業者なら毎年必ず準拠してるか監査も受けないと行けないはずなんだけど……