自社ECサイトを開発したベンダーが、発注者の知らぬ間にテスト環境を構築。そのテスト環境に不正アクセスされ、そこからデータベース内のクレジットカード情報を盗み出された──。耳を疑うような話だが、2015年6月に公表された事件だ。ログが短期間しか残っていなかったため、実際の漏えい件数は明確ではないが、データベースには約2万8000件のクレジットカード情報が格納されていた。 発注者となるユーザーの多くは、「ITベンダーはきちんとセキュリティ対策を講じてくれている」と考えているだろう。しかし実際はそうではない。「要件として挙がってないことを勝手にやるわけにはいかない」「セキュリティ対策はコストがかかるから言いづらい」などと考えているITベンダーのエンジニアは多い。ユーザーもITベンダーも互いに異なる見解を常識だと思い、適切なセキュリティ対策をしていないまま、攻撃にさらされている。 攻撃が巧妙になっ