メタップスペイメント不正アクセス事件の第三者報告書から攻撃の模様を読み解く
株式会社メタップスペイメントの運営する決済代行システムから約288万件のクレジットカード情報が漏洩した不正アクセス事件について、第三者委員会の報告書および経済産業省の行政処分（改善命令）があいついで公開されました。 第三者委員会調査報告書（公表版） クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省） 本稿では、主に第三者委員会の調査報告書（以下「報告書」と表記）をベースとして、この事件の攻撃の様子を説明します。 システムの概要報告書にはシステム構成図やネットワーク構成図は記載されていないため、報告書の内容から推測によりシステムの構成を以下のように仮定しました。 図中のサーバー名は報告書の記載に従っています。以下、概要を説明します。 サーバ名概要 A社アプリ一般社団法人A 会員向け申込みフォーム 経産省改善命令では、「同社とコンビニ決済に係る契約を締結してい
クラウド型お問い合わせ管理システムに対しての第三者によるアクセスの可能性について | プレスリリース | フリー株式会社
今般、freee株式会社（本社：東京都品川区、CEO：佐々木大輔、以下「freee」）では、社外のクラウド型お問い合わせ管理システムにおいて、当社へのお問い合わせ受付内容の一部が第三者からアクセスしうる状態にあったことを、2021年2月8日22時頃に確認いたしました。 本事象の認知後、速やかに当該システムに対する第三者からのアクセスを不可能とするよう設定変更を完了いたしました。実際に社外の第三者からのアクセス及び本件に起因する被害等は現時点で確認されておりませんが、引き続き影響範囲について調査を継続いたします。 関係される方々におかれましては、ご心配とご迷惑をおかけいたしておりますことを深くお詫び申し上げます。 本件の概要は以下のとおりです。 経緯 社外のクラウド型お問い合わせ管理システムにおいて、お問い合わせ受付内容の一部が第三者からアクセスしうる状態であったことが2021年2月8日22
7Pay 謎の全利用者パスワードリセットを実施｜楠 正憲（デジタル庁統括官）
7payは7月30日午後に、全利用者のパスワードをリセットすると発表した。報道によると「（7iDを使う7payの不正利用問題で）パスワードリスト攻撃を受けた可能性が高く、リスクを極小化するため」（広報）と説明しているという。筆者はIdPを運用している立場でしばしば攻撃に直面して数百万人単位のパスワードのリセットを決断した経験があるが、これは奇妙なことだ。 一般にパスワードリスト攻撃を受けている場合では、全利用者のパスワードリセットを行う必要はない。リスト型攻撃が成功した利用者に限ってリセットを行うのが一般的な運用だ。 パスワードをリセットすると多くの利用者が離脱する上に、サポート窓口の負荷が上がるため、数十万人のパスワードをリセットする場合も、時間をかけて反応を見ながら徐々に行う運用が一般的だ。 全利用者のパスワードをリセットする必要があるのは、例えばバグや脆弱性の性質から被害者を特定でき
7payの「二段階認証導入」は正解か？ セキュリティ専門家、徳丸氏の視点
不正ログインが相次ぎ、ユーザーの被害総額は約5500万円にのぼったというモバイル決済サービス「7pay」。7月4日には運営元のセブン・ペイが緊急記者会見を行い、翌日5日には二段階認証を導入するなどのセキュリティ強化策を発表した。 しかし、セキュリティ専門会社代表取締役の徳丸浩さんはセブン・ペイの決定に疑問を持っているという。「二段階認証の導入決定は、結論を出すのが早すぎたのではないか」（徳丸さん） ITサービスの脆弱性（ぜいじゃくせい）診断を手掛けるEGセキュアソリューションズ代表取締役であり、「徳丸本」の愛称でも有名な「体系的に学ぶ 安全なWebアプリケーションの作り方」著者の徳丸さんに、7payが取るべきセキュリティ対策を聞いた。
7Payの失態で露呈した本当は怖いIDの話｜楠 正憲（デジタル庁統括官）
セブンイレブンのQR決済「7Pay」がリリース翌日から大規模な不正アクセスの被害を受け、少なくとも約900人が、計約5500万円の被害を受けた。原因は杜撰なIDの設計にあり、被害者はいずれもIDを乗っ取られて、クレジットカードから不正にチャージされた。 自分の設定したIDとパスワードを入力して、どちらも正しい場合にログインできる仕組みは1960年代前半に発明されて以来、今もインターネット上で最も広く利用されている。GAFAはじめYahoo!や楽天といった大手企業が今も使っていることから、十分に安全と思われがちだ。 ところが実際のところ特にここ数年は非常に激しい攻撃に晒されており、血の滲むような努力と不断の改善によって維持されている。利用者は自分が入力したIDとパスワードしか意識しないけれども、その裏では端末環境の特徴やアクセス元のIPアドレスや位置情報、同時に利用している他の端末など、実に
7payの不正利用についてまとめてみた - piyolog
セブンイレブンで開始されたスマートフォン決済サービス「7pay」で、セブン＆アイホールディングスは2019年7月3日頃より不正利用が発覚したと発表しました。ここでは関連する情報をまとめます。 公式発表 セブン＆アイHD／セブン・ペイ 2019年7月1日 [PDF] セブン＆アイのバーコード決済「7pay（セブンペイ）」本日サービススタート！ 2019年7月3日 【ご注意ください】ID・パスワードの管理について（削除済み） 7payに関する重要なお知らせ [PDF] 7pay に関する重要なお知らせ 2019年7月4日 チャージ機能の一時停止に関するお知らせ [PDF] 「7pay（セブンペイ）」一部アカウントへの不正アクセス発生によるチャージ機能の一時停止について 2019年7月5日 「7pay（セブンペイ）」に対する不正アクセスの件（第3報）セキュリティ対策の強化を目的とした新組織発足の
ASCII.jp：SIMスワップ詐欺、モザンビークで被害ゼロに追い込んだ対策
アフリカの多くの国では、銀行店舗やATMはまだ都市部に集中しており、郊外に住む比較的貧しい農民などは出金のためだけに何十キロも歩いて銀行に出向くことが珍しくないという。こうした不便さを解消してくれるのが、携帯電話やスマートフォンを使って送金ができる「モバイル決済」の仕組みだ。現在のアフリカは、アジアに次いでモバイル決済の取引額が多い地域になっているという。 「わたしが住むモザンビーク共和国では、GDPのおよそ4割に当たる年間約50億米ドルがモバイル決済で取引されている。ふだんの買い物はもちろん、従業員への給与支払いや罰金の支払いもモバイル決済だ。アフリカ全土のモバイルデバイス所持率はおよそ50％と言われるが、これから所持率が増えれば、アフリカはさらに巨大なモバイル決済市場へと発展していくことは間違いない」 2019年4月、シンガポールで開催されたKaspersky Labs主催のセキュリテ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セブン&アイ、火元の7Payに責任を押しつけてomni7への延焼を防ぐ懸命の消化活動 : 市況かぶ全力２階建