エディオン、決済処理に不正プログラム　カード番号とコード漏えいか

不正プログラムの影響範囲

不正プログラムはPC向けの決済情報入力処理に組み込まれ、11月4日午後7時過ぎから稼働していた。スマートフォンからの操作と決済入力は対象外だった。556回は、入力画面で新規にカード情報を入力した場合の最大数で、カード番号、有効期限、カード名義人、セキュリティコードが含まれる。

さらに、注文画面でエラーが発生した際に例外的にシステムログへ一時記録されたカード情報最大5件も、漏えいの可能性がある。第1報の不正アクセスについても、エディオンギフトカード情報5360枚分（カード番号、PIN、利用履歴）と、ログインIDおよびパスワード最大1141人分が対象に含まれる可能性が判明した。

現在の対応

ギフトカードの今後の扱いは検討中で、パスワードが漏えいした可能性のある利用者には変更を求めるメールを順次送る。第1報では、脆弱性を突いた不正アクセスにより最大4131人分の個人情報と最大9554人分の注文情報が漏えいした可能性があるとしていた。

被害拡大を防ぐため、同社は11月7日午後10時からECサイト、公式アプリ、エディオンスマートアプリを緊急停止している。ECサイトの再開時期は未定だ。