島根県が「物産観光館通信販売ＷＥＢサイト運営業務」を委託している、一般財団法人 島根県物産協会（以下、「物産協会」）が運営するＥＣサイト「しまねのふるさと直送便」（以下、「ＥＣサイト」）において、第三者による不正アクセスにより、下記個人情報が外部流出した可能性があることが判明しました。

　関係の皆様には、多大なるご迷惑をおかけしましたことを深くお詫び申し上げます。

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　記

　１．事案の概要

　物産協会のＥＣサイト構築に使用しているプラットフォーム「EC-CUBE」において、決済のために導入している「Amazon Payプラグイン」（ＥＣサイトの決　　済をAmazon Payと連動させるための仕組み）に脆弱性が確認され、そこからの不正侵入により、ＥＣサイト利用者の個人情報が一時閲覧可能な状況となった。

　なお、物産協会がＥＣサイトの制作及び運用保守を委託している事業者（以下、「サイト制作・保守業者」）が現時点で把握できる範囲で調査したところ、情報が外部流出したことを示す通信の記録は確認されていない。

 

　２．流出した可能性のある個人情報の概要と人数

　　⑴　情報概要

　　　　クレジットカード情報（カード番号（全16桁）、カード有効期限、カード名義、セキュリティコード、支払い方法）

　　　　※いずれも、8月13日15時30分頃～15日10時50分頃の間にＥＣサイトで決済されたもの

　　⑵　人数

　　　　７人（うち購入に至った人数は6人）

　　⑶　現在の状況

　　　　購入に至った6名の方と連絡が取れ、11月１日現在クレジットカードの不正利用は確認されていない。

 

　３．事案が判明した経緯と対応

・8/13　 15時30分頃　第三者による不正アクセスが発生し、不正な管理者アカウントの作成及び決済画面の入力内容を読み取ることができる不正なファイルの設置（既存の正常なファイルの改変）が行われた

・8/14　 12時30分頃　プラットフォーム提供事業者から、サイト制作・保守業者にAmazonPayプラグインの脆弱性について連絡あり

　　　　 13時15分頃　サイト制作・保守業者がECサイトを確認したところ、不正な管理者アカウントの作成及び管理画面への不正アクセスが判明

               14時00分頃　サイト制作・保守業者から物産協会に連絡

               14時30分頃　ＥＣサイト内の不正な管理者アカウントの削除及び正規の管　理者アカウントのパスワード変更などの措置を行い、AmazonPayプラグイ 

                                     ンの無効化を実施

                                     あわせてＥＣサイト内にAmazonPayの利用を停止する旨の周知文を掲載

・8/15      9時50分頃　プラットフォーム提供事業者から、サイト制作・保守業者に、ECサイト内の不正ファイルに関する追加情報の連絡を受ける

               10時50分頃　設置された不正なファイルを正常なものに差し替え、不正な処理を除去

・10/14    プラットフォーム提供事業者がAmazonPayプラグインの脆弱性についてプレスリリース

・10/23　物産協会から該当の利用者あて、電子メールにてお詫び及びクレジットカード取引履歴の確認等を依頼する注意喚起の連絡

 

４．再発防止に向けた取組等

  ・物産協会は、事柄の大小にかかわらず、問題が発生した場合には県に早急に報告することを徹底するよう指示（県）

  ・プラットフォーム提供事業者によるEC-CUBE本体の情報漏洩リスク低減策の実施に合わせた対応（物産協会）

  ・セキュリティ対策強化の一環として、ＥＣサイトに、ウェブアプリケーションファイアウォール（ＷＥＢアプリケーションの脆弱性を直接狙うサイバー攻撃への対策）を導入（物産協会）