岸和田スポーツのECサイトからカード情報が漏えい、13,879名が対象

事案の概要データ

何が起きたのか

岸和田スポーツは2024年5月14日、運営するECサイト「Kemari87KISHISPO」がシステムの脆弱性を悪用され、13,879名分のクレジットカード情報が漏えいしたことを公表しました。

サッカー用品を扱う専門ECサイトで、決して大規模なサイトではありません。それでも1万3千件を超えるカード情報が対象となりました。

「小さいから狙われない」は成り立たない

中小企業のECサイトが狙われるのは、むしろ「小さいから」です。大企業のサイトは専任のセキュリティ担当者がいて、脆弱性への対応も速い。一方、中小のサイトは制作会社に作ってもらったまま、数年間一度も更新されていないケースが珍しくありません。

攻撃者は自動化されたツールで、インターネット上のサイトを片っ端からスキャンし、既知の脆弱性が残っているサイトを見つけ出します。標的を選んでいるのではなく、「見つかったから攻撃する」のです。

つまり、規模の大小は関係ありません。「更新されていないサイト」であれば、誰であろうと標的になります。

ECサイトを持つ中小企業がやるべきこと

第一に、自社サイトが使っているシステム（ECパッケージ、CMS、プラグイン）のバージョンを確認し、更新すること。制作会社との保守契約に「セキュリティ更新」が含まれているかも確認が必要です。

第二に、カード情報を自社サイトで扱わない設計にすること。決済代行会社のリンク型・トークン型を使えば、カード番号は自社サーバを通りません。

第三に、WAF（Webアプリケーションファイアウォール）を導入すること。月額数千円から利用でき、脆弱性が残っていても攻撃を遮断できる層になります。

時系列で見る経過

• 2024年前半ECサイトのシステムの脆弱性が悪用され、カード情報が窃取される
• 2024年5月事案を把握し、調査を開始
• 2024年5月14日13,879名分のクレジットカード情報が漏えいしたことを公表
• 2024年5月以降カード会社と連携し、対象者へ案内を実施

中小企業が学ぶべきポイント

1. 「小さいサイトだから狙われない」は成り立たない。攻撃は自動化されている。
2. ECパッケージ・CMS・プラグインの更新を、保守契約の内容として明確にする。
3. カード番号を自社サイトで預からない（決済代行のリンク型・トークン型）。
4. WAFを導入する。月額数千円で、脆弱性が残っていても守れる層ができる。

出典・参考

• 2024年 セキュリティインシデント事例 - セキュリティ対策Lab