クレジットカード情報盗み出しの手口をまとめた | 徳丸浩の日記

はじめに 先日の日記「ECサイトからクレジットカード情報を盗み出す新たな手口」は多くの方に読んでいただき、ありがとうございました。この記事では、「新たな手口」ではなく、従来からある手口についてまとめてみました。 1.SQLインジェクション 古典的な手法としてはSQLインジェクションがあります。下図のように、SQLインジェクション攻撃により、DBに保存されたクレジットカード情報を盗み出します。 攻撃が成立する条件は下記のとおりです。 DBにクレジットカード情報が保存されている ウェブサイトにSQLインジェクション脆弱性がある いずれも、現在の観点では論外の状況と言えますのでさすがに頻度は減っています。今年6月1日から施行されたカード情報非保持化により、今後はほとんど見られなくなると予想されます。過去の代表的な事例には以下があります。 エクスコムグローバル、SQLインジェクションで約11万件の

[kaiton]

通販・カード決済は専用ECサイトにお任せしないと怖い時代だな、でも最近寄付とかクラウドファンディングでカード決済があるようなその方面は大丈夫なのかな？利用者が少ないだけに気付きにくいかも？

[tailtame]

2018。ブクマしてなかったか。眼鏡のJINの懐かしい。ソースネクストも4かな

[nilab]

クレジットカード情報盗み出しの手口をまとめた | 徳丸浩の日記

[longroof]

はいー(´・ω・｀)

[JULY]

4. のところで「決済代行事業者の多くがJavaScript型決済をさかんに宣伝している」というのが困ったものだなぁ。EC サイト側が途中で別サイト画面になるのを嫌うのはわからないでもないんだけど。

[indication]

sameoriginとかでも難しいのかな。セキュリティコードを別のページで入力させても同じなのかな。海外はどうなんだろ

[deep_one]

4と5は本質的に違うものなのだろうか？

[igaiga07]

]

[ockeghem]

日記書いた