メタップスペイメント不正アクセス事件の第三者報告書から攻撃の模様を読み解く

株式会社メタップスペイメントの運営する決済代行システムから約288万件のクレジットカード情報が漏洩した不正アクセス事件について、第三者委員会の報告書および経済産業省の行政処分（改善命令）があいついで公開されました。 第三者委員会調査報告書（公表版） クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省） 本稿では、主に第三者委員会の調査報告書（以下「報告書」と表記）をベースとして、この事件の攻撃の様子を説明します。 システムの概要報告書にはシステム構成図やネットワーク構成図は記載されていないため、報告書の内容から推測によりシステムの構成を以下のように仮定しました。 図中のサーバー名は報告書の記載に従っています。以下、概要を説明します。 サーバ名概要 A社アプリ一般社団法人A 会員向け申込みフォーム 経産省改善命令では、「同社とコンビニ決済に係る契約を締結してい

[studymonster]

“自社で実施した脆弱性診断ではXSS脆弱性が検出されていたが、高危険度の脆弱性があるとPCI DSSの審査に通らないため、報告書を改ざんして脆弱性自体をなかったことにした” うわぁ。

[prograti]

"「決済システム以外は脆弱性対策をする必要がない」との認識があった" 技術力以前の問題ですね。

[fukken]

脆弱性報告書の改ざん（しかも直してない）、決済代行業者なのに管理ツールにインターネットからアクセス可能、JSPがアップロード可能な管理機能...ツッコミが追いつかない。

[estragon]

「侵入の発端となった脆弱性は、クロスサイトスクリプティングおよびSQLインジェクションという非常に基本的なものでありますが、仮にそれらの脆弱性があっても、他の保険的な対策や侵入発見後の対処が適切であれば、

[awkad]

「銀行はなんであんなに金かけてあんなに開発遅いの？」「何やるのも遅い」と言ってるキラキラエンジニアたちの作るシステムはこんなもの。こんなレベルでよければ大手銀行+SIerでそれなりのスピード感でやれるよ

[hdkINO33]

“自社で実施した脆弱性診断ではXSS脆弱性が検出されていたが、高危険度の脆弱性があるとPCI DSSの審査に通らないため、報告書を改ざんして脆弱性自体をなかったことにした” わあ。

[KoshianX]

報告書を改ざんってのはさすがにアレだな……

[toshiwo]

読み進めるたびに、散々な事実が明るみになっていく

[Tezcatlipocasan]

元スクエニ和田洋一が取締役やっていてびっくりしました

[kamorou]

メモメモ

[diabah_blue]

IT界の現場猫。

[blueeyedpenguin]

時系列読んでるだけでびっくり。攻撃者も困惑したのでは。

[oldriver]

“PCI DSSの審査に通らないため、報告書を改ざんして脆弱性自体をなかったことに” ←この状況下でもこの会社のサイトには「PCI DSS準拠」が謳われてるのホラーでしかない。なんで業務継続できてるのだろう？金融庁？

[sho]

公開情報が十分じゃないから、想像で補ってる部分が多すぎてなんだかなぁという感じ。(もしくは公開情報は想像の上を行きすぎている)

[mkusunok]

ちょ、発見しておいて何故修正しなかったのか→自社で実施した脆弱性診断ではXSS脆弱性が検出されていたが、高危険度の脆弱性があるとPCI DSSの審査に通らないため、報告書を改ざんして脆弱性自体をなかったことにした

[havanap]

ひえー

[d6rkaiz]

事故発覚後、ここの求人がいくつも大量に発生してたな。

[tastasto]

これ被害にあったんだけど支払う先の業者がまだここのサービス使ってて、ホンマふざけんな支払いしたくないわ

[Shalie]

"自社で実施した脆弱性診断ではXSS脆弱性が検出されていたが、高危険度の脆弱性があるとPCI DSSの審査に通らないため、報告書を改ざんして脆弱性自体をなかったことにした"。組織とか指揮系統に関する課題が気になる。

[dltlt]

素人としては、PCIDSS審査のための脆弱性検査を自社でやってよいというのに驚く。A社アプリの同居も監査が入れば気づくはずだが、737-MAXの認証のように「ジェダイ心理操作」されたか……それとも内部監査だけだったか？

[Mofuyuki]

前にもらったここからのスカウト、相手にしなくてよかったまじで。ニュースのたびに思うわ。

[augsUK]

報告書の改竄とか関連した人すべて二度と決済システムに関わって欲しくないし、こんな会社のシステムが広く利用されてたのもなんなのだろう

[Falky]

いやあ。。。。

[ryouchi]

相変わらず切れ味鋭い徳丸節

[degage122]

“決済代行事業社からクレジットカード情報が大量に漏洩するという衝撃的な事件でありましたが、漏洩に至る経緯も驚くべきもので、第三者委員会報告書はセキュリティ関係者にとって非常に学びの多い資料だと…”

[defiant]

この記事をおすすめしました:

[Sakana_Sakana]

コレ、クレカ決済の許可してくれるんだろうか、相当マズイ体制な気がするんだが

[YassLab]

“必要な範囲でセキュリティアラートを発信するようにするためのシステム面での調整が出来ていないことも相まって、MPの従業員は、セキュリティアラートが発信されても、特段気にして監視していなかった”

[isdh]

管理画面狙い

[fu_kak]

ぬぉおますます許せんメタップスペイメント(根に持ってる

[greenbow]

オオカミ少年みたいなことかしら。 “セキュリティアラートが発信されても、特段気にして監視していなかった”

[dollarss]

こーりや完全に有罪でしょう…脆弱性検査通らないから改ざんて…こんなの通るならどんな検査も無意味だよ企業体質の問題。絶対にクレカ情報を扱っていい企業じゃない

[kabuquery]

ボロボロじゃん