メタップスペイメントの情報流出についてまとめてみた - piyolog

2022年2月28日、メタップスペイメントは決済情報などが格納されたデータベースへ不正アクセスが行われクレジットカードを含む情報流出が判明したと公表しました。ここでは関連する情報をまとめます。 複合的な攻撃を半年間受ける 不正利用懸念ありと連絡を受けたのはメタップスペイメントのイベントペイで2021年12月17日にクレジットカード決済を停止。さらに会費ペイを含む3サイトは2022年1月5日までにクレジットカードの新規決済を停止。その後2022年1月24日にバックドアの存在が確認されたことから、トークン方式のクレジット決済サービスを全て停止した。 攻撃を受けていたのは2021年8月2日から2022年1月25日の約6カ月。2021年12月14日にクレジットカード会社から連絡受領しその後調査するも自社での原因特定ができず外部機関でフォレンジック調査を実施。 不正アクセスはメタップスペイメントの決

[new3]

待ってた。まとめも大変だったけどこれからの追記も大変そう・・・お疲れさまです。

[hobbiel55]

「これまでも年1回で訪問審査、アプリケーション脆弱性診断を実施。四半期毎にネットワーク脆弱性診断を実施」←いったいどこの会社がPCI DSSの監査をしてたんだろうね? そっちの名前も公表すべきだろ。

[nmcli]

ECサイトの情報流出と比べ、決済代行会社のインシデントはやはり影響範囲が超広いということを痛感。企業が導入できる決済代行会社は意外と選択肢が少ないという点においても本件は重要。

[korilog]

該当期間に利用してたら流出の可能性のあるメタップスペイメント利用サービスと、ユーザーに注意喚起してるだけのカード系のサービスは分けて見たいなぁ。

[ikura_chan]

これ、本来はメタップスがやるべきお仕事なのでは…

[tengo1985]

会社まとまってるのいい。 あと立川シネマシティも。 https://ccnews.cinemacity.co.jp/info_20220228/

[kazkun]

不正利用発覚は即日だろうからセキュリティコード保管期間は2ヶ月だったんじゃないかと推測できる。それを短期間と言ってしまって良いのだろうか。PCI DSS ICMS-PCI0079 なので認証機関はICMS。

[kuzumaji]

おぉめちゃくちゃお疲れ様です…　メタップスペイメントのページ見ても加盟店舗一覧などが見れるわけで無いので自分が該当サービス使用したか確認出来ないの困ってたのでありがたい…

[rzi]

自分も抜かれました。流出懸念は12月15日に来てたのに、わからないからって放置して1月25日になってやっとサービス止めた。1ヶ月以上放置された。そのせいでorz

[bluescreen]

アップルがあったから焦ったけど、Appleではなくアパマンショップの会社か！

[Ni-nja]

私が食らったのはアップリンクで、この規模だからそこのせいではないとはいえ告知タイトルに情報流出や決済、不正アクセスといった文言を入れてないから受け手がスルーしそう。本当に最悪な運営体制なんだな

[miguchi]

“メタップス”

[gfx]

決済サービス史に残る大事件になったなあ。

[castle]

「メタップスペイメントは決済情報などが格納されたデータベースへ不正アクセスが行われクレジットカードを含む情報流出が判明したと公表～関連する情報をまとめ」「バックドアの存在が確認」「便乗詐欺の注意喚起」

[adsty]

複合的な攻撃を半年間も受けていた。

[dltlt]

「これまでも年1回で訪問審査、アプリケーション脆弱性診断を実施。四半期毎にネットワーク脆弱性診断を実施。」

[kunioya]

すごい労作。感謝しかない

[stealthinu]

メタップスの調査報告ページで一番上が社内管理システムの脆弱性が挙げられてるからそこから入られたんだろうな。PCに侵入後社内システムの脆弱性突いて入ったとかなんだろうか。

[kamm]

相変わらず力作だ

[otation]

近所のコワーキングスペースからメールは来たけど、公式サイト上には漏洩したって書いてない。当然この一覧にも載ってないから、ここにないからと言って安心はしない方が良い

[ciel18m]

わかりやすくて助かります。セキュリティコードえぐ。

[d6rkaiz]

サービス利用元一覧がえぐい。アップルがAppleじゃなくてよかった。

[t_motooka]

まとめ、ありがたい。

[akishin999]

“不正アクセスはメタップスペイメントの決済データセンターサーバー内の一部アプリケーションに存在したSQLイン”

[tomemo508]

ありがとうございます。私がたまたま使った某不動産会社の初期費用の支払いがカード決済のみでそこがメタップスペイメントの某サービスを利用していた、ということが理解できました。

[Tezcatlipocasan]

やられ放題よくばりセット

[areyoukicking]

うーん。なんで警告来てから止めるのにこんな時間かかったのかな。。

[kuracom]

セキュリティコードを一時保存する仕様、通信不調でリトライする時用とか？ > “セキュリティコードが対象項目に含まれた理由は承認処理が行われる際データベースで短期間保持される実装”

[htnmiki]

一度対策完了したあとにバックドアの存在を確認とかきついな……

[QueSTioN]

たすかる可能性高くてたすかる。

[tekitou-manga]

該当期間に決裁なきゃ大丈夫なの？Appleでしたかどうかなレベルだけど(見過ごしてなければ)。ちゃんと明細みとかないとなぁ

[skur2]

サービス利用元のアップルはドキッとしたけどAppleじゃなかった

[degucho]

改めて豪快さにビビるとともに停止の遅さが目に付くな

[sorshi]

“株式会社メタップスペイメントにおける情報流出に関する発表について”

[yahsusu]

短期なら保管保存じゃないってどういうことなん。どうせトークンの中にセキュリティコード含めてトークンの有効期限切れで削除してただけでしょ。

[cardmics]

なんかメタップスって聞いたことない弱小会社がやらかしただけだろ…って思ってる人は多いかもしれないが、この手の情報流出は他の大手決済会社でも起こりうる内容なんだよね。現状はいたちごっこ。

[vanish_l2]

一番やられたらあかんとこがやられたという認識