2022年2月28日、メタップスペイメントは決済情報などが格納されたデータベースへ不正アクセスが行われクレジットカードを含む情報流出が判明したと公表しました。ここでは関連する情報をまとめます。
複合的な攻撃を半年間受ける
- 不正利用懸念ありと連絡を受けたのはメタップスペイメントのイベントペイで2021年12月17日にクレジットカード決済を停止。さらに会費ペイを含む3サイトは2022年1月5日までにクレジットカードの新規決済を停止。その後2022年1月24日にバックドアの存在が確認されたことから、トークン方式のクレジット決済サービスを全て停止した。
- 攻撃を受けていたのは2021年8月2日から2022年1月25日の約6カ月。2021年12月14日にクレジットカード会社から連絡受領しその後調査するも自社での原因特定ができず外部機関でフォレンジック調査を実施。
- 不正アクセスはメタップスペイメントの決済データセンターサーバー内の一部アプリケーションに存在したSQLインジェクションの脆弱性悪用の他、社内管理システムへの不正ログインと不正ファイル(バックドア)の設置も確認されている。これらが複合的に行われたことで最終的に3つのデータベースから外部へ情報流出が発生した。複合的とする手口の詳細は2月28日の発表で取り上げられてはいない。
3つのデータベースから情報流出
外部への情報流出が確認されたのは次の3つのデータベース。
- トークン方式クレジットカード決済情報データベース
- 決済情報データベース
- 加盟店情報データベース
- トークン方式クレジットカード決済情報データベースからの流出は断続的に確認されているものの調査機関でも流出対象は特定困難との見解から2021年10月14日から2022年1月25日に利用されたものを流出した可能性として全件数を記載している。
- セキュリティコードが対象項目に含まれた理由は承認処理が行われる際データベースで短期間保持される実装であったため。保持期間は非公開だが、保管や保存の事実はなしとメタップスペイメントは説明。*1
- 決済情報データベースの保有件数は2021年5月6日から2022年1月25日までに利用された顧客データを対象としている。また流出の特定は次の手順で調査を行ったと説明。
- 不正ファイルへのアクセスログ日時を抽出
- 抽出したログに該当するパケットデータを取得
- 取得したパケットデータの要求、応答を確認
- 応答値から窃取されたデータより件数を確認
再度PCIDSSアセスメントなどを実施
メタップスペイメントの実施済や今後の対応は次の通り。
- 不正アクセスにより確認された各手口(不正ログイン、SQLインジェクション、バックドア設置)への対応。
- 警察への被害申告、関係組織(経済産業省、関東財務局、個人情報保護委員会、JIPDEC)への連絡。
- 第三者機関の調査で今回問題の以外で脆弱性の認められるソフトウエアは確認されなかったが、2か月後を目途とするPCI DSSアセスメントの再度実施。(これまでも年1回で訪問審査、アプリケーション脆弱性診断を実施。四半期毎にネットワーク脆弱性診断を実施。)
- 再発防止委員会の設置と2022年4月目途の取りまとめ作業の実施。
便乗詐欺の注意喚起
- ローソン銀行、岩手銀行はカード会社、メタップスペイメント、加盟店等を騙り、クレジットカード情報の窃取を目的としたメールやSMSが確認されたとして注意を呼びかけ。
- 2022年3月2日 [PDF] 株式会社メタップスペイメントなどを騙ったメール、SMSにご注意ください
- 2022年3月8日 [PDF] クレジットカード情報等を盗み取る偽メール（フィッシングメール）への注意喚起について
関連タイムライン
| 日時 | 出来事 |
|---|---|
| 2021年5月6日 | （決済情報データベースの保有対象件数の計上開始日） |
| 2021年8月2日 | メタップスペイメントの決済データセンターに対する不正アクセスが開始。 |
| 2021年10月14日 | （トークン方式クレジットカード決済情報データベースの流出対象件数の計上開始日） |
| 2021年12月14日 | メタップスペイメントへクレジットカード会社からイベントペイで不正利用懸念の連絡。 |
| 2021年12月15日 | メタップスペイメントでの原因特定できず、第三者機関での調査を含めた対応を決定。 |
| 2021年12月16日 | イベントペイでクレジットカード決済を停止。 |
| 2021年12月17日 | 第三者機関の調査開始。 |
| 同日 | クレジットカード会社から追加で不正利用懸念の連絡。 |
| 2021年12月28日～2022年1月5日 | 会費ペイを含む3つのサービスでのクレジットカード新規決済停止。 |
| 2021年12月29日 | メタップスペイメントの4つのサービスで不正アクセスによる流出懸念発生をサイト管理者へ連絡。調査を開始していることを一部の加盟店に連絡。 |
| 2022年1月5日 | 一部アプリケーションでSQLインジェクションの脆弱性悪用を確認。 |
| 2022年1月8日 | 社内管理システムへの不正ログイン、一部アプリケーションのSQLインジェクションの対策完了。 |
| 2022年1月21日 | フォレンジック調査の過程で情報流出懸念を強める事象を新たに確認。 |
| 2022年1月24日 | 不正ファイル（バックドア）の存在を確認。 |
| 2022年1月25日 | トークン方式のクレジット決済サービスを全て停止。 |
| 同日 | 不正ファイル（バックドア）の全削除完了。 |
| 同日 | メタップスペイメントが不正アクセス被害を公表。 |
| 2022年2月8日 | メタップスペイメントが第三者機関よりフォレンジック調査の最終報告書を受領。 |
| 2022年2月18日 | メタップスペイメントが警察へ被害申告。 |
| 2022年2月28日 | メタップスペイメントが不正アクセスによる情報流出を公表 |
公式発表
メタップスペイメント
- 2022年1月25日 不正アクセスに関するご報告とお詫び
- 2022年2月28日 不正アクセスによる情報流出に関するご報告とお詫び
メタップス
- 2022年1月25日 [PDF] 当社子会社における不正アクセスに関するお知らせ
- 2022年2月28日 [PDF] (開示事項の経過)当社子会社における不正アクセスに関するお知らせ
サービス利用元からの案内や注意喚起
今回の件を受けて金融機関や同社サービスを利用していた組織から案内が行われている。以下は見かけたもの。
利用組織関連
金融機関関連
更新履歴
- 2022年3月4日 PM 新規作成
*1:セキュリティコードは「短期間保持していた」 メタップス不正アクセス問題の経緯を同社に聞く,ITmedia,2022年3月2日
