旧通販サイトでクレカ情報流出、原因は「Heartbleed」 - スイーツ通販サイト

不正アクセスを受けた原因は、「OpenSSL」の「heartbeat拡張」に明らかとなった情報漏洩の脆弱性「Heartbleed（CVE-2014-0160）」が悪用されたものと見られる。

同サイトでは、決済代行会社のAPIサービスを利用してクレジットカード決済を提供しており、クレジットカード情報をサイト内に保管しないしくみだったが、データ伝送にあたり、一時的にメモリ上へ保存されたデータを不正アクセスにより取得されたという。

「Heartbleed」により、メモリ上のデータが窃取された場合、ログが残存しないため、不正アクセスを受けた回数や正確な時期について特定できないとしている。

また情報流出の可能性を把握してから発表までに1年以上を要したが、理由について同社は、閉鎖済みのサイトだったため、調査の実施にあたり、システム設定や情報整理、調査会社とのやりとりに時間を要したと説明。

（Security NEXT - 2019/06/28 ）ツイート