スイーツ通販サイトに不正アクセス、ゼロデイ脆弱性の発見から被害に気づく

個人情報保護委員会には、事故判明後の6月22日に報告。外部事業者による調査が9月7日に完了したことを受け、9月22日に警察へ被害を申告し、個人情報保護委員会に対しても同月27日に再度報告を行った。

対象となる顧客に対しては、11月17日にウェブサイトで謝罪。クレジットカード情報が流出した可能性がある顧客に対しては、お詫びのメールを同日送信し、経緯を個別に説明するとともに身に覚えのない請求に注意を呼びかけている。

不正アクセスを受けた当時、「ウェブアプリケーションファイアウォール（WAF）」は導入されていなかった。今後再発防止に向けてシステムのセキュリティ対策や監視体制の強化など、安全対策に取り組むという。

またサイト再開時には、会員登録していた全顧客のパスワードをリセットする予定。他サイトなどでパスワードの使い回しをしている場合は、変更するよう注意喚起を行っている。

（Security NEXT - 2021/12/06 ）ツイート