経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん

2018年から2021年にかけて自社で実施したウェブアプリケーションの脆弱性診断では、実施時に「高（High）」「中（Medium）」レベルの脆弱性を複数検出。これら脆弱性をなかったものと報告書を改ざん。PCIDSSの監査で改ざんされた報告書を提示したり、提出していた。

さらに委託先が2020年7月から2021年10月に実施したサーバを対象とするネットワーク脆弱性スキャンにおいても、「高（High）」レベルの脆弱性が複数検出されたが、定義ファイルが未更新だった一部脆弱性をなかったものと改ざん。これら報告書を監査機関に提出していた。

ウェブアプリケーション脆弱性診断の報告書の改ざんについては、情報セキュリティ担当役員が担当者から報告を受けており、ネットワーク脆弱性スキャンの報告書についても、改ざん前後の報告書を承認していた。

一方情報セキュリティ担当役員は、他経営陣に対して脆弱性の検出や提出する報告書の改ざんについて報告しておらず、今回の問題発生後に実施した第三者の原因究明によりはじめて把握することになったという。

クレジットカード決済システムでは、攻撃の検知や防御対策に不備があり、データベースが適切に分離されていなかったほか、脆弱性診断や検出した脆弱性への対応なども、適切に行われていなかったとしている。

（Security NEXT - 2022/07/01 ）ツイート