食品宅配サイトで他人になりすました不正ログイン、約9.7万件の会員情報が見られたおそれ

01何が起きたか

オイシックス・ラ・大地は、2024年11月24日から25日にかけて、通販サイトECサイトインターネットで物を売るお店（ネットショップ）。用語集で語源も見る「Oisix.com」で第三者による「なりすましなりすましほかの人や会社のふりをすること。社長、銀行、宅配業者などのふりをして、だましてきます。用語集で語源も見るログインログインアカウントとパスワードを入れて、サービスに入ること。反対に出ることを「ログアウト」といいます。用語集で語源も見る」が起き、約9万7,533件のアカウントアカウントパソコンやインターネットのサービスを使うための「自分専用の入り口」。図書館の利用カードのようなものです。用語集で語源も見るで氏名・住所・注文履歴などが見られたおそれがあると26日に公表しました。システムの異常検知で気づいたとしています。カード番号は決済代行会社で管理しているため漏れていないと説明しています。

02原因・侵入経路

外部で手に入れたIDID（アイディー）ひとりひとりを見分けるための番号や名前。社員番号やメールアドレスがIDとして使われることが多いです。用語集で語源も見るとパスワードパスワードアカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。用語集で語源も見るを使ってログインされた（パスワードリスト攻撃リスト型攻撃ほかのサービスからもれたIDとパスワードの一覧（リスト）を使って、別のサービスにも入れないかためす攻撃。同じパスワードを使い回していると、つぎつぎに入られます。用語集で語源も見る）と報じられています。

03中小企業がとるべき対処方法

1. 会員サイトに多要素認証多要素認証（MFA）パスワードだけでなく、スマホに来る番号やアプリの「OK」ボタンなど、2つ以上の方法で本人かどうかを確かめるしくみ。パスワードが盗まれても、スマホがなければ入れません。用語集で語源も見るや、ログイン失敗が続いたらロックする仕組みを入れる
2. 短時間に大量のログインがあったら通知が来るようにする
3. カード番号は自社で持たない決済方式にしておく
4. 会員にパスワードの使い回しをしないよう案内する

04関係する診断項目

• L-02A不審なログイン（海外・深夜）の通知を受け取っている
• G-02Sホームページ管理画面にIP制限・多要素認証・ログイン試行制限がある
• G-06SECサイトのカード決済は非保持（決済代行のリンク・トークン方式）である
• C-03Aパスワードの使い回し・推測しやすいパスワードを禁止している

93項目の診断について

05この事例に出てくることば

なりすまし

ほかの人や会社のふりをすること。社長、銀行、宅配業者などのふりをして、だましてきます。

不正アクセス

使ってよいと許されていないのに、他人のIDやパスワード、システムの弱点を使って中に入ること。法律で禁止されている犯罪です。

ECサイト

インターネットで物を売るお店（ネットショップ）。

ログイン

アカウントとパスワードを入れて、サービスに入ること。反対に出ることを「ログアウト」といいます。

アカウント

パソコンやインターネットのサービスを使うための「自分専用の入り口」。図書館の利用カードのようなものです。

ID（アイディー）

ひとりひとりを見分けるための番号や名前。社員番号やメールアドレスがIDとして使われることが多いです。

パスワード

アカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。

リスト型攻撃

ほかのサービスからもれたIDとパスワードの一覧（リスト）を使って、別のサービスにも入れないかためす攻撃。同じパスワードを使い回していると、つぎつぎに入られます。

多要素認証（MFA）

パスワードだけでなく、スマホに来る番号やアプリの「OK」ボタンなど、2つ以上の方法で本人かどうかを確かめるしくみ。パスワードが盗まれても、スマホがなければ入れません。

06参照元

• ScanNetSecurity記事を読む（2024-12-06）
• セキュリティ対策Lab記事を読む（2024-11-27）

本ページは、参照元の報道をもとに当社が要約したものです。正確な内容は参照元と当事者の公表をご確認ください。