【解説】エディオン不正アクセス第2報｜カード番号も一部対象に

エディオンが第2報を公表し、カード番号とパスワードも一部含まれていたと訂正しました。対象かどうかの見分け方と、事業者の教訓を整理します。

PCで入力した人は明細を

まず確かめるのは、カード番号の入力です。11月4日の19時以降に、パソコンの決済画面で新しく入力した場合が対象で、最大556回分です。当てはまれば、利用明細を確認してください。スマートフォンからの操作は対象外です。

パスワードの使い回し

ログイン情報は、最大1,141名が対象です。該当者には、変更を依頼するメールが順次届きます。注意したいのは、他のサービスです。同じパスワードを使い回しているなら、メールや金融のサービスから先に変えてください。

事業者の教訓は2つ

事業者の教訓は2つあります。1つ目は、エラー時のログに入力値を書かないことです。2つ目は、カード番号を残さない非保持化でも、決済画面の改ざんは防げないことです。入力の瞬間までは守れません。

ギフトカードの扱いや実装の例は、記事で詳しく紹介しています。