【解説】CROSS POINT不正アクセス｜流出APIキーで会員情報取得

会員情報サービスのクロスポイントで、正規のAPIキーが外部に漏れ、会員情報が取得されました。導入企業は鍵の入れ替えが必要です。

11月7日未明に検知

11月7日の未明、不正アクセスが検知されました。導入企業1社のために発行された正規のキーが漏れ、会員情報を取るAPIが呼ばれました。侵入や脆弱性ではなく、正しい鍵による通常の呼び出しの形でした。

11月10日の公表内容

11月10日の公表では、取得されたのは氏名や住所、電話番号、保有ポイントなど14項目です。クレジットカード情報とログインパスワードは保持していないため対象外です。件数や企業名、漏れた経路はまだ公表されていません。

11月9日に全社で鍵交換

11月9日の夜、全利用企業のキーが再発行されました。EC、POS、検証環境やバッチなど、鍵を保存した場所を洗い出し、新しい値に揃えます。会員の方は、ポイントやランクを装う連絡のリンクから開かないよう注意が必要です。

鍵の置き場所の調べ方や、ログで異常を見つける方法は、記事で詳しく解説しています。