/// EC セキュリティ対策　情報漏えい対策

ECサイトのセキュリティ脅威

「クレジットカード情報を非保有でも情報漏えい」

セキュリティ上、ECサイトのDBにクレジットカード情報を有していなければ情報漏えいしようがないとあったが、Webアプリケーションのフレームワークの脆弱性をつかれてバッグドアを仕込まれた上でクレジットカード情報が攻撃者に転送される事件が発生した。 OSミドルウェア、フレームワークの脆弱性については十分に注意を促される事件であり、既存の考えの範囲を超えた攻撃がITシステムの脅威として発生しうることをECサイト事業者には考えていただきたい。そしてセキュリティにおける現状把握、そして定期的なセキュリティ診断をすることで脅威に対してキャッチアップされることを強くお勧めしたい。

個人情報の漏えい　セキュリティの脅威

セキュリティの10大脅威について毎年IPA※が発表しているが、当該個人情報の漏えいについて、特にWebサイト・Webアプリケーションからのユーザー情報の漏えいが第4位にランキングされた。個人情報漏洩がWebアプリケーションに起因する脆弱性により搾取される場合、脆弱性のタイプとして次のセキュリティのポイントが上げられます。

脆弱性を狙った攻撃者の考え

攻撃者は普段から脆弱性情報の収集を行っている可能性が高く、どのIPが、どのFQDNが、どのポートがオープンしているかといった調査を常にシステムで自動的に収集しています。既に攻撃できる対象があれば自動的に攻撃を開始するツールを持ち合わせ、来たる脆弱性が発見されたら保有している脆弱性DB(データベース)から攻撃対象を抽出し攻撃を開始する。攻撃者に隙を与えないためにも自社のシステムのセキュリティ状況を正確に把握し、定期的に脆弱性を有していないかを確認されることをお勧めします。

PCIDSS準拠のセキュリティ診断サービス