グッスマ、顧客の2800人のカード番号全16桁＋セキュリティコードなど流出か 下4桁は40万枚分

セキュリティコードって、カード裏面の3桁の番号のこと？それって何に使うの？

そうです、カード裏面の3桁（アメックスは4桁）の番号がセキュリティコードです。オンライン決済のときに、カード番号と有効期限だけでなく、その番号も入力させられるのはそのためです。 なぜこんなものが必要かというと、カード番号と有効期限さえあれば理屈上は不正利用できてしまうから。でもセキュリティコードは、物理的にカードを手に取らない限り知ることができません。カード番号は磁気記録やネットワークで流出する可能性がありますが、セキュリティコードは表面には書かれていない。だから「実際にカードを持っている人が決済している」という最後の砦になるわけです。 今回の流出で特に危険なのは、この3点セット——カード番号全桁＋有効期限＋セキュリティコード——が揃ったことなんですよね。これがあれば、カード所有者になりすまして即座に使える状態になってしまう。カード番号だけの流出より、圧倒的にリスクが高いと言えそうです。

グッスマで買ったことはなくても、自分が登録してるサイトでも同じことが起きる可能性があるってこと？

その可能性はあります。グッスマの事例は氷山の一角かもしれません。 脆弱性というのは、ほぼすべてのWebサイトに潜在している。 PHPなどのプログラミング言語は定期的に脆弱性が報告されるし、 完璧にそれらに対応しているサイトはそう多くない。 むしろ「見つかってない脆弱性」の方が圧倒的に多いのが実情です。 記事で注目すべきは、グッスマが脆弱性を放置していた、というより 「システム開発・保守を委託していた事業者から連絡を受けて初めて気づいた」という部分。 つまり外部からの指摘がなければ、いつまで気づかなかったか分からない状態だったわけです。 あなたが登録しているサイトも、同じリスクにさらされている可能性は十分あります。 特に中小企業や、開発から時間が経ったサイトほど脆弱性が放置されやすい傾向にあります。 だからこそ、複数サイトで同じクレジットカード番号を使わない、 定期的にカード会社の利用明細を確認する、といった自衛手段が大事になってくるのかもしれません。

この『PHPの脆弱性』って、最近よく聞くようになった新しい問題なのか、昔からあるのに今まで気づかれてなかっただけなのか？

PHPの脆弱性の発見パターンは、実は両方混在しているんですよね。新しく見つかる穴もあれば、何年も放置されていた穴が突然クローズアップされることもある。 ただ、「最近よく聞くようになった」という実感が生まれる理由は、むしろプログラミング言語の環境変化にありそうです。PHPは1990年代から使われ続けている古い言語なので、当然ながら古い脆弱性が蓄積している。でも昔は、セキュリティ対策が甘いサイトが大量にあったため、わざわざ新しい穴を探す必要がなかったんです。今は大手サイトの防御が堅くなったから、逆に「アップデート漏れの古い脆弱性」や「長年見落とされていた設計の欠陥」が狙われやすくなった。 グッスマのケースでも、記事に「最近報告されたPHPの脆弱性ではない」と明記されている。つまり新しい穴ではなく、昔からあった脆弱性が今になって悪用されたと考えられる。古い言語、古い穴だからこそ対策を後回しにしていたのかもしれません。

40万枚のカード下4桁と2800人の全情報、7673人の個人情報……流出の『規模』が違うと、対応方法も変わるってこと？

流出の「種類」が違うと、被害の深刻さも対応も一気に変わるんですよね。 全16桁＋セキュリティコードが漏えいした2800人は、悪意ある人間がそのカードをすぐ使える状態。銀行口座の通帳を丸ごと盗まれたようなもので、カード会社はその人個人のために迅速に不正利用を止める対応が必要です。 一方、下4桁だけの40万枚は、それ単体では使い物になりません。ただし他の個人情報と組み合わされると、なりすまし詐欺や詐欺メールの根拠として悪用されるリスクがある。個別対応ではなく、社会全体への警戒喚起のほうが重要になります。 7673人の住所・氏名・注文内容は、また別の悪用パターンです。ターゲットとなった顧客への詐欺メールや架空請求、あるいは「あなたの個人情報を持ってます」という脅迫に使われやすい。 結果として、グッスマは全員に個別連絡する必要はなく、2800人には「カード再発行してください」と促し、40万人には「下4桁が流出してますから用心してください」という予防通知で足りるという判断になっている。規模が大きいほど、個別対応は逆に不効率になる側面があるんだと言えそうです。

実際の詐欺被害はまだ報告されてないみたいだけど、犯人がこのカード情報を今後どうやって売ったり使ったりするのかを知ってる人たちって、業界内にいるのかな？

カード情報の売買や悪用について、セキュリティ業界の人たちはかなり具体的に把握してますよね。 流出したカード情報は、ダークウェブと呼ばれるネット上の秘匿領域で取引されるのが一般的です。セキュリティ企業やサイバー犯罪捜査に携わる人たちは、こうした地下市場を監視していて、「いくら分の情報がいくらで売買される」といった相場観まで持っている。全16桁＋セキュリティコード＋名義人名というフルセットは特に高値がつくと言われています。 その後の使われ方も想定しやすい。まずは不正な通販サイトで少額決済をして、カードが有効かどうかを確認する「テスト決済」。そして高額決済へ移行し、配送先を架空の住所にするか、転売可能な商品を狙う流れです。業界の人たちは、こうしたパターンをほぼ確実に予測できるからこそ、情報が流出した直後の数時間が勝負だと考えている。グッスマの場合、23日朝に即座にサイトを閉鎖したというのは、その意識があるかもしれません。