グッスマ、顧客の2800人のカード番号全16桁＋セキュリティコードなど流出か 下4桁は40万枚分

『脆弱性』って、要するにシステムの穴みたいなもの？その穴からハッカーが侵入したってこと？

脆弱性は本当に「穴」という比喩がぴったり当てはまります。建物に鍵をかけ忘れた窓があるように、システムにも設計段階で想定されなかった隙間が生まれることがあります。 グッスマのケースでは、カード決済ページのシステムに脆弱性があったために、ハッカーが管理者権限を不正に取得できたんですよね。つまり「本来なら特定の人だけがアクセスできるはずの奥の部屋」に、誰でも入れる状態だったわけです。そこから不正プログラムを設置して、入力されたカード情報を盗み見ることができた。 重要なのは、脆弱性自体は昔から存在していたかもしれないということです。でもハッカー側が「この穴を使えば入れる」と気づくまでは被害が起きない。今回、グッスマは「最近報告されたPHPの脆弱性ではない」と説明していますが、つまり既に知られていた穴だった可能性もあります。つまり、長く放置されていた隙間を突かれた、と言えるかもしれません。

グッスマで何度も買い物してるけど、自分のカード情報が漏れたかどうか、どうやって確認するの？

グッスマ側から個別に連絡を受けるのが、いまのところ確認の唯一の手段になりそうです。 記事では「個別に連絡した」と書かれていますが、全2800人のカード全桁流出対象者すべてに連絡済みなのか、進行中なのかは明確ではありません。カード下4桁流出の40万枚分についても「顧客人数は現在も確認中」とあるので、確認作業がまだ完了していない状態と言えます。 つまり、あなたが何度も買い物していても、流出対象に含まれるかどうか、グッスマ側もいま完全には把握できていない可能性が高い。システム上に操作履歴が残っていないからです。 手持ちとしてできることは、21日午後1時55分～23日午前7時の間にカード決済ページでの操作をした覚えがあるか思い出すこと。この期間に決済を完了させた、試みた、カート画面でカード情報を入力した——のいずれかなら流出対象に近い可能性があります。ただ正確な確認は、グッスマからの連絡待ちが基本になると考えられます。クレジットカード会社に問い合わせて不正利用がないか監視してもらう手も、念のため検討してみるといいかもしれません。

委託先のシステム開発事業者が脆弱性に気づかなかったのは、最近みんなが知ってる有名な穴ではないからなのか、それともそもそも気づくのが難しい穴だったの？

記事の「最近報告されたPHPの脆弱性ではない」という一文が、実はすごく示唆的だと思うんです。 つまり、業界の注目を集めていない、比較的地味な脆弱性だった可能性が高い。 有名な穴なら、システム開発事業者は定期的なセキュリティ情報配信や勉強会で耳にするはずで、対策も標準化されていくんですけど、 マイナーな脆弱性は、わざわざ発見・公開されるまで誰も気にしていないという構図があります。 ただ、記事には「システムの一部に存在した脆弱性」と書かれているので、 もともと存在していた古い穴かもしれません。 委託先が気づかなかったというより、開発時点では認識されていなかった、 あるいは後付けのセキュリティ監査も実施されていなかった可能性も考えられそうです。 いずれにせよ、顧客情報を扱うシステムには本来、 定期的な脆弱性診断や侵入テストが必須なのに、 そこが機能していなかった構造的な問題が見えてくる。 気づくのが難しい穴というより、「見ようとしない穴」だったと言えるかもしれません。

2日間だけプログラムが置かれたのに2800人のカード全情報が流出って、つまり『システムに脆弱性があると、ほんの短時間でも大量のデータが吸い上げられる』ってことなの？

その通りです。不正プログラムが置かれた2日間という短さよりも、「システムに管理者権限で侵入されたら、保護されたデータも何もない」という現実を見た方がいい。 カード情報は通常、暗号化されて保管されているはずです。でも記事から推測すると、この場合は違う。不正プログラムが決済ページに直接仕込まれたので、顧客がカード情報を入力する瞬間に、その「生のデータ」を横取りできる立場にあったと考えられます。つまり、どんなに強力な暗号があっても、データが入力される一瞬の隙を狙えば、その時点でデータは素のままだということ。 さらに怖いのは、脆弱性で一度管理者権限を握られると、データベース全体にアクセスできる可能性もあるということ。実際、カード下4桁が40万枚分も流出しているのは、保管データベースまで到達できた可能性を示唆しているのかもしれません。 要するに、セキュリティは「高さ」ではなく「一番弱い箇所」で決まる。たった2日間という短時間は、むしろ「漏れに気づくまでの余裕の短さ」であって、データ吸い上げの速さの話ではないと言えそうです。

40万枚分のカード下4桁と有効期限だけ漏れた人と、全16桁漏れた人がいるのは、どの人がいつ決済ページにアクセスしたかで分かれてるってこと？

正確には、不正プログラムが設置されていた期間（21日午後1時55分～23日午前7時）にアクセスしたかどうかで分かれています。 その間にカード決済ページで情報を入力した2800人が、名義人名、全16桁、有効期限、セキュリティコードの全部を流出させた。一方、40万枚分の下4桁と有効期限だけというのは、その期間より前にサイトに登録していたカード情報です。つまり、過去に一度登録したけれど、不正プログラムが仕掛けられていた時点では使用していなかった人たちのデータが、システムの別の部分から盗まれたということになります。 むしろ厄介なのは、同社が「操作履歴が残っていない」と何度も言及している点。カート画面まで進んだのか、実際に決済ページまで行ったのか、その区別ができないまま連絡しているわけです。だから「万が一の可能性」として、より広い範囲の人たちを対象に通知せざるを得ない状況になっているようです。つまり、技術的には区別できるはずの情報が、運用上は記録されていなかった、ということなのかもしれません。