ヤマダ電機通販サイトの不正アクセスについてまとめてみた

2019年5月29日、ヤマダ電機は自社運営の通販サイトが不正アクセスを受け、クレジットカード情報が外部へ流出した可能性があると発表しました。ここでは関連する情報をまとめます。

公式発表

2019年5月29日

調査結果を踏まえ、システムのセキュリティ対策、監視体制の強化を図っている。
カード情報の登録等機能の再開は改めて案内する。

情報流出の可能性のある通販サイト

インシデントタイムライン

日時	出来事
2019年3月18日までに	ヤマダウェブコム・ヤマダモールが不正アクセスを受け、ペイメントアプリケーションが改ざんされる。
：	カード情報流出の可能性がある対象期間
2019年4月16日	クレジットカード会社より情報流出の疑義について連絡。*1
同日	ヤマダ電機が情報漏えいの可能性を把握。
：	カード情報流出の可能性がある対象期間
2019年4月26日	ヤマダウェブコム・ヤマダモールでシステムメンテナンス。カード登録を休止する措置。
同日	ヤマダ電機がP.C.F.FRONTEOへ不正アクセスの調査を依頼。
2019年5月7日	ヤマダ電機が警察へ被害相談。
2019年5月20日	P.C.F.FRONTEOによる調査が完了。
2019年5月22日	ヤマダ電機が警察へ被害届を提出。*2
2019年5月28日	ヤマダ電機が個人情報保護委員会へ不正アクセス被害を報告。
2019年5月29日	ヤマダ電機が不正アクセス被害とクレジットカード情報流出の可能性を発表。

被害の状況

ヤマダウエブコム・ヤマダモールが不正アクセスを受けた。
ペイメントアプリケーションの改ざんが行われた。
- - ヤマダ電機のWebサイトではカード情報を取得しない仕組みとなっていた。*3
改ざんにより特定期間中にクレジットカード情報が流出した可能性がある。

流出可能性の対象件数	最大37,832件以下行為を行った場合に該当・新規カード登録・カード登録情報の変更
流出可能性の対象期間	2019年3月18日～2019年4月26日（４０日間）
流出可能性のカード情報	・クレジットカード番号・カード有効期限・セキュリティコード
カードの悪用	一部不正利用された恐れあり。*4

流出した可能性があるのはカード情報のみで他個人情報は影響を受けていない。
警察、個人情報保護委員会へは報告済み。

4月16日時点で被害公表をしなった理由

ヤマダ電機は5月29日の発表で次の通り説明。

2019年4月16日情報漏洩の可能性は判明しましたが、正確な状況を把握しない段階で公表することは却って混乱を招くこととなることから、「ヤマダウエブコム・ヤマダモール」での新規クレジットカード登録、及びクレジットカード情報の変更を停止させて頂き、詳細調査を依頼している第三者調査機関の最終報告書をもって報告する事とさせていただきました。調査に時間がかかり、情報公開が遅れた事につきましても、深くお詫び申し上げます。