株式会社ワサビ（EC一元管理サービス「WASABI SWITCH」）

ワサビは最初の公表で、10月14日にWASABI SWITCHのシステムが第三者の不正アクセスを受け、利用店舗の注文情報などが外部に流出していたと公表しました。購入者に届いた不審なメールは、流出した情報が悪用されたものとみています。14日の件は侵入経路を特定して遮断し、仕掛けられたマルウェアを削除しました。

10月16日4時ごろには、別の原因による不正アクセスも確認し、対策を進めています。外部の専門会社と流出の範囲を調べ、個人情報保護委員会などに報告するとしています。11月の更新でモールの認証情報やメールアカウント情報を暗号化して保管するとし、同日夕方の第二報では、非稼働のはずのアカウントが稼働していたとして、18時に全アカウントを一時非稼働にし、パスワードの変更を求めました。

ワサビは第三報で、10月14日とは別の経路による不正アクセスを確認したと公表しました。攻撃者は流出した管理者パスワードで一部店舗の管理画面にログインし、不正なプログラムを置いていました。16日3時ごろに一部店舗で、17日13時25分ごろから15時7分ごろには複数の店舗で不正ログインがあり、17日の注文データの一部とメールアカウントの情報が抜き取られました。

店舗の正式なメールアドレスから、返信の確認を装った不審なメールが送られていることも分かりました。同社は店舗に、登録していたメールアカウントのSMTP認証とPOPのパスワードを変えるよう至急求め、送信履歴や自動転送の設定も確かめるよう頼みました。登録情報の暗号化は前倒しして実施するとしています。

ワサビは第四報で、不正アクセスが重なっていることから、WASABI SWITCHに保管している受注、買取、顧客の情報を10月18日中に一時削除すると発表しました。データは事前に保存しており、整理してから店舗に戻します。各モールの認証情報やメールアカウント情報などの暗号化は18日中の完了を目指し、ストックスイッチなどにも多要素認証を入れるとしました。

同日夜の第五報では、推測されやすいIDやパスワードのアカウントが狙われていると分かったとして、20時30分から23時30分に全アカウントのパスワードを強制的に変え、メールでの2段階認証を設定しました。新しいパスワードはメールでは送らないとして、なりすましに注意するよう求めています。

ワサビは、店舗ごとのパスワードなどの認証情報をデータベース上で暗号化する作業が、10月20日5時ごろに終わったと報告しました。対象は会社設定、モール設定、メールアカウント設定の認証情報と外部連携の出力先情報です。

暗号方式には電子政府推奨暗号リストに載ったものを使い、鍵は店舗ごとに管理しているため、ある店舗の鍵が知られてもほかの店舗には影響しないとしています。店舗には、変更後のパスワードを登録してよいと案内しました。