「脱Ｓｔｒｕｔｓ宣言」も不発に

　同報告書では、ＧＭＯ－ＰＧはクレジットカード情報を取り扱う事業者に要求される一定レベルの情報セキュリティ体制を構築していたが、アプリケーションフレームワーク「Ａｐａｃｈｅ　Ｓｔｒｕｔｓ２」（ＡＳ２）の脆弱性を突いた攻撃に対しては奏功しなかった、とまとめている。ＧＭＯ－ＰＧは２０１６年４月からＡＳ２の使用を停止する「脱Ｓｔｒｕｔｓ宣言」を実施し、以降の新規システムにはＡＳ２が使用されていない。ただ、顧客の業務に影響が大きい既存の一部システムは、アップデートでの対応に留まり、その間に攻撃を受けてしまった。

 初動までの時系列対応では、３月６日にＡＳ２開発元の「ＵＳ　Ａｐａｃｈｅ　Ｓｉｔｅ」で脆弱性が公表され、セキュリティレベルは「Ｈｉｇｈ」に位置付けられていたが、ＧＭＯ－ＰＧのセキュリティ担当者は把握していなかった。

 攻撃を受ける当日の３月８日１５時２５分には、外部のセキュリティ情報提供サービスから、脆弱性情報を担当者がメールで受信したが、担当者は内容を確認せず、脆弱性情報の重要性を即座に認識できなかった。１６時５１分に都税支払いサイトへの攻撃が始まり、１７時４０分に同サイトのデータベースに不正アクセスが開始された。１８時２０分に担当者がアプリケーションの例外の発生を検知し、不正アクセスと判断して攻撃元のＩＰを遮断した。

不正アクセスの１時間２６分前に脆弱性情報のメールを受信

 攻撃を受ける１時間２６分前に、担当者が脆弱性情報のメールを受け取っていたが、この情報には危険度の記載がなく、ＡＳ２開発元の脆弱性情報の公表から２日遅れだった。しかし、報告書では、ＡＳ２を使用する場合、ＧＭＯ－ＰＧは開発元の情報を収集し、自社内でセキュリティ対策を行うべきだった、としている。

 今回の件で不正取得されたクレジットカード情報での不正利用は、現在でも確認されていないという。また、ＧＭＯ－ＰＧは再発防止委員会で決定した再発防止策に基づき、短期での技術的な防止策、セキュリテイインシデント対策、システム開発に関する短期的対策を実施した。サイトの再開に向けては、Ｐａｙｍｅｎｔ　Ｃａｒｄ　Ｆｏｒｅｎｓｉｃｓ（株）によるクレジットカードの国際統一基準「ＰＣＩ　ＤＳＳ」の査定を受け、ＰＣＩ　ＤＳＳ要件を満たした。

 経営責任としては、相浦一成社長ら取締役の月次報酬の３０％を３カ月間減額するなどの処分を行うことを決定した。

■「不正アクセスによる情報流出に関する調査報告書」

▽関連記事

ＧＭＯＰＧ、クレカ含む個人情報７１万９８３０件が流出か