ゆめさくセキュリティ

2022年1月25日に公表、日本、決済代行業

メタップスペイメント 決済データ漏えい事案

加盟店向けアプリのSQLインジェクションなど複合攻撃で決済データが流出した

何があったか

株式会社メタップスペイメントは「会費ペイ」「イベントペイ」などの決済代行サービスを運営していた。2021年12月14日、クレジットカード会社から「イベントペイ」での不正利用懸念の連絡を受け、自社調査では原因を特定できなかったため第三者機関によるフォレンジック調査を始めた。調査の過程で2022年1月5日に加盟店向けアプリケーションへのSQLインジェクションを確認し、1月24日には不正ファイル(バックドア)の存在も確認した。攻撃は2021年8月2日から2022年1月25日にわたり、社内管理システムへの不正ログイン、SQLインジェクション、バックドアの設置が組み合わさって行われ、決済情報が格納された複数のデータベースに達していた。

1月25日にトークン方式のクレジットカード決済サービスを全面停止し、第一報を公表した。トークン方式クレジットカード決済情報データベースからは最大46万395件のカード番号、有効期限、セキュリティコードが流出した可能性があり、ほかのデータベースからも確認できただけで593件の流出があった。2月28日に最終報告を公表し、2月18日には警察に被害を申告した。経済産業省は、脆弱性診断の報告書の改ざんや監視体制の不備などを認定し、6月30日に割賦販売法に基づく改善命令を出した。

入口
決済データセンターサーバー内の加盟店向けアプリケーションに存在した脆弱性を突かれ、SQLインジェクション攻撃を受けた
決め手の失敗
脆弱性診断とネットワーク脆弱性スキャンで検出された脆弱性を報告書上で改ざんし、PCI DSS監査機関に提示していた。運用監視でアラートの全件を確認しておらず、2021年10月にSQLインジェクション攻撃の兆候を把握しながら速やかな原因究明を行わなかった
被害
トークン方式クレジットカード決済情報データベースから最大46万395件のカード番号、有効期限、セキュリティコードの流出の可能性が判明した。決済情報データベースと加盟店情報データベースからも情報が流出し、確認できた流出件数は合計593件だった

攻撃の流れ

  1. 入口加盟店向けアプリケーションに存在した脆弱性を突かれ、SQLインジェクション攻撃を受けた
  2. 広がり社内管理システムへの不正ログインが行われ、クレジットカード番号を閲覧できる管理画面などへのアクセスが広がった
  3. 権限の奪取不正ファイル(バックドア)が設置され、攻撃者が継続的にシステムへアクセスできる状態が作られた
  4. 持ち出し決済情報が格納された複数のデータベースに到達し、暗号化されたクレジットカード番号や有効期限、セキュリティコード、復号鍵などが窃取された
  5. 影響トークン方式クレジットカード決済サービスを全面停止する事態となり、最大46万395件のカード情報等の流出の可能性が生じた

数字で見る

  • 460,395件 トークン方式クレジットカード決済情報データベースの対象期間利用件数(流出の可能性がある最大件数)[1] カード番号、有効期限、セキュリティコード
  • 2,415,750件 決済情報データベースのクレジットカード決済データ保有件数[1] 460,395件を含む。カード番号、有効期限
  • 593件 決済情報データベースで確認できた流出件数の合計[1]
  • 38件 加盟店情報データベースの流出件数[1] 加盟店名、加盟店コード
  • 2021年8月2日から2022年1月25日 攻撃が行われていた期間[1]
  • 34日 中間報告から最終報告までの日数[1] 2022年1月25日から2月28日まで。資料の日付から数えた

気づいたきっかけ

2021年12月14日、クレジットカード会社から「イベントペイ」での不正利用懸念の連絡を受けた。自社調査では原因を特定できず、第三者機関によるフォレンジック調査を行う中で2022年1月5日にSQLインジェクション、1月24日にバックドアの存在を確認した

対応と復旧

2021年12月16日にイベントペイのクレジットカード決済を停止し、12月17日に第三者機関によるフォレンジック調査を開始した。2022年1月8日に不正ログインとSQLインジェクションへの対策を完了し、1月25日にトークン方式のクレジットカード決済サービスを全面停止してバックドアを削除し、第一報を公表した。2月8日に最終報告書を受領し、2月18日に警察へ被害を申告、2月28日に最終報告を公表した。専門アドバイザーを含む再発防止委員会を発足させた

組織が認めた原因と、決めた対策

認めた原因

  • クレジットカード決済システム内のアプリケーションの脆弱性を起因として、社内管理システムへの不正ログイン、SQLインジェクション攻撃及びバックドアの設置が行われ、クレジットカード番号等が漏えいした
  • 脆弱性診断及びネットワーク脆弱性スキャンで検出された脆弱性を実施報告書上で改ざんし、PCI DSS監査機関に提示又は提出していた
  • クレジットカード決済システムにおける不正アクセスの検知や防御対策に不備があり、データベースが適切に分離されていなかった
  • 2021年10月に加盟店向けアプリの管理画面へのSQLインジェクション攻撃があったことを認知しながら、速やかにフォレンジック調査等の原因究明を実施しなかった

公表した再発防止策

  • 第三者調査機関による検査結果を踏まえ、2か月後をめどに再度PCI DSSアセスメントを実施する
  • 専門アドバイザーを含む再発防止委員会を発足し、システム面・運用面に加えガバナンス体制や組織体制、社員の意識を検証する
  • PCI DSSを適切に維持・運用し、第三者機関の検証を踏まえた再発防止策を速やかに実施する
  • 内部統制を強化し、監査報告書の改ざんなど不適正な業務遂行を排除する組織風土と内部監査機能を構築する
  • 経営責任の所在を明確化し、クレジットカード番号等の適切な管理に必要な経営体制を見直す

自分のサービスで確かめること

  • 脆弱性診断やペネトレーションテストの結果が改ざんされず、実際の検出結果のまま監査機関や経営陣に共有される仕組みになっているか確かめる
  • 加盟店向けアプリなど外部に公開しているアプリケーションにSQLインジェクション対策(プレースホルダ、入力値の検証)が全画面に適用されているか確かめる
  • 社内の管理画面へのログインに多要素認証やアクセス元の制限がかかっているか確かめる
  • セキュリティ監視のアラートを全件確認する体制があり、異常を把握した時点で速やかにフォレンジック調査に進めるか確かめる
  • カード会社や外部から不正利用の懸念が寄せられた際に、原因不明のまま放置せず早期に第三者機関へ調査を依頼する手順があるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2021年
  2. 12月14日 発覚 クレジットカード会社から「イベントペイ」での不正利用懸念の連絡を受領した[1]
  3. 12月16日 対応 「イベントペイ」内でのクレジットカード決済を停止した[1]
  4. 12月17日 対応 第三者機関によるフォレンジック調査を開始した[1]
  5. 2022年
  6. 1月5日 侵入 一部アプリケーションへのSQLインジェクションを確認した[1]
  7. 1月8日 対応 社内管理システムへの不正ログインとSQLインジェクションへの対策を完了した[1]
  8. 1月24日 侵入 不正ファイル(バックドア)の存在を確認した[1]
  9. 1月25日 公表 トークン方式のクレジットカード決済サービスを全停止し、バックドアを削除して「不正アクセスに関するご報告とお詫び」を公表した[1]
  10. 2月18日 対応 警察に被害を申告した[1]
  11. 2月28日 公表 「不正アクセスおよび情報流出に関するご報告とお詫び」を公表した[1]
  12. 6月30日 処分 経済産業省が割賦販売法第35条の17に基づく改善命令を発出した[2]

攻撃した側について

会社の公表、経済産業省の処分のいずれも攻撃者の名前は示していない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 不正アクセスによる情報流出に関するご報告とお詫び 株式会社メタップスペイメント (岩手銀行DCカードが加盟店向けに再配布したもの、原文は2022年2月28日付の同社公表文)、2022年2月28日、被害組織の資料
  2. クレジットカード番号等取扱業者に対する行政処分を行いました (経済産業省サイトは自動取得を弾くため、Wayback Machineに保存された同一ページから取得) 経済産業省、2022年6月30日、公的機関の資料