ヨシハラシステムズ：宅配クリーニング「せんたく便」の新システムがSQLインジェクションを受け、旧システムのデータも外部から見られる状態で、最大5万8,813人分のカード情報が流出した可能性

1. 2020-04-27

   新しいシステムが動き出した。同じ日から、新システムへの移行時に開発のために置いていた旧システムの一部顧客のデータが、公開された領域にあり、外部からアクセスできる状態になっていた。 [1]

2. 2020-10-30

   クレジットカード会社から流出の可能性を指摘され、同日にクレジット決済の機能を止めた。 [1]

3. 2020-11-16

   外部に公開されていたデータに、アクセスできないようにした。 [1]

4. 2021-01-26

   警察に報告した。 [1]

5. 2021-01-30

   個人情報保護委員会に報告した。 [1]

6. 2021-04-05

   流出した可能性がある顧客に、メールで連絡を始めた。 [1]

新システムは、2020年4月27日以降に稼働し、カード情報をトークンとして保管する仕組みだったが、SQLインジェクションの脆弱性を突く不正アクセスを受け、新たに登録したり変更したりした会員のカード情報4万4,891件が、外部に流出した可能性がある。 [1]

これとは別に、旧システムの一部顧客のデータ1万3,922件が外部から見られる状態だった。ログに痕跡はあったが、実際にアクセスされた件数は分かっていない。いずれもカードの名義、番号、有効期限が入っていて、住所、メールアドレス、ID、パスワードなどカード以外の情報の流出は確認されていない。 [1]

同社のシステムを使っていたクリーニング白永舎の宅配サービス「マイスターせんたく便」でも、顧客14人分のカード情報が流出した可能性があり、同じ対応をとった。同社は、身に覚えのない請求に気をつけるよう呼びかけた。 [1]