メタップスペイメント：決済センターの脆弱性を突かれ、「トークン方式」のデータベースから情報が流出した可能性が高く、決済サービスを停止した

1. 2021-08-02

   攻撃が始まった。以後2022年1月25日にかけて、社内管理システムへの不正ログイン、SQLインジェクション、バックドアの設置が複合的に行われた。 [3]

2. 2021-12-14

   カード会社から、「イベントペイ」での不正利用の懸念の連絡を受けた。 [1]

3. 2021-12-15

   社内で調べたが問題は見つからず、第三者機関による調査を含む対応の検討を始めた。 [1]

4. 2021-12-16

   「イベントペイ」でのカード決済を止めた。 [1]

5. 2021-12-17

   第三者機関のフォレンジック調査を始めた。カード会社から、不正利用の懸念の対象情報が追加で届いた。 [1]

6. 2021-12-28

   この日から2022年1月5日にかけて、イベントペイに加えて3つのサイトでカードの新規決済を止めた。 [1]

7. 2021-12-29

   一部の加盟店にメールで注意を呼びかけた。 [1]

8. 2022-01-21

   夕方、情報流出の懸念を強める事象を確認した。 [1]

9. 2022-01-25

   クレジット決済の「トークン方式」を全停止し、公表した。 [1] [2]

10. 2022-02-08

    フォレンジック調査の最終報告書を受け取った。 [3]

11. 2022-02-18

    警察に被害を申告した。 [3]

12. 2022-02-28

    最終報告を公表した。 [3] [4]

13. 2022-06-30

    経済産業省が、割賦販売法に基づく改善命令を出した。 [5]

14. 2022-07-13

    個人情報保護委員会が、個人情報保護法に基づく指導をした。 [6]

15. 2022-08-01

    経済産業省と個人情報保護委員会に、改善措置の報告書を出した。社長が辞任して後任が就き、取締役3人が3か月間、報酬の一部を返した。 [7] [8]

決済センター内の一部のアプリケーションに潜んでいた脆弱性から、「トークン方式」のデータベースに格納された一部の情報にアクセスされ、情報流出の可能性が高い。流出した情報の内容と規模は調査中だった。収納代行システム「会費ペイ」「イベントペイ」を使う団体や加盟店の決済が止まった。フォレンジック調査は2022年2月中旬に終える予定とした。 [1] [2]

最終報告では、決済情報などを保管する3つのデータベースから情報が流出したと判明した。トークン方式のデータベースでは、2021年10月14日から2022年1月25日に利用されたカード番号46万395件（カード番号、有効期限、セキュリティコード）が流出した可能性があるが、実際に流出した情報は特定できず、最大で全件とした。別の決済情報データベースでは、保有する約241万件のカード決済などのうち、流出が判明したのは合計593件。加盟店情報のデータベースからは38件が流出した。 [3] [4]

経済産業省の改善命令は、カード会社の国際基準PCI DSSの維持と運用、再発防止策、システムとセキュリティ対策の内部統制の強化、監査機関に出す報告書の改ざんなどを防ぐ体制の立て直し、経営責任の明確化などを求めた。 [5]

個人情報保護委員会の指導は、個人データを扱う範囲を把握せず、情報資産の棚卸しや監査が一部されていなかったこと、内部監査が働いていなかったこと、侵入を知らせるアラートを十分に調べていなかったことを指摘し、棚卸しと監査の実施、内部監査の強化、すでに作った再発防止策の実行を求めた。 [6]

行政の対応を受けて、第三者委員会の提言を踏まえたシステム環境と体制の改善措置を報告書にまとめて出した。同時に、社長の辞任と後任の人事を決め、取締役3人が基本月額報酬の一部を3か月間返すことを受けた。 [7] [8]