千石電商：オンラインショップ「せんごくネット通販」へのSQLインジェクションで、購入者・利用者のメールアドレスが流出

1. 2023-04-08

   オンラインショップに不正アクセスがあった。 [2]

2. 2023-04-11

   顧客から迷惑メールが届くようになったとの指摘を受けて社内調査をした結果、購入者・利用者のメールアドレスの流出が分かったと公表した。 [2]

3. 2023-04-14

   流出範囲を説明した。ログイン記録と作業用パソコンのマルウェア感染を調べ、侵入の形跡はなかった。Webサーバーのアクセス記録からSQLインジェクションの形跡を見つけ、攻撃時のクエリはテーブル情報の取得と、個人情報テーブルのメールアドレス列だけだったため、流出はメールアドレスのみと判断した。 [1]

流出したのはメールアドレスのみで、2006年から注文した顧客が対象になる。クレジットカード情報は決済代行サイトで処理していて、同社では経由も保持もしておらず、流出の可能性はないという。 [1] [2]