スイーツパラダイス、去年12月のオンラインショップでのクレジットカード不正利用事件を今更になって発表

ねとらぼ @itm_nlab

2021年12月に指摘されていた問題で 「スイーツパラダイス」のオンラインショップでクレジットカード情報漏えいの可能性　運営元が謝罪 nlab.itmedia.co.jp/nl/articles/22… pic.twitter.com/9vrdd8IbTt

拡大

物量 @butsuryo

7409件のクレカ情報贅沢フルセット(番号、名義人、有効期限、セキュリティコード)漏洩だよ、普通にありえない… sweets-paradise.jp/news/%25news_c…

物量 @butsuryo

スイパラ不正アクセス、当事者が一通り混乱して自力で対応した半年後に「混乱させると思って言いませんでした🥲」も最悪だし、お詫びをツイッターで告知しない姿勢も「騒ぎを知らない層には引き続きクリーンな印象持ってもろて😋」なのが見え見えだし本当に最悪　何のコラボしても絶対利用せん

物量 @butsuryo

当時フロントのソース見た限りEC-CUBEぽかったんだけど、もし有名な脆弱性が原因だとしたら対応サボってたのは言語道断だし、脆弱性を知らなかったならそれも論外で、「ここ地盤が弱いことがわかったんで建て直してください」って告知されて近所みんな直したのにオンボロのまま客入れてたレベル

物量 @butsuryo

2021年のWebスキミング被害を振り返ってみる - SSTエンジニアブログ techblog.securesky-tech.com/entry/2022/04/…

物量 @butsuryo

なんか…こんなイメージ ❌スイパラが保存してる情報が盗まれた ⭕️スイパラに渡すはずの情報を、横流しするよう細工された ※想像です。確実な部分は「スイパラはクレカ情報を保有していない」「第三者がオンラインショップの脆弱性をついてペイメントアプリケーションを改ざんした」(店舗関係ない) pic.twitter.com/7qlDgoRM6q

拡大

はまち @AUOfgo0125

スイパラのクレカ漏洩やばい。セキュリティコードまで抜かれてる pic.twitter.com/yEwKPRE2Ka

拡大

Rick @ricknku

スイパラのクレカ情報漏洩の件、サーバー落ちて見られない方向けスクショです。どうぞみなさまお気をつけくださいませ…！ twitter.com/butsuryo/statu… pic.twitter.com/Yhngx7sI5A

拡大

拡大

とくめい🦌@5/9（木）〜14（火）関東 @tokumewi

@butsuryo Googleキャッシュなら読めた webcache.googleusercontent.com/search?q=cache…

とくめい🦌@5/9（木）〜14（火）関東 @tokumewi

pic.twitter.com/hwxm7od1cV

拡大

拡大

拡大

栗原 @kurihara0328

@butsuryo スイーツ（個人情報）パラダイス

まこと @makoto_sky8

@butsuryo セキュリティ突破されて、改ざんされたようですね。 普通に「ありえる」時代になっているってことでしょう。 改ざんの検出サービスが需要ふえるかしら？ （セキュリティの専門家、たらんぞ）

白燕 @shirotsuba

@butsuryo クレジットカード決済システムがダイレクトに書き換えられたって言うけど そんなゴソッと入れ替えられるようなシステムだとは思えないんだがなぁ… よほど相手の腕が良かったのかもしれないけど システムの管理や運営側の脆弱性もありそう… プログラマーから見ても不思議すぎる事件だわ…

黒翼猫|ω･)｡o(くろにゃんです) @BlackWingCat

セキュリティーコード保存自体がPCI DSS基準違反なので処罰対象だな･ω･ @butsuryo

黒翼猫|ω･)｡o(くろにゃんです) @BlackWingCat

サイトの改ざんが原因で保存してないとか言ってるけど本当なんだろうか･ω･

ももも @tenshonkawaru

スイパラ 12月不正利用騒ぎ 　　オンラインショップ無言閉鎖 2月末調査終了(報告なし) 今日不正利用があったと告知 　　ただしHP記載と期間内に買い物した客へのメールのみ(SNSなどにはなし) 　　なお客へのメール内にあったリンクはエラーで使えず 煽るね～

物量 @butsuryo

@shirotsuba 現在はメンテナンス中になっていますが、当時のコードを見るとサイト構築にEC-CUBE2系？のパッケージを使っていたように見える記述がありました。 もしそうであれば、経済産業省レベルで警告されていた既知の脆弱性を、対応せずに放置していた可能性があります。攻撃者からすれば格好のカモです。

まろん @kuri_maron5

いや、スイパラの対応は企業としてほんとにまずい。混乱させると思って言いませんでした😃は本当にダメ。ユーザーの情報抜かれてて実際に被害も出てんのにいまのいままで公表してないのほんとにだめだぞ。誰だ責任者、引きずり下ろせ

めぴまる @rkknnkck

スイパラのクレカ不正利用の件は全部ダメだけど 期間的に原神コラボの客の被害者が大半だった中、調査中と黙り決め込んでる間に原神コラボ復刻までやったサイコパスさが怖い

ゆーら @yurayurara0987

今回のスイパラ不正利用のダメなところ。 ＊2月末に調査は終わっていたのに発表は今日。 ＊「不確定情報で混乱させるのを防ぐため」→逆にしっかりとした報告がされていなかったが為に混乱を招いてしまった自覚が全くない。 ひっどい会社だな。 pic.twitter.com/44od8GXXYT

拡大

拡大

きのき @kannin_1018

公表が遅れた経緯も書いてあるけどウウ〜〜ン？て感じだな スイパラちゃん知ってる？クレカの不正利用に対する補償ってカード会社にもよるし3ヶ月〜半年くらいなのよ、過ぎとんのよそれ狙った？ そして対象者にお知らせするやつには再発行手数料とか持つよってなってるんだよね？？？流石にな？