「うちは小さな会社ですし、狙われるような情報もないですよ」
「ECサイトがあるなら、会社の規模に関係なく注意が必要です。攻撃者が見ているのは従業員数ではなく、“侵入しやすいかどうか”なんです」
今回は、健康食品を販売する株式会社イルカのECサイトで起きた不正アクセス事例から、小規模な会社が確認しておきたい対策を紹介します。
小さなECサイトでも狙われる
「サイバー攻撃を受けるのは、大手通販サイトや有名企業だけ」そう思っている経営者や担当者もいるかもしれません。しかし、攻撃者が狙っているのは、有名な会社だけではありません。
- 長期間更新されていないECサイト
- 古いシステムを使い続けているサイト
- 管理画面のパスワードが弱いサイト
- 脆弱性が放置されているサイト
- 不正アクセスを監視していないサイト
このような侵入しやすいサイトが、企業規模に関係なく狙われます。ECサイトには、氏名、住所、電話番号、メールアドレス、購入履歴など、攻撃者にとって価値のある情報が集まっています。さらに、クレジットカード決済を利用している場合は、決済情報を盗み取る目的で狙われる可能性もあります。
空き巣が狙うのは、必ずしも大豪邸だけではありません。鍵が開いている家、侵入しやすい家が狙われます。これは、サイバー攻撃も同じです。
株式会社イルカのECサイトで何が起きたのか
健康食品などを販売していた株式会社イルカでは、同社が運営するECサイトに対する不正アクセスが発生しました。公表された内容によると、ECサイトのシステムに存在していた脆弱性が悪用され、不正なプログラムを設置されたとされています。攻撃者は、この不正プログラムを通じて、ECサイト上で顧客が入力した情報を盗み取ったとみられます。
漏えいした可能性があるのは、次のような情報です。
- クレジットカード番号
- カード名義人名
- 有効期限
- セキュリティコード
- 顧客の氏名
- 住所
- 電話番号
- メールアドレス
- 購入に関する情報
このように、Webサイト内へ不正なプログラムを埋め込み、利用者が入力したクレジットカード情報などを盗み取る攻撃は、一般的に「Webスキミング」と呼ばれます。
Webスキミングとは？
「カード情報を保存していなければ、安全なんじゃないですか？」
「保存していなくても、入力している途中で盗まれることがあります」
Webスキミングでは、ECサイトの決済画面などが改ざんされます。利用者が画面へカード情報を入力すると、その情報が正規の決済処理に送られると同時に、攻撃者のサーバーにも送信されることがあります。
そのため、一見すると注文や決済は正常に完了します。購入者もECサイトの運営者も、その場では異変に気づかない可能性があります。
「自社のデータベースにカード番号を保存していないから大丈夫」とは限りません。
発覚後にECサイトを閉鎖
不正アクセスや情報漏えいの可能性が判明した場合、被害の拡大を防ぐため、ECサイトの運営を停止しなければならないことがあります。株式会社イルカの事例でも、ECサイトが閉鎖され、調査や対応が行われました。
ECサイトが会社の主要な販売経路になっていた場合、サイトの停止はそのまま売上の停止につながります。
- 新しい注文を受け付けられない
- 既存顧客が商品を購入できない
- 広告を出しても購入につながらない
- 顧客からの問い合わせが増える
- 他社のECサイトへ顧客が流れる
- サイト再開後も信用が戻らない
単に「Webサイトが見られなくなった」という問題ではありません。会社の営業活動そのものが止まる可能性があるということです。
本当に怖いのは漏えいした後
情報漏えい事故が発生すると、企業はシステムを復旧するだけでは済みません。一般的には、次のような対応が必要になります。
- ECサイトやカード決済の停止
- 不正アクセスの原因調査
- 外部専門会社によるフォレンジック調査
- 個人情報保護委員会への報告
- 決済代行会社やカード会社への連絡
- 影響を受けた顧客への通知
- 顧客からの問い合わせ対応
- クレジットカードの不正利用監視
- ECサイトの改修または再構築
- セキュリティ対策の見直し
- 再発防止策の公表
社内にセキュリティの専門家がいない会社では、外部の調査会社、システム会社、決済事業者、弁護士などと連携しながら対応することになります。調査費用やシステム改修費用だけでなく、営業停止による売上減少や、顧客対応にかかる人件費も発生します。中小企業にとっては、一度の事故が会社の経営を揺るがす可能性があります。
「従業員10人だから狙われない」は通用しない
この事例から分かる重要なポイントは、会社の従業員数と、サイバー攻撃を受ける可能性は必ずしも関係しないということです。攻撃者が一社ずつ会社概要を確認し、「この会社は従業員が少ないから攻撃するのをやめよう」と判断しているわけではありません。
実際には、自動化されたツールなどを使い、インターネット上に公開されている多数のWebサイトを調査しています。そこで見つかった脆弱性や設定不備が、侵入の入口として悪用されます。
- 古いソフトウェアを使っていないか
- 既知の脆弱性が残っていないか
- 管理画面が外部に公開されていないか
- 管理者パスワードが推測しやすくないか
- 不要なプログラムやページが残っていないか
従業員10人の会社でも、従業員1,000人の会社でも、インターネット上に脆弱なシステムを公開していれば攻撃対象になり得ます。
ECサイトを制作会社に任せていても安心ではない
「ECサイトは制作会社に作ってもらったので、セキュリティも任せています」
「“作ってもらった”と“現在も管理してもらっている”は別なんです」
中小企業のECサイトでは、Web制作会社やシステム会社に構築を依頼しているケースが多いでしょう。しかし、外部の会社が作ったからといって、現在も安全に管理されているとは限りません。
- システムの更新は誰が行うのか
- 脆弱性情報は誰が確認するのか
- 不正アクセスの監視は契約に含まれているか
- バックアップはどこに保存されているか
- 異常が発生した場合は誰から連絡が来るのか
- 休日や夜間も対応してもらえるのか
- 事故調査の費用は契約に含まれているか
「保守契約を結んでいるから大丈夫」と思っていても、契約範囲がサーバーの稼働確認や簡単な更新作業だけということもあります。まずは契約書や見積書を確認し、誰が、どこまで、どの頻度で管理するのかを整理しておきましょう。
中小企業が今すぐ確認したい5つの対策
すべての攻撃を完全に防ぐことは困難です。しかし、基本的な対策を積み重ねることで、不正アクセスを受ける可能性や、被害が拡大する可能性を下げられます。
① ECサイトの更新状況を確認する
ECサイトで使用しているシステム、CMS、プラグイン、サーバーなどが、最新の状態になっているか確認しましょう。特にWordPressなどで使用しているプラグインは、不要なものを削除し、利用中のものを定期的に更新します。
② 管理画面に多要素認証を設定する
ECサイトの管理画面へ、IDとパスワードだけでログインできる状態は見直しましょう。レンタルサーバー、ドメイン管理サービス、WordPress、決済代行サービス、管理者用メール、クラウドサービスにも多要素認証を設定します。
③ カード情報を通過させない決済方式を検討する
自社のECサイト内でカード情報を直接入力・処理する構成よりも、決済代行会社が提供する画面へ移動して決済する方式などを検討します。ただし、カード情報を自社で保存していないだけで、すべてのリスクがなくなるわけではありません。
④ 不正な改ざんを確認できるようにする
Webスキミングでは、見た目をほとんど変えずに不正なプログラムだけが追加されることがあります。不審なファイル、重要ファイルの書き換え、不審なログイン、管理者アカウントの追加、通常とは異なる外部通信などを検知できる仕組みを整えましょう。
⑤ 事故発生時の連絡先を決めておく
ECサイトの制作・保守会社、レンタルサーバー会社、決済代行会社、IT事業者、セキュリティ調査会社、サイバー保険の窓口、社内の経営責任者など、事故発生時の連絡先を平常時に整理しておきます。
まずは制作会社に3つ質問してみよう
何から確認すればよいか分からない場合は、ECサイトを管理している会社へ、次の3つを質問してみましょう。
- ECサイト本体やプラグインは、誰が更新していますか？
- 不正アクセスやファイル改ざんを監視していますか？
- 事故が発生した場合は、どこまで対応してもらえますか？
この3つに明確な回答がない場合は、保守やセキュリティの管理範囲を見直す必要があります。
まとめ｜ECサイトの停止は会社の売上停止につながる
株式会社イルカの事例は、小規模な会社が運営するECサイトでも、不正アクセスの被害に遭う可能性があることを示しています。ECサイトが攻撃されると、問題になるのは情報漏えいだけではありません。
- ECサイトを閉鎖しなければならない
- 商品を販売できなくなる
- 顧客対応に追われる
- 外部の専門会社による調査が必要になる
- サイトの改修や再構築に費用がかかる
- 会社や商品の信用が低下する
ECサイトのセキュリティ対策は、Web担当者や制作会社だけの問題ではありません。会社の売上と顧客からの信用を守るための経営対策です。
「セキュリティ担当なんていません！」という会社だからこそ、誰が管理し、問題が起きたら誰に相談するのかだけは、事前に決めておきましょう。
参考文献・参照サイト
本記事で紹介したECサイトの不正アクセス事例の経緯、および小規模EC事業者が義務付けられているセキュリティ対策基準は、以下の公式発表および公的機関の資料を基にしています。
事例に関する一次情報
- 株式会社イルカ 公式発表とお詫び（Webページ版）
2023年11月15日に公開された、不正アクセスによるクレジットカード情報および個人情報漏えいの可能性に関する公式の報告とお詫びです。 - 株式会社イルカ 公式発表（詳細PDF資料）
システムの脆弱性を突いた不正プログラムの設置（Webスキミング）の検知から、ECサイト閉鎖、外部専門機関による調査報告までの具体的な経緯が記載されています。
ECサイト・クレジットカードのセキュリティ基準
- 日本クレジット協会 クレジットカード・セキュリティガイドライン
ECサイト運営者が不正アクセスやWebスキミングを防ぐために義務付けられている対策（非保持化の徹底や多要素認証の導入など）を定めた業界の公式基準です。 - 個人情報保護委員会 漏えい等の対応とお役立ち資料
万が一、顧客の個人情報やカード情報が流出した（またはその恐れがある）場合に、企業が義務付けられている速報・確報の報告手順や、ユーザーへの通知方法が案内されている国の公式窓口です。 - IPA ECサイト構築・運用セキュリティガイドライン
独立行政法人情報処理推進機構（IPA）が公開している、Web制作会社へ保守範囲を質問・確認する際や、自社で脆弱性対策を行うための実践的な手引きです。
