ECサイトへのサイバー攻撃による国内クレジットカード情報漏えいインシデントまとめ/2025年4月公表分

# 概要

- 2025年4月に公表されたクレジットカード情報漏えいインシデントのまとめです

# notes
- この月間に公表したものなので、各インシデントごとの被害発生期間は別です
- どの程度のインシデントと被害が月ごとに発生しているかの備忘録であり報道記事ではないので、原則として当事者法人等の個別具体的名称は書きません
- 被害に該当可能性のある人には事業者等より個別に連絡があると思われます

# 当月の被害の概要

- 4月は、2件のクレジットカード情報漏えいインシデントが国内で公表され、合計で14,083件ほどのクレジットカード情報について漏えいの可能性があるそうです

# 当月のインシデント

## 1. 書籍販売サイト

### 被害について
- 13,193件のセキュリティコードを含むクレジットカード情報漏えいの可能性があります
- クレジットカード情報の漏えい期間は、2021年3月20日～2024年11月24日とのことです
- 13,433件の個人情報の漏えいの可能性があります

### 経緯・原因等

- 2024年12月4日に、警察より漏えいの可能性の連絡を受けてインシデントが発覚したそうです
- 割賦販売法における、クレジットカード情報非保持化タイプと推測されます
- 原因は、当該サイトの脆弱性の放置と推測されます
- また、当該サイトの管理運用においてセキュリティ侵害を検知する仕組みが不足していたか存在していなかったため、被害発生期間が長期化した原因につながったものと思われます


## 2. 事務用品販売サイト

### 被害について
- 890件のセキュリティコードを含むクレジットカード情報漏えいの可能性があります
- クレジットカード情報の漏えい期間は、2021年2月27日～2024年6月27日とのことです
- 1,506件の個人情報の漏えいの可能性があります

### 経緯・原因等

- 2024年6月6日に、警察より漏えいの可能性の連絡を受けてインシデントが発覚したそうです
- 割賦販売法における、クレジットカード情報非保持化タイプと推測されます
- 原因は、当該サイトの脆弱性の放置と推測されます
- また、当該サイトの管理運用においてセキュリティ侵害を検知する仕組みが不足していたか存在していなかったため、被害発生期間が長期化した原因につながったものと思われます


# 感想

- 当月のインシデント件数や規模は、近年の傾向としては平均的といえます
- 経産省と日本クレジット協会による「クレジットカード・セキュリティガイドライン」が6.0版に改訂され、脆弱性対策やEMV 3-Dセキュアの導入などについて追加等ありました。関係事業者等がガイドラインに沿って国内ECサイトを安全安心に利用できるよう願うところです

## 2024年と2025年のインシデント累計件数の推移

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3813346/c970a158-2230-41fb-aac8-22c52528a215.png)


## 2024年と2025年のクレジットカード漏えい累計件数の推移

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3813346/cef17cd2-1153-4d47-ba38-d7d3528a3b93.png)


# 関連

https://qiita.com/exit0/items/3b69af4788c1efc15ef0

https://qiita.com/exit0/items/5d8df67bcc11437c2ca9

https://qiita.com/exit0/items/cc965d2a19ac6bb67dc9



# おまけ

## 「クレジットカード・セキュリティガイドライン」

- [経産省：「クレジットカード・セキュリティガイドライン [6.0版]」](https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html)
- [(一社)日本クレジット協会:関連資料](https://www.j-credit.or.jp/security/document/index.html)

## IPA(独立行政法人情報処理推進機構)
- [ECサイト構築・運用セキュリティガイドライン](https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html)

## 個人情報保護委員会
- [個人情報保護委員会](https://www.ppc.go.jp)
    - [個人情報保護委員会 - 個人情報保護法関連法令・ガイドライン等](https://www.ppc.go.jp/personalinfo/legal/)
    - [個人情報保護委員会 - 個人情報保護法相談ダイヤル](https://www.ppc.go.jp/personalinfo/pipldial/)
    - [個人情報保護委員会 - 漏えい等の対応とお役立ち資料](https://www.ppc.go.jp/personalinfo/legal/leakAction/)

## 割賦販売法関連
- [割賦販売法](https://laws.e-gov.go.jp/law/336AC0000000159)
- [割賦販売法施行令](https://laws.e-gov.go.jp/law/336CO0000000341)
- [割賦販売法施行規則](https://laws.e-gov.go.jp/law/336M50000400095)
- [経産省サイト - 割賦販売法](https://www.meti.go.jp/policy/economy/consumer/credit/11kappuhanbaihou.html)

## 経産省
- [クレジットカード・セキュリティ官民対策会議](https://www.meti.go.jp/shingikai/mono_info_service/credit_card_security/index.html)
(2024年4月9日〜)
- [クレジットカード決済システムのセキュリティ対策強化検討会](https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/index.html)
(2022年8月4日〜2023年1月20日)
    - [クレジットカード決済システムのセキュリティ対策強化検討会 報告書](https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/pdf/20230120_1.pdf)
    - [クレジットカード決済システムの更なるセキュリティ対策強化に向けた主な取組のポイント](https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/pdf/20230120_2.pdf)


# フッター

## 仲間を募集しています！

ARIではエンジニア・ITコンサルタント・PM職全方位で仲間を募集しております。
カジュアル面談、随時受付中です！
ご興味ある方はこちらをご覧ください。

https://note.com/ari_hr/n/n4aed9ba75421