質問: 健康食品通販サイトにおけるお客さま情報の流出に関するお詫びと調査結果のお知らせ | ニュースリリース | 森永乳業株式会社 こちらの事件ではクレジットカード情報が流出し、カード情報が不正に使用されるという被害(不正請求)があったそうです。 > > 調査の結果、カード情報※1およびカード情報以外の個人情報※2が流出したと考えられるお客さまは最大29,773名でした。また、カード情報以外の個人情報※2のみが流出した可能性のあるお客さまは最大63,049名でした。 > > > ※1:カード情報 > > 番号、名義、有効期限 ※セキュリティコードは含まれていないことが確認できました > > ※2:カード情報以外の個人情報 > > 氏名、住所、電話番号、FAX番号、メールアドレス、性別、職業、生年月日、お届け先情報、受注情報 > > > この**「セキュリティコードは含まれていない」**という文章を見て、コードがなければ決済できないのではないのか?と疑問を持ちました。 調べてみると 「クレジットカードのサインレス決済ができるできないの違いって何?|クレジットカードの三井住友VISAカード」 に書かれているように、特定の条件内ならばセキュリティコードなしでも決済できるということを知りました。 「セキュリティコードを保存してはいけない」というのはよく聞くのですが、「番号、名義、有効期限を保存してはいけない」というのは聞いたことがありません。 しかし「番号、名義、有効期限」だけでも決済ができてしまうならば、これらも保存するべきではないのではないかと思いつきました。 それでもクレジットカードの情報流出というのはよく聞くので、何かシステムで保存せざるを得ない理由があるのではないだろうかと思っています。 クレジットカード決済に関わったことがなく基本的な知識もないため、変な質問になっているかもしれませんがよろしくお願いいたします。
回答: 当該サイトがクレジットカード情報を保存していた、という想定での質問のようですが、おそらく当該サイトはクレジットカード情報を保存していないと思います。 参照されているリリースには以下の文があります。 > > (1)カード情報およびカード情報以外の個人情報 > > 2015年1月7日~2017年10月16日に、当該サイトでカード情報を入力して商品をご注文されたお客さま 最大29,773名 > > > 「2015年1月7日~2017年10月16日に、当該サイトでカード情報を入力して商品をご注文」という箇所がポイントです。これは、入力フォームからカード情報が漏洩したものと推測されます。 詳しくは以下のブログ記事をお読みください。 決済代行を使っていてもクレジットカード情報が漏洩するフォーム改ざんに注意 つまり、カード情報入力フォームにJavaScriptを追加するような改ざんをして、そのJavaScriptがフォームの情報を外部に漏洩させたのだと思います。 すでに他の方が指摘されているように、ECサイト側は原則としてカード情報非保持になるので、ECサイト側でカード情報を保存するケースは例外的(PCI DSSを取得していれば可能ですが)になるでしょう。