こういう経験をして学習することも勉強にはなりますね

■ [ネット] サウンドハウス情報流出 今日の情報

珍しく連日更新。

情報がない＆現時点で確認する限り被害はないものの、念のためにサウンドハウスで使ったカードの停止を依頼。カード会社はイオンクレジットサービス。

「ネットでカードを使ったサイトが情報漏洩したようなので、停止をして欲しい」と伝えたところ、特にサウンドハウスの名前を出さなくても簡単に手続き完了。イオンにはサウンドハウスの漏洩事件が伝わっているのかいないのか分かりませんが、対応はスムーズでした。どうせならその辺り突っ込んで聞いてみれば良かったかな。

ちなみに停止すると、カードは自動的に別番号で再発行となるようです(他社もそうなのかな。この辺りの仕組みは知らないけど)。手数料は無料でした。

で、昨日ブログを書いた後にいろいろと調べてみると、サウンドハウスの対応とか、情報の正確性は良くなかったようで。SQLインジェクションを最初の報告時には特殊な攻撃、と書いてたって話はちょっとなあと思いましたが。

あとトロイを仕込まれたってのに、サーバーOSの再インストールもしないとか、停止して厳密にチェックもしてないという点も。再インストールしてないのかって話は昨日も書きましたけど、停止もしてなかったんですね。数日とは言わずとも、丸1日くらいは最低ネットワークから切り離してチェックしてしかるべきと思うんですが。

それくらいはやってるだろうという前提で書いてたのですが(なにぶんニュースを知ったのが5日の深夜で、出遅れた状態でしたし)、これは叩かれても致し方ないかなと思います。

2chの情報を見ると、2007年以前の会員の人にも不正使用されたという方もいるようですし、それが事実とするなら、公式に流出したと認めている2万7743件なんて数よりもっと多くのカード番号が漏れていることも可能性として考えられますね。

データベースが直接アクセスできるところにあったなら、SELECT * で全データを抜けるだろうし、トロイが仕掛けられたことを考えると、直接アクセスできないところにあったデータであっても抜き出せる可能性がありますので、基本、全データ流出と考えて対策を取るのが最善かなと思われます。

余談ですが、掲示板のやり取りも多少見た感じ、ツッコミどころ満載のサウンドハウス発言もあったりするんですが、忙しくてテンパっているんだろうということで生暖かい目で見守っています(笑)。脅迫的な発言とか、トレンドマイクロですら被害に遭ってるんだからうちが被害にあったっておかしくないだろとか、まあ、なんていうか、春だからですかねえ。