ビックカメラ.comの会員ID・パスワード不正使用とサイト閉鎖（2010年）

何が起きたか

2010年11月、ビックカメラの通販サイト「ビックカメラ.com」で、一部会員のID・パスワードを使った不正な接続が確認されました。20件で会員のネットポイントが商品購入に不正使用されました。11月12日に会員から身に覚えのない購入確認メールについて連絡があり、同社は調査を始めています。ビックカメラの11月24日の発表

確認された被害とサイト閉鎖

同社は不正使用された会員に個別に連絡し、ポイントを不正使用された会員にはポイントを戻す手続きをとりました。不正使用の発覚後、11月13日11時にサイトでのポイント利用を停止し、14日午前0時にサイトを閉鎖しました。閉鎖は被害を受けて会社がとった対応であり、攻撃によってサイトが直接停止したとは確認されていません。ビックカメラの11月15日の初報／11月24日の発表

同社は安全性を確認し、11月24日午後2時にサイトを再開すると発表しました。再開時には従来の会員パスワードをすべて変更し、ポイント利用と会員情報の登録変更など一部機能は引き続き停止すると説明しました。ビックカメラの11月24日の発表

関連する手口

確認されているのは、会員ID・パスワードを使った不正な接続と、ネットポイントの不正使用です。不正ログインの説明に関連する事例ですが、参照した会社発表からは、攻撃者が認証情報をどう入手したかまでは分かりません。フィッシングや同社システムからの漏えいを原因として書く根拠はありません。ビックカメラの11月24日の発表

出来事の時系列

時系列は11月15日の初報と11月24日の発表に基づきます。

まだ分かっていないこと

参照した発表では、不正な接続が始まった日、認証情報の入手経路、ポイントの不正使用額、情報流出の有無を確認できません。20件はポイントの不正使用が確認された件数であり、被害会員の総人数や流出件数とは言えません。ビックカメラの11月24日の発表

この事例から分かること

消費者向けの通販サイトでは、会員アカウントの不正使用がポイントの被害に加え、サイト閉鎖につながることがあります。この事例はアニメイトの事案と通販の利用に支障が出た点で似ています。一方、ビックカメラの発表で確認できるのはID・パスワードの不正使用であり、同じDDoS攻撃があったとは確認できません。ビックカメラの11月24日の発表／アニメイトの発表