ワサビ
WASABI SWITCH
注文情報とメールアカウント情報の流出を確認。流出した管理者パスワードが別経路の侵入に悪用され、店舗の正規メールからの不審メール送信も確認。
漏れた情報が悪用された場合の影響
危険度：高
注文データとメールアカウント情報が流出し、管理者パスワードの悪用と店舗の正規メールからの不審送信も確認されている。保存形式は推測しない。
店舗はメールサービス側で認証情報を変更し、暗号化完了の公式案内までは新しいメールパスワードを再登録しない。購入者は返金やLINEへの誘導を求める不審メールに応じない。
危険度の判定基準当サイトの編集上の分類。発生確率や企業全体の安全性の評価ではありません。対象人数の大小では判定していません。
利用者が今できること
対象確認と二次被害への対策
- 店舗はメールサービス側でSMTP認証パスワードとPOPパスワードを変更し、同じものを使わない。POPを登録していなくてもSMTPと共通なら変更する。
- 暗号化完了の公式案内が出るまでは、変更後のメールパスワードをWASABI SWITCHに再登録しない。
- 店舗は送信履歴と自動転送設定を確認し、不審な送信は担当サポートへ連絡する。
- WASABI SWITCHの再設定手続きは代表者から担当サポートへ確認する。同社は新しいパスワードをメールでは送らないと案内。
- 購入者は返金やLINEへの誘導を求める不審メールに応じず、購入店の公式窓口へ確認する。
- 店舗は10月19日17時30分頃の担当者からの公式チャット連絡で、第四報の変更方針を確認する。公開されていない詳細は推測しない。
企業の公式案内をもとに整理。個別の対象判定は当サイトでは行いません。
どの情報が対象か
対象外・補足
- パスワードの保存形式を推測しない。件数や全対象範囲は未公表。
- 発生時期
- 10月14日に不正アクセス。第3報は10月16日3時頃と17日13:25〜15:07頃にも別経路の侵入を確認したと説明。
- 判明・検知
- 10月15日、店舗から注文情報を含む不審メールの申告。第1報の別経路の検知時刻は16日4時頃で、侵入時刻と区別する。
- 二次被害の公表状況
- 購入者を返金の名目でLINEへ誘導するメールと、店舗の正規メールからの不審メール送信を確認。
企業の対応を記録
公式サイトで全5報を公表。対象者への個別通知の範囲・完了状況は確認した資料に記載なし。
確認した公式資料に記載なし。
初回経路を遮断し脆弱性を修正。10月18日18:29にテンプレート内PHP機能を停止。取引データの一時削除・認証情報の暗号化と、18日20:30〜23:30の全アカウント強制パスワード変更・メール2段階認証は実施予定として公表されており、今回確認した本文では完了の発表は未確認。 第四報に10月19日17時30分の方針変更を追記。変更内容は店舗向けチャットで連絡したとし、公開本文では詳細未公表。旧予定どおりのデータ削除・暗号化完了は断定しない。
「発表に記載なし」は、対応が行われていないことの断定ではありません。続報の公表を追跡します。
経緯と公表の履歴
対象範囲と対応を公式公表。
対象範囲または対応の続報を公式公表。
第四報の10月19日追記で方針変更を確認。変更の詳細は非公開の店舗向け連絡のため補完せず、旧削除・暗号化予定を完了と扱わない。