株式会社DIRIGIOが運営するモバイルオーダーサービス「PICKS」が第三者による不正アクセスを受け、お客様情報を管理するシステムから一部の個人情報が外部に漏えいしたことが判明しました。クレジットカード番号の保持はないため漏えいはなく、不正利用等の二次被害も確認されていません。同社はサービスの停止や脆弱性の修正、認証情報の更新等を行い、10月29日より順次サービスを再開しています。
攻撃手法(確認済み)
第三者がAPIを経由して顧客情報を管理するシステムに不正に侵入し、お客様情報を外部に持ち出した。
自組織チェックポイント
外部に公開しているAPIに対して、不正なアクセスや意図しないデータ取得を防ぐための適切な認証・認可およびアクセス制御が実装されているか