ECサイト情報流出、40サイトで改ざんか 発動文字列に中国簡体字

警察庁や国家公安委員会などが入った中央合同庁舎第2号館＝東京都千代田区で2022年8月25日午後2時38分、北山夏帆撮影

　電子商取引（EC）サイトが不正なプログラムにより改ざんされた事件で、全国の約40の企業や団体のサイトが改ざんされ、顧客情報が流出した疑いがあることが警察庁への取材で判明した。不正プログラムを発動する文字列には中国で使われる簡体字が含まれており、警察庁は海外の犯罪グループが関与した可能性があるとみている。

　警察庁によると、ECサイトの改ざんは2021年ごろに始まったとされる。今年に入り、警察庁サイバー特別捜査部が、過去に類似の改ざん被害に遭ったのと同じプログラムで運用されている国内のECサイトを調査。約20都道府県に拠点を置く約40の企業や団体で改ざんが見つかった。大半は警察庁の指摘で被害に気づいたという。

　被害に遭ったECサイトでは、何者かが利用者を装って、注文フォームなどに不正なプログラムを発動させる文字列を入力。文字列には中国の簡体字が含まれていたという。

　サイトの運営側が入力された内容を確認すると、プログラムが発動。顧客のクレジットカード情報が、本来保存されないサーバーに残るよう改ざんされ、攻撃者はサーバーに仕掛けた「バックドア（裏口）」を通じ、それらの顧客情報を抜き取っていたとみられる。

　東京都内では、大手コーヒーチェーン「タリーズコーヒージャパン」（新宿区）や「全国漁業協同組合連合会（全漁連）」（中央区）が運営するECサイトから、約11万件の顧客情報が抜き取られていたことが判明している。

　警察当局は不正指令電磁的記録供用容疑なども視野に、不正アクセス元のIPアドレス（インターネット上の住所）などを入手し、捜査を進めている。警察庁は経済産業省や日本クレジット協会（JCA）といった関係機関にも情報提供し、対策強化を求めている。【加藤昌平】