三井住友カード、会員向けアプリに約1万7000件の不正ログイン リスト型攻撃で顧客の氏名や明細など流出か

三井住友カードの会員制スマホアプリ「Vpass」に、リスト型攻撃による不正ログインがあった。ログインされた可能性のあるID数は1万6756件。クレジットカード情報は流出していないが、顧客の氏名、カードの名称、利用金額、利用明細、利用可能額、ポイント残高が第三者に閲覧された可能性がある。

[ITmedia]

　三井住友カードは8月23日、会員向けスマートフォンアプリ「三井住友カードVpassアプリ」に対し、リスト型攻撃による不正ログインがあったと発表した。ログインされた可能性のあるID数は1万6756件で、失敗も含めたログイン試行の回数は約500万件という。マスキングしているためクレジットカード情報は流出していないが、顧客の氏名、カードの名称、利用金額、利用明細、利用可能額、ポイント残高が第三者に閲覧された可能性があるとしている。

三井住友カードの公式サイト

　同社は19日に、不正対策として定期的に行っているモニタリングで、不正ログインを検知した。その後すぐ、不正ログインによるアクセスを遮断したり、第三者に使われたIDのパスワードを無効化したりといった緊急措置を講じた。

　調査の結果、ID・パスワードが外部に流出した証跡はなく、顧客が登録していないIDやパスワードを使用したログイン試行が多くあったことから、リスト型攻撃であることが分かったとしている。

三井住友カードによる発表

　三井住友カードは今後、不正にログインされた顧客のパスワードを無効にする他、個別に連絡し、IDとパスワードの変更を呼び掛ける方針。カードの利用状況も24時間モニタリングし、第三者による不正利用があった場合は、利用を停止した上で個別に連絡するとしている。