「WAFでは守れない」Magecartのフォームジャッキング攻撃攻撃を受けたのにGDPR違反で250億円の制裁金も

2020.01.31

ページタイトルとURLがコピーされました

ECサイトなどを標的としたスキミング。でもWAFを導入しても防げない。そんな巧妙な攻撃が、サイバー犯罪者集団「Magecart（メイジカート）」によって大量に仕掛けられている。Webサイトに組み込まれているアクセス解析や広告などサードパーティのプログラムを侵害し、グローバルでは1か月当たり4800ものサイトが攻撃されているという。

「日系企業の海外現地法人もすでに攻撃されている。間違いなく今年、上陸するだろうと思われる」

アカマイ・テクノロジーズは2020年1月30日、メディア向けに「セキュリティトピックで振り返る2019年と、2020年の動向予測と対策」と題したセキュリティ勉強会を開催。登壇したプロダクト・マーケティング・マネージャーの中西一博氏が警戒を促したのが、サイバー犯罪者集団の「Magecart（メイジカート）」だ。

アカマイ・テクノロジーズプロダクト・マーケティング・マネージャーの中西一博氏

Magecartについて、「実態はハッキリとつかめていない。6~7つのグループに分かれているとみられている」と中西氏は紹介した。主な攻撃として、クレジットカード情報などを抜き取る「スキミング」をECサイトなどに仕掛ける。グローバルに活動しており、約4800のサイトが１か月に攻撃されているという。

すでにMagecartのものとみられる事例も観測されている。スキミングを目的としたコードの痕跡が、無認可の東京オリンピックチケット転売サイトに仕掛けられていた。日系企業の現地法人のWebサイトもすでにMagecartに攻撃されていることから、間違いなく日本の被害は増えると予想される。「日本でも他人事ではなくなってきた」と中西氏は強調した。