「ドズル社ストア」で決済時に偽ページへ誘導。原因は導入していた外部アプリ、カードを入れた人は連絡を

01発表されている事実

1. 9月11日15時ごろ〜17時50分

   不正なページへの誘導が起きていたと推定される期間（調査中のため前後する可能性あり）

2. 9月11日16時ごろ

   事象を最初に確認

3. 9月11日17時50分

   ストアを緊急メンテナンスで閉鎖

4. 9月11日20時23分

   原因の外部アプリを削除

5. 9月12日

   公表

6. 9月15日

   追記。外部機関による調査のため、ストアの閉鎖を続ける

偽のページには次の特徴がありました。左上に「Checkout」と表示され、ストア名やロゴがない。英語表示で、配送先に「United States」が選ばれている。実際より高い金額が表示されている。偽のページでの支払いは、ストアの注文として受け付けられていません。コンビニ払い、あと払い（Paidy）、PayPay、メルペイでは偽のページは表示されず、確認メールが届いた注文は有効です。影響を受けた人数は調査中です。

02読者への影響と今すぐやること

期間中に購入手続きをして、注文確認メールが届いていない人（迷惑メールフォルダも確認）は、偽のページで入力した可能性があります。ドズルは次の対応を呼びかけています。

1. クレジットカード情報を入力した場合：カード会社に連絡し、不正利用の確認と、利用停止・再発行について相談する
2. 「shop」、PayPal、G Payのログイン情報を入力した場合：パスワードを変え、利用履歴を確かめる
3. 氏名・住所・メールアドレス・電話番号を入力した場合：ドズル社、決済会社、配送業者を装う不審なメール・SMS・電話に注意する。ドズルがDMなどでカード情報やログイン情報を尋ねることはない

03同じことを防ぐには（ネットショップを運営する企業）

ShopifyなどのECサービスは、外部アプリを足すだけで機能を増やせます。その反面、決済画面に関わるアプリが1つ乗っ取られたり不正なものだったりすると、店舗側のサーバーに侵入されなくても、偽の決済ページに誘導されます。

• 入れているアプリを一覧にし、使っていないものは外す。提供元と、どの画面に関わる権限を持つかを確かめる
• 決済の直前・直後の画面を定期的に自分で操作し、見た目や遷移先の変化に気づけるようにする
• 「確認メールが届かない」という問い合わせが急に増えたら、異常のサインとして扱う

IPAの「ECサイト構築・運用セキュリティガイドライン」は、中小のネットショップ向けに対策をチェックリストにしています。図鑑では、Webサイトへの攻撃への備えとして、脆弱性診断とWAFのサービスを比べられます。

04今後の発表の予定

ストアは外部機関の調査を終え、安全を確かめてから再開する予定です。閉鎖中に注文できなかった人のために受付期間を延ばす方針で、詳細は再開時に知らせるとしています。