ネットショップの不正使用について

[suitchocolat]

いつも大変お世話になっております。
ネットショップを不正利用された形跡があり、ご相談とお尋ねがありご連絡しました。

【状況】
・3/24に10時ごろ発覚
・3/23 02:22～02:48に、存在しない住所宛・不審なメールアドレスの注文が3件入っていた(注文者名はすべて異なる)。支払い方法にクレジットカード決済が選択されているが、支払情報が空欄になっている
・3/23 02:20～02:56に、計70件の決済エラー(カード番号エラー)が検出されている
・当店としては被害なし(気づいたため商品送ってないため)
・本件を受けてセキュリティ状況を見直し。拡張機能の『クレジットカードセキュリティ対策』は有効だったため変更なし。Google reCAPTCHA v3は未設定だったため設定済み
【推測】
・漏洩済みクレジットカード番号が有効かどうかを調べるために使われたと考えています。
【お尋ね】
・注文が入っており、支払い方法にクレジットカード決済が選ばれていても、支払い情報が空欄になることがあるのでしょうか？
【ご相談】
ソニーペイメントサービス様にも報告したほうがいいでしょうか？

何卒よろしくお願いいたします。
——————————————-
WordPress のバージョン：6.4.3
Welcart のバージョン：2.8.23.2309251
PHP のバージョン：7.4.33
症状を確認したブラウザ：GoogleChrome
サーバー【重要】：Xserver
クレジット決済モジュール：e-SCOTT Smart
以下e-SCOTTの設定
セキュリティコード：利用する
クイック決済：利用する
処理区分：与信売上計上
支払回数：一括払いのみ

[yskysmr]

suitchocolat 様

こんにちは。
ご報告の件、紛れもなく貴社サイトは「クレジットマスターアタック」の対象になってしまわれたと思います。
大変心苦しいのですが、拡張機能の「クレジットカードセキュリティ対策」は、botによる攻撃にはあまり効果がありません。また、貴社サイトでご利用のバージョンの Welcart では「Google reCAPTCHA v3」も効果がありません。まずは、Welcart を 2.9.14（本日時点で最新バージョン）にアップデートしてくださいますよう、お願いいたします。

【お尋ね】
・注文が入っており、支払い方法にクレジットカード決済が選ばれていても、支払い情報が空欄になることがあるのでしょうか？

「クレジットマスターアタック」によって、内容（購入商品や決済情報）が不定のまま受注データが作成されてしまう場合があることはご報告をいただいており、こちらは Welcart にて修正対応の予定です。
なお、こういった受注データについて、決済情報が表示されていなくても、e-SCOTTの加盟店管理画面で決済が完了していないかを、必ずご確認ください。万が一、不正な決済が確認された場合は、必ずソニーペイメントサービスに報告し、e-SCOTTの加盟店管理画面から決済の取消処理をお願いいたします。

【ご相談】
ソニーペイメントサービス様にも報告したほうがいいでしょうか？

この問題は弊社でもソニーペイメントサービスと共有しております。お手数をおかけしまして申し訳ございませんが、ご報告していただき、ソニーペイメントサービスにも把握してもらったほうがよいかもしれません。尚、前述のとおり貴社サイトの Welcart のバージョンが少し低いようですので、Welcart をアップデートするように案内があるかと思います。

[suitchocolat]

ご返信が遅くなり申し訳ありません。
ご確認、ご教授誠にありがとうございます。
ご指示いただいた内容を順次進めてまいります。
引き続き何卒よろしくお願いいたします。

[suitchocolat]

度々失礼致します。
本件、先日ソニーペイメントサービス様にご報告したのですが、本日再度攻撃を受けているとご連絡いただき、決済サービスの一時停止を提案されています。極力回避したく、設定面で防げる可能性はないか改めてお尋ねしたく思います。
なお、Welcartバージョンは2.10.1、
GooglereCAPTCHA、クレジットカードセキュリティ対策は設定済みです

■発生事象
4/13よりトークン処理件数の異常値を検知

4/13　 19657件
4/14　 19321件
4/15　 5000件以上（現時点）

■ご質問
①最新バージョン2.10.1にて今回の攻撃が防げないのは想定の範囲内か
②Google reCAPTCHAにて今回の攻撃が防げないのは想定の範囲内か
③Welcart拡張機能のクレジットカードセキュリティ対策にて今回の攻撃が防げないのは想定の範囲内か、設定の値(カウント時間等)を変更すれば防げる可能性はあるか

何卒ご回答よろしくお願いいたします。

[yskysmr]

suitchocolat 様

①最新バージョン2.10.1にて今回の攻撃が防げないのは想定の範囲内か

2.10.1 および本日リリースの 2.10.2 でも、e-SCOTT のトークン取得を繰り返す攻撃を防ぐことはできません。

②Google reCAPTCHAにて今回の攻撃が防げないのは想定の範囲内か

システム設定＞Google reCAPTCHA v3＞のラベルは「動作中response_OK」と緑色で表示されているでしょうか。
スコアはいくつに設定されているでしょうか。0.5（既定値）のままの場合は0.7、0.8などに上げてみてください。ただし、上げ過ぎる（0.9、1.0）とBotでない人間の動作でも弾かれることがあります。

③Welcart拡張機能のクレジットカードセキュリティ対策にて今回の攻撃が防げないのは想定の範囲内か、設定の値(カウント時間等)を変更すれば防げる可能性はあるか

こちらはBotの攻撃でない（人間が手作業でカード情報を入力している）場合には一定の効果がありますが、Botによる攻撃の場合は、残念ながらあまり効果がありません。

[suitchocolat]

早々にお返事下さり、誠にありがとうございます。
②について、GooglereCAPTCHAのステータスはresponse_ERRORとなっていました。恐れ入りますが、改善の方法をご教授いただけないでしょうか？
何卒よろしくお願いいたします。

[yskysmr]

suitchocolat 様

②についてですが、設定内容に不備があるか、設定が完了していないかもしれません。
以下を参考にしていただき、再度ご確認くださいますようお願いいたします。
キーに間違いがない場合は、フロントでの動作確認（一度フロントで表示してみる）が必要です。

▼Google reCAPTCHA v3 設定の「response_ERROR」が消えません
https://www.welcart.com/documents/archives/15670

[suitchocolat]

ご回答ありがとうございます。
特になにもしていないのですがresponse_OKになりましたので引き続き様子を見てみます…

[投稿者]

投稿