この記事のポイント
- ファッション通販のRevolveは、顧客の支払いカード番号と有効期限が盗まれたと発表
- 危険にさらされたデータは、カード番号、有効期限、顧客の氏名、住所
- 被害の可能性がある顧客は、利用明細を確認し、カード会社への再発行依頼を検討すべき
オンライン・ファッション通販のRevolve Groupは、顧客の支払いカード番号と有効期限が盗まれたと発表しました。Revolveは、マサチューセッツ州司法長官に提出した顧客向け通知書の中で、今回のインシデントで顧客の氏名、住所、支払いカード情報が影響を受けたと伝えています。
何が盗まれたのか
危険にさらされたデータには、顧客の氏名と連絡先、支払いカード番号、カードの有効期限が含まれます。影響を受けたのは、Revolveのアカウントに支払い方法としてカードを保存していた顧客のみです。
テキサス州司法長官のデータ侵害報告サイトへの届出では、影響を受けたテキサス州民は127,200人とされていますが、全米の合計は記載されていません。筆者らは、同サイトでRevolveを検索した際に返されたデータの中に、1,515,073という数字を見つけました。このデータでは、影響を受けた人の総数とされていますが、公開リストには表示されていません。ほかのサイトもこの数字を引用していますが、同じテキサス州の記録に依拠しているようです。SEC提出書類には影響を受けた人数は記載されておらず、Revolveも総数を確認していません。
RevolveのSEC提出書類には、カード確認コード（CVV）への言及はありません。CVVは、支払いカードの裏面に印字された3桁のセキュリティコード（American Expressカードでは表面の4桁）で、カードを提示しない取引で追加の保護を担います。
カード番号が完全に見える状態だったのか、マスクされていたのか、またRevolveと第三者の決済代行業者のどちらが保管していたのかも、はっきりしていません。
CVVがなくても、カード番号と有効期限だけで買い物ができるオンラインストアはあります。さらに、本物のカード情報と連絡先を知る詐欺師は、より巧妙なフィッシングメッセージを送り、CVVを聞き出そうとする恐れがあります。
どのようにデータを入手したのか
Revolveは、攻撃者が保存済みの支払いデータにどう侵入したのかを明らかにしていません。SEC提出書類によると、Revolveは、未承認の第三者が「自動化された手段」でデータを入手した可能性があるとみています。テキサス州司法長官のサイトにある記録によると、インシデントは9月11日に発生し、9月29日に発覚しました。
この窃取について、犯行声明を出したグループは今のところありません。
Revolveの顧客が今すぐできること
Revolveは、今回の侵害を受けて追加のセキュリティ対策を講じたとしていますが、具体的な内容は明らかにしていません。
Revolveのアカウントに支払い情報を保存していた場合、あなたの情報も盗まれたデータに含まれている可能性があります。不正利用は、侵害から数日以内に始まることが少なくありません。カード情報の漏えいが心配な場合は、次の対策を取ってください。
- 利用明細を1行ずつ確認し、身に覚えのない請求を、少額でも見逃さないようにする。犯罪者は、盗んだカード情報でまず少額を決済し、カードが使えるか試すことが多い
- 見覚えのない加盟店名がないか確認する
- 不正な請求は、直ちにカード会社へ報告する
- ショッピングアカウントに保存したカードの削除を検討する。代わりにパスワードマネージャーを使う方法もあり、支払いカードの自動入力データを保管できるものもある
- カード会社に依頼してカードを解約し、新しい番号で再発行してもらう。古い番号は使えなくなる
また、このインシデントに関する電話、テキストメッセージ、メールを、すぐに信用しないでください。詐欺師は盗んだ情報を使い、もっともらしく装うことができます。カード会社を名乗る人物から連絡があった場合は、カードに印字された番号に自分からかけ直して確認しましょう。
メッセージやリンクに不安がある場合は、Malwarebytes Scam Guardで確認できます。
シークレットウィンドウでできることには限りがあります。
情報漏えい、ダークウェブでの取引、クレジット詐欺。Malwarebytes Identity Theft Protection はそのすべてを監視し、すばやく通知します。ID窃盗保険も付いています。
