グラントマト、ECサイトの構築委託先のサーバが不正アクセスを受け個人情報が流出の恐れ

会社名	グラントマト株式会社
株式情報	非上場
漏洩種別	流出
漏洩対象	サーバ
漏洩場所	社外
漏洩内容	クレジットカード情報/氏名/住所/電話番号/メールアドレス
漏洩件数	~~349件~~ 4,910件
漏洩日時	2021/9/3
発表日時	2021/9/17、11/15

グラントマトにてECサイトの構築委託先のサーバが不正アクセスを受け個人情報が流出の恐れ。同社の「グラントマトオンラインショップ」のECサイトを構築している東芝テックおよびおよびジーアールのサーバが外部からの不正アクセスを受け、2021年4月7日から2021年8月19日の期間中に同ECサイトにてクレジットカード情報を入力した顧客のクレジットカード情報が流出した可能性があることが判明した。

同システムを利用している他の小売事業者からクレジットカード情報の流出懸念について連絡を受け、同ECサイトを停止し調査を開始。調査の結果、クロスサイトスクリプティングの脆弱性をついたことによる不正アクセスにより、不正ファイルの設置及びペイメントアプリケーションの改ざんが行われていたことが確認された。同社は、監督官庁である個人情報保護委員会および所轄警察署へ報告するとともに、当該顧客に対しお詫びと説明ならびにクレジットカードの不正利用に注意を呼び掛けている。

クレジットカード情報以外の個人情報流出の可能性について、第三者調査機関による調査結果により、同サイトの会員マスタおよび受注マスタのデータベーステーブルが閲覧できる状態であったことから、2019年3月14日から2021年4月6日の期間中に同マスタに登録された個人情報が閲覧された可能性があることが判明した。なお、現時点において被害等は確認されておらず、また、グラントマトアプリ、ポイントカード、店頭でのクレジット決済、同サイト以外のネットショップでは、別のシステムを使用しているため、本件の影響は受けていない。（2022年11月26日追加）

関連記事：ジーアール、オムニECシステムが不正アクセスを受け、複数社の個人情報が流出