楽器や音響機器などを販売するサウンドハウスは7日、同社が運営するショッピングサイトから顧客情報9万7,500件が流出したことを発表した。外部からの不正アクセスにより流出したもので、そのうち2万7,743件にはクレジットカード情報も含まれている。
同社によると、流出はカード会社からの指摘で発覚。調査したところ、3月11日から22日の間に中国を発信元とする複数のIPから攻撃を受け、SQLインジェクションによってサイト内に侵入されていたことが分かった。
流出したのは、2007年1月1日から2008年3月22日までに新規会員登録を行った顧客12万2,884件のうち、最大9万7,500件までの情報。氏名、性別、生年月日、ログイン用メールアドレス、ログイン用パスワードのほか、2万7,743件についてはクレジットカードの名義、カード番号、有効期限も含まれていた。会員の住所、電話番号は流出していないという。また、クレジットカードのパスワードについても、同社でデータを保持していなかったため流出していない。
同社では、ログインパスワードを強制リセットする措置をとり、パスワードを再設定するよう会員に求めている。またカード情報が第三者に不正利用されて被害が発生した場合には、顧客に一切負担をかけないとしている。カード会社各社も、この件に関してユーザーに負担をかけることはないとのアナウンスをサイト上に掲載している。
また同社は、今回の事態を受けて、Webシステム構成の再設計、データベースからのカード情報削除、不正侵入監視機器の設置、不正プログラムの除去等の措置を行い、セキュリティ管理対策委員会を設置した。
同社が不正アクセスを受けた時期は、SQLインジェクション攻撃によって、トレンドマイクロをはじめとする各社の正規サイトや、ショッピングモール、タレントの公式ブログなどが次々に改ざんされた時期と重なる。これらのケースでは、改ざんされたサイトにスクリプトコードが埋め込まれており、閲覧者のPCに悪質なプログラムがインストールされるおそれがあった。
SQLインジェクションによってデータベースから顧客情報が漏えいする事件は、2005年から2006年前半に多発。ワコールオンラインショップや、ネット書店スカイソフトからカード情報を含む顧客情報が流出したほか、価格.comから2万件以上のメールアドレスが流出した件でも、SQLインジェクションが使われたと見られる。また、昨年10月に明らかとなった、丸紅関連ショッピングサイト「@SOLAショップ」での情報流出も、SQLインジェクション攻撃に起因するものだった。
（2008/04/08 ネットセキュリティニュース）
■サウンドハウスの告知文
・個人情報の流出について 2008年4月7日 6時00分
http://www.soundhouse.co.jp/shop/News.asp?NewsNo=1559
・個人情報の流出について 2008年4月6日 21時30分
http://www.soundhouse.co.jp/shop/News.asp?NewsNo=1558
・個人情報の流出について 2008年4月5日 11時25分
http://www.soundhouse.co.jp/shop/News.asp?NewsNo=1557
・個人情報の流出について 2008年4月3日 11時00分
http://www.soundhouse.co.jp/shop/News.asp?NewsNo=1556
■カード会社の告知文
・インターネットショッピングサイト「サウンドハウス」における情報漏洩について（イオンクレジットサービス）
http://www.aeoncredit.co.jp/information/soundhouse.html
・「株式会社サウンドハウス」における個人情報の流出について（オーエムシーカード）
http://www.omc-card.co.jp/news080407_atention.html
・「株式会社サウンドハウス」による個人情報流出について（オリエントコーポレーション）
http://www.orico.co.jp/mainte/information_20080404.html
・「サウンドハウス」におけるカード情報の流出について（JCB）
http://www.jcbcorporate.com/news/dr-711.html
・「株式会社サウンドハウス」における個人情報流出について（ジャックス）
http://www.jaccs.co.jp/emerge/detail022.html
・(株)サウンドハウスにおけるカード情報流出について（セントラルファイナンス）
http://www.cfweb.co.jp/company/info_080407.html
・株式会社サウンドハウスからの個人情報流出について（三井住友カード）
https://www.smbc-card.com/mem/cardinfo/cardinfo8090212.jsp
・「サウンドハウス」からの個人情報漏洩の可能性について（三菱UFJニコス）
http://www.cr.mufg.jp/info/2008/080407_01.html
・「株式会社サウンドハウス」における個人情報の流出について（UCS）
http://www.ucscard.co.jp/news/index.html