EC とマーケットプレイスのためのオフェンシブセキュリティ。
オンライン小売では、欠陥が画面上のエラーとして現れることはまれです。消えていく利益、増えていくチャージバック、乗っ取られる顧客アカウントとして現れます。私たちはカタログから決済まで、経路の全体を検証します。
オンライン小売で静かにお金が漏れる場所
オンライン小売の損失の多くは、派手な侵害からは生まれません。静かなロジックの悪用から生まれます。重ねてはいけないクーポンが重なる、決済の途中で価格が書き換わる、使い回しの認証情報でアカウントが乗っ取られる。技術的には何も壊れていないので、自動化ツールは何も検知しません。
- 業務ルールの悪用は、警報を鳴らさずに利益を削ります。
- 他所の漏えいから流れてきた認証情報が、大規模なアカウント乗っ取りを支えます。
- 季節の繁忙が構成上の限界を露呈させ、悪意ある自動化の入り込む隙を作ります。
- 決済ゲートウェイ、不正対策、物流との連携が、自社コードの外まで対象を広げます。
オンライン小売の運営で検証する範囲
注文の流れとお金の流れを追い、ルールを攻撃者に有利な形へねじ曲げられる箇所を探します。
価格・送料・数量の改ざん、承認と売上確定の間の競合状態、そして手続きの各段階が想定外の順序で実行されたときに何が起きるか。
不当な併用、上限を超えた再利用、対象条件の判定、割引計算。利益を継続的に削るロジックの悪用です。
登録、ログイン、パスワード再設定、そして認証情報の総当たりに対する耐性。加えて注文履歴と保存情報に対するオブジェクト単位の権限確認。
出店者どうしの分離、ファイルのアップロード、出品情報の編集、管理画面へのアクセス。ある出店者が別の出店者のデータに届くなら、それが表に出ます。
カタログ、在庫、価格のエンドポイント。流量制限、データの列挙、そして大規模な収集を可能にする情報の露出。
決済ゲートウェイ、不正対策、基幹システム、物流。Webhook も含みます。認証なしの呼び出しを受け付けている例は、想像より多いものです。
商売を止めないコンプライアンス
小売の年間予定に合わせて動きます。範囲は繁忙期を外して確定し、証跡は求められたときに出せる形で用意します。
- PCI DSS
- カード会員データを保存・処理・伝送している場合、対象範囲と証跡の形式を、審査で求められるものに合わせます。
- 個人データ保護
- 顧客名簿、購入履歴、住所は個人データです。本人の露出と、開示に至る技術的経路を記録します。
- 消費者保護
- 価格や販売条件を書き換えられる欠陥は、技術面だけでなく契約面にも影響します。経営向け報告書ではその観点を明記します。
- 取引先の要求
- マーケットプレイス、決済事業者、大口顧客は定期的な検証の証跡を求めるのが通例です。完了報告書は、技術的な詳細を明かさずにその求めに応えます。
オンライン小売での進め方
繁忙期を外した実施
繁忙期や大型施策の最中に本格的な検証は行いません。実施時間帯は運用チームと取り決め、定められた量の上限を守ります。
業務ロジックへの注力
技術的な検証に加えて、ルールそのものを攻めます。割引、送料、在庫、返品。損失が何か月も気づかれずに潜むのはそこです。
アカウント乗っ取りの想定
漏えいした認証情報から保存済み決済手段の利用まで、不正行為者の一連の動きを再現し、不正検知の流れが実際にどこで持ちこたえるかを測ります。
是正と再テスト
利益を最も早く削るものから優先し、是正に伴走し、最終版を出す前に再検証します。
お渡しするもの
- 利益への影響を含む経営向け報告書
- 再現できる技術報告書
- 業務ルール悪用のマップ
- 根拠を添えた CVSS 評価
- 検証したアカウント乗っ取りの想定シナリオ
- 金銭的損失に基づく優先順位
- 是正済み項目の再テスト
- 取引先向けの完了報告書
この業種でよくある質問
繁忙期や大型施策の最中に検証しますか？
+
しません。売上が最も大きい時期は、変動要因を持ち込むのに最も向かない時期です。範囲は事前に確定し、繁忙を外した時間帯で実施します。ご希望があれば、施策の直前に重要な箇所だけを、範囲を絞った非侵襲的な方法で再検証します。
クーポンの悪用や価格の改ざんも対象ですか？
+
対象で、たいていは最も高くつく指摘になります。この種の欠陥は技術的には何も壊さないため、自動スキャンは沈黙します。業務ルールを理解し、手作業で試すことに懸かっており、それがまさに私たちの仕事です。
実際の顧客に影響を与えずに乗っ取りを検証できますか？
+
環境内に作成する検証用アカウントで、不正行為者の振る舞いを再現します。使い回しの認証情報、登録情報の変更、保存済み決済手段の利用など。実在の顧客アカウントを標的にすることはありません。測るのは、その流れが不審な挙動を検知して止められるかどうかです。
報告書は決済事業者やマーケットプレイスの要求に足りますか？
+
足ります。悪用可能な詳細を伏せたうえで、対象範囲・期間・結論を確認する完了報告書を発行します。取引先のデューデリジェンスで通常受け入れられる書類であり、正式な PCI DSS 審査に取って代わるものでも、矛盾するものでもありません。