iPhoneケースメーカーのZagg、顧客のクレジットカード番号を大規模に盗難される

家電製品およびiPhoneアクセサリーメーカーのZaggは、サードパーティの決済処理業者のハッキングによりクレジットカード取引が侵害された可能性があることを顧客に知らせている。

ユタ州に拠点を置くZaggは、キーボード、スマートフォンケース、スクリーンプロテクター、モバイルバッテリー、その他のアクセサリーを製造しています。同社はウェブサイト上でクレジットカード決済を処理するためにBigCommerceを利用しており、BigCommerceはコマースに適したウェブサイトを作成するためのFreshClicksというアプリも提供しています。

BeepingComputerの報道によると、攻撃者が FreshClicks アプリに侵入し、顧客のカード情報を盗む悪意のあるコードを挿入できたことが判明した。

Zaggの顧客に送られた手紙には、「正体不明の人物」がFreshClickアプリに悪意のあるコードを注入し、Zaggのチェックアウト手続きで入力されたクレジットカード情報を盗み出すように設計されたと説明されていました。これは10月26日から11月7日の間に発生しました。

この侵害は規制当局と連邦当局に報告されました。影響を受けた顧客の数は報告されていませんが、攻撃者は顧客の氏名、住所、および決済カード情報を盗み出すことに成功しました。

影響を受けた顧客には、不正利用警告の設定やクレジット凍結など、金融口座の取引状況を監視するよう書簡で指示されました。Zaggの顧客で、カード情報が漏洩した可能性のある顧客は、Experianを通じて12ヶ月間、カード取引を無料で監視されます。

Big Commerceは声明の中で、自社のシステムは侵害や不正アクセスを受けていないと主張しました。しかし、問題が発覚すると、BigCommerceは顧客のストアからFreshClicksを無効化し、アンインストールしました。これにより、不正アクセスされたAPIと悪意のあるコードが削除されました。