Shopify パートナーアプリがユーザーのプライバシーを漏洩、約 17,000 人の販売者が影響を受ける

最近、 Shopify のパートナーアプリケーション Topd serが、ユーザーのクレジットカード情報や個人情報を含む顧客のプライバシーデータを漏洩していることが明らかになり、何千人もの買い物客に影響を与えました。

データ漏洩の根本的な原因は100％特定できないと報告されていますが、 Topdserが情報漏洩の原因であるというかなりの証拠があります。データに埋め込まれたリンクはTopdserの Web サイトを指しており、他の企業はこれらのリンクにアクセスしたり作成したりする権限を持っていません。

Topdser はShopifyのパートナーアプリケーションであり、 Shopify の販売者がAliExpressや 1688 から商品をインポートし、ワンクリックでShopifyストアに公開できるようにサポートし、コストを削減しながら 3 倍の配送速度を実現します。自動一括注文だけでなく、 Shopify の販売者はAliExpressの公式インターフェースを使用して、注文間の待機なしに、最大 300 件の注文を数秒以内にシームレスに注文できます。

( Shopify App StoreのTopdserの表示ページ)

約17,000人のShopify販売者が影響を受ける

研究者らは、1万7000以上のShopifyストアから10万件の購入データが漏洩し、露出したデータの総量は13GBに達したと指摘した。一方、 Shodan検索エンジンのデータの総量は95GB強だった。

一方、研究者らは、漏洩が最初に発見された時点では1,750万件の記録が漏洩したと指摘していたが、 Shodanは合計2,300万件の記録が漏洩したと明らかにしており、データ漏洩は約8万～10万人の消費者に影響を与えた可能性がある。

VPNMentorが共有したスクリーンショットには、漏洩したデータに注文の詳細、クレジットカード、PII (個人識別情報) データが含まれていることが示されています。

Hackreadのウェブサイトによると、 VPNMentorは2020年11月21日には早くもShopifyのデータ漏洩問題を発見し、すぐにShopifyに通知したが、 Shopifyはこの件について責任を取らなかったとのこと。

Topdserにも同じ問題が警告され、 VPNMentor は同社に脆弱性を解消し、公開されたデータを保護するための措置を講じるようアドバイスしました。

問題のデータベースは2020年11月24日に閉鎖されたが、両社ともこの件について回答せず、公式声明も出していない。データ侵害は盗難や詐欺につながる可能性があります。

Shopifyのデータ侵害は時々起こる

つい最近、 Shopifyはセキュリティ上の脆弱性が露呈し、暗号通貨ハードウェアウォレットプロバイダーのLedgerのユーザー情報が漏洩し、2万人のLedger顧客が危険にさらされると予想された。

ユーザーの氏名、住所、メールアドレスが漏洩したため、犯罪者によるフィッシング詐欺の被害に遭ったユーザーもおり、殺害予告を含む恐喝事件の報告もある。

さらに、 2020年9月22日にはShopifyの従業員2人が約200の加盟店の取引記録を盗んだことが発覚したが、関与した従業員は昨年4月と6月にLedgerの顧客情報を含むデータを漏洩していた。