Apache Struts2、ぴあ方面の続報

・ぴあ運営サイト不正アクセス、Struts2の脆弱性は「S2-045」 (04/25)

　http://itpro.nikkeibp.co.jp/atcl/column/14/346926/042500950/

「

03/07〜15 不正アクセスの痕跡が確認された

03/09 「Apache Struts2」の脆弱性の識別子、「S2-045」が公開

03/15 ホットファクトリーとききょう屋ソフトが、対策として独自にStruts2のバージョンアップ

03/25 両サイトにおける全てのクレジットカード決済機能を停止、

　　　調査会社 Payment Card Forensics（PCF）に詳細な調査を依頼

04/10 PCFからの中間報告で、不正アクセスを受けていたことが判明

04/11 ログインパスワードを初期化、顧客にパスワードを再登録してもらうよう連絡

04/15 PCFが、最終報告

　　　会員のクレジットカード番号など、
　　　どんな情報が流出した可能性があるかの詳細が分かった

　　　B.LEAGUEファンクラブ受付サイトのデータベース上や
　　　チケットサイトの通信ログ上に ...

　　　... 個人情報が不適切に保持されていたことが分かった(*1)

04/25 不正アクセスによって個人情報が流出した可能性があることを公表

　　　「4月25日は準備が整った最速のタイミングだった」

??/?? ホットファクトリーは .. 構築したB.LEAGUEチケットサイトでは、
　　　通信ログからの情報流出は確認できないものの

　　　... 閲覧等の可能性は否定できない(*2)

」

*1, *2 の外注先、データ記録先　については、次の記事の方が分かりやすい。

・「ぴあ」社が個人情報流出を発表　「チケットぴあ」に影響は？会社に聞いた (04/25)

　https://www.j-cast.com/2017/04/25296483.html?p=all

『データベース上（ききょう屋ソフトのファンクラブ受付サイト）と通信ログ上（ホットファクトリーのチケットサイト）に、ぴあ社からの発注仕様や運用ガイドラインに反して個人情報が「不適切に保持されていた」』

『通信ログ』がどうも引っかかる。本来、デバッグ完了段階で機能停止・廃棄すべき、デバッグ用記録ファイルの事では無いのかなぁ。まさか access_log（URL）等に残すような設計では無かっただろうし