更新：「現時点では、見知らぬ誰かが彼女のアカウントにログインしており、彼女のカートに商品を追加し続け、彼女はそれを取り出し続けています。」
昨夜、あるReg読者が、妻が利用しているオンラインストアが一部のオンライン顧客を混同し、見知らぬ人の個人情報や注文カートにアクセスできてしまうという恐ろしい瞬間を目撃したと語っていました。サーバー側のキャッシュミスだったようで、水曜日にはサイト内をクリックするだけで、ログインの有無にかかわらず、他人のページが表示され、詳細情報や注文内容まで閲覧できたそうです。
さらに、セキュリティ上の不備により、少なくとも1人が別の顧客として注文し、その見知らぬ人のクレジットカードに請求したとされています。問題のウェブサイトは、テックスタイル・ファッション・グループ（旧称ジャストファブ社）が運営する、超トレンドのフィットネスウェアを扱うオンラインショップ「ファブレティクス」のものだったとのことです。
サイトのデスクトップ版とモバイル版の両方に影響を与えたとされていたこの不具合は、現在修正されたようです。The Registerは、職場への立ち入りが制限されているドットコムサイトからランダムに表示された、見知らぬ人物の氏名や電話番号などの詳細情報を含むウェブページのスクリーンショットを入手しました。
「妻はFableticsのアカウントを持っています」と、匿名を希望した読者が教えてくれました。「今夜、商品を注文しようとしたのですが、ログインしたら他人のアカウントになっていました。今、見知らぬ誰かが彼女のアカウントにログインしていて、カートに商品を追加したり、彼女が商品を削除したりしているんです。」
今夜、妻のクレジットカードに取引が集中しました
サイト内をクリックするだけで、顧客の個人情報にランダムにアクセスできます。名前、メールアドレス、電話番号、住所、アカウント情報、注文履歴など。必要であれば、誰かの住所を変更したり、商品を配達してもらったりすることもできました。妻が電話で連絡しましたが、彼らはそれほど深刻なこととは考えていないようでした。自分たちのサイトがどれほどひどい状態になっているのか、彼らも気づいていないようです。
まもなく、彼らの最悪の恐怖が現実のものとなった。「今夜、妻のクレジットカードにFableticsからの取引が入りました」と彼は付け加えた。「明らかに他人が彼女の口座にアクセスしていた。銀行は不審な人物としてフラグを立て、ブロックすべきかどうか確認するために電話をかけてきた。Fabletics、よくやった」
一方、プライバシー上の理由から匿名を希望した別のReg読者が、娘さんが何か奇妙なことに気づいたと私たちに知らせてくれました。
「彼女はサイトにアクセスして、他人の個人情報を入手していたんです」と情報提供者は話した。「それで私も試してみたんです。モバイルでサイトにアクセスして、ホームページ以外のページを閲覧するとログインでき、そこから顧客情報のページにアクセスしてすべてを見ることができるんです」
Cloudbleed：大手ウェブブランドがCloudflareのバグにより「暗号キーや個人情報を漏洩」
続きを読む
Regの読者3人目が、プライバシーに関する失態を体験しました。「Fableticsで男性用ショートパンツのYouTube広告を見つけたので、グーグルで検索してメインページのリンクをクリックしたら、ユーザーとしてログインしているように見えました。今まで使ったことがないのに」と匿名の情報提供者は説明しました。「いろいろクリックしていくうちに、見知らぬ人の個人情報がたくさん見えてきました。」
この事件全体は、Three UKのウェブサイトがログインを求めることなく、他の顧客の名前、住所、電話番号、電子メールアドレスなどを誤って訪問者に公開した時のことを思い出させます。
ValveのSteamストアも、キャッシュの問題により、プレイヤーのプライベートプロフィールを見知らぬ人に公開してしまうという問題を抱えていました。これは、ウェブサイトがキャッシュを利用して以前に生成されたページを高速に提供し、リクエストのたびにページを即座に生成するのを回避している場合によく発生します。しかし、キャッシュが誤ったページをユーザーに提供すると、事態は悪化します。
カリフォルニアに拠点を置くテックスタイル・ファッション・グループはコメント要請に返答しなかった。The Register紙が閲覧した同社のカスタマーサービスチームからのメッセージによると、数百万ドル規模のオンライン市場であるテックスタイル・ファッション・グループは、自社のウェブサイトからデータが漏洩したという報告を認識しており、この騒動を緊急の問題として扱っているという。
詳細が分かり次第お知らせいたします。®
わからないことがあればお知らせください。安全な方法でお知らせください。
追加更新
「8月26日水曜日、テックスタイルファッショングループは、EUとカナダの1,397人のFabletics顧客に影響を与えるウェブサイトのバグを発見しました。その結果、一部の顧客情報が短期間で誤って他の顧客に公開されるようになりました」と同社はThe Registerに語った。
これを受けて、TechStyleは直ちに該当地域における影響を受けたウェブサイトへのアクセスを遮断しました。その後、問題は速やかに解決され、その後、調査を開始し、地元当局に通報しました。また、影響を受けた方々に速やかに情報提供を行い、この問題が速やかに完全に解決されるよう努めています。
