Häufig gestellte Fragen zu Lecks von Kreditkarteninformationen

Im Folgenden haben wir die häufig gestellten Fragen zum Thema „ Entschuldigung und Hinweis bezüglich der Offenlegung von Kreditkarteninformationen aufgrund unbefugten Zugriffs auf unsere Website “ zusammengefasst.

F) Der Zeitraum, in dem die Möglichkeit eines Verlusts besteht, ist der vom 27. November 2020 bis zum 9. Dezember 2020. Ist es in Ordnung, wenn ich in einem anderen Zeitraum als diesem eine Zahlung geleistet habe?

A) Wir führen eine Untersuchung durch eine unabhängige Untersuchungsorganisation durch. Abgesehen von den 195 Kreditkartenzahlungen, die im oben genannten Zeitraum getätigt wurden, besteht keine Möglichkeit eines Verlusts. Bitte seien Sie versichert. Bei Fragen stehen wir Ihnen gerne an der Auskunftstheke zur Verfügung. Als wir außerdem die Kaufdaten von Kunden analysierten, die tatsächlich betrügerische Nutzung erlebt hatten, stellten wir fest, dass sich dies auf Kunden konzentrierte, die am 2.12., 3.12., 4.12., 8.12. und 9.12. Käufe tätigten.

F) Kann ich es in Zukunft sicher verwenden?

A) Wir nehmen diese Situation ernst und haben gemäß den Anweisungen einer externen Ermittlungsorganisation alle notwendigen Maßnahmen zur Verbesserung der Sicherheit umgesetzt. Wir werden weiterhin bestrebt sein, die Sicherheit zu verbessern und unser Bestes tun, um das Vertrauen unserer Kunden zurückzugewinnen.

F) Es hat viel Zeit in Anspruch genommen, auf unbefugte Nutzung zu reagieren, Karten neu auszustellen und Änderungen vorzunehmen. Gibt es nicht eine Art Entschädigung?

A) Wie im Haupttext erläutert, tragen wir alle Kosten für betrügerische Nutzung und Kartenaustausch, entschuldigen uns jedoch zutiefst für etwaige Unannehmlichkeiten, die unseren Kunden entstehen. Ich möchte mich noch einmal für die Unannehmlichkeiten entschuldigen. Wir freuen uns darauf, von Ihnen bezüglich zukünftiger Maßnahmen zu hören. Danke für Ihr Verständnis.

F) Die erste Entdeckung erfolgte am 9. Dezember 2020 und die Ankündigung erfolgte am 29. März 2021. Warum wurde die Ankündigung so lange verzögert?

A) Wir haben rund um die Uhr mit Kreditkartenunternehmen und Forschungsunternehmen kommuniziert, um Kunden so schnell wie möglich zu kontaktieren. Wir entschuldigen uns jedoch dafür, dass wir Sie derzeit nicht kontaktieren können. . Wir haben Gespräche mit dem Kreditkartenunternehmen geführt, aber um unnötige Verwirrung zu vermeiden, konnten wir es nicht kontaktieren. Wir können unsere Kunden nun erst dann benachrichtigen, wenn die unabhängige Untersuchungsorganisation ihre Untersuchung abgeschlossen hat und die Kreditkartenunternehmen das Problem bestätigt haben.

F) Bitte informieren Sie uns über die Sicherheitsverbesserungsmaßnahmen, die Sie bisher umgesetzt haben.

A) Wir haben die folgenden Maßnahmen ergriffen, um zu verhindern, dass sich ein ähnlicher Vorfall in Zukunft wiederholt.
・Zusätzlich zur sofortigen Behebung der Schwachstelle in der Datei-Upload-Funktion haben wir SELinux auch aktiviert, um die Sicherheit hinsichtlich der Manipulationsprävention zu verbessern. (Dezember 2020)
- Wir haben unsere Serverumgebung auf eine sichere öffentliche Cloud-Umgebung migriert, die aus dem neuesten Betriebssystem/Middleware besteht. (Dezember 2020)
・Wir haben eine hochfunktionale Firewall (WAF) eingeführt und Maßnahmen ergriffen, um unbefugte Zugriffe und Angriffe zu blockieren. (Januar 2021)
– Einführung der zweistufigen Authentifizierung für die Serverumgebung und Verwaltungstools. (Februar 2021)
・Wir haben auf unseren Servern Antivirensoftware installiert und führen regelmäßige Virenprüfungen durch. (Februar 2021)
・Wir wenden regelmäßig kritische Patches auf Betriebssystem-/Middleware-Ebene an. (März 2021)
-Einführung der FIM-Lösung (File Integrity Monitoring) zur Erkennung von Dateimanipulationen. (April 2021)
・Zusätzlich zu den oben genannten Maßnahmen haben wir verschiedene Maßnahmen zur Verbesserung der Sicherheit umgesetzt.

F) Bitte teilen Sie uns mit, welche Sicherheitsverbesserungsmaßnahmen Sie in Zukunft implementieren möchten.

A) Wir planen, die folgenden Maßnahmen unter Anleitung einer externen Forschungsorganisation und eines auf Sicherheit spezialisierten Unternehmens umzusetzen.
・Periodische Sicherheitsdiagnose durch ein auf Sicherheit spezialisiertes Unternehmen.
・Regelmäßige Durchführung interner Schwachstellenbewertungen.
・Langfristige Speicherung von Protokollen mithilfe von SIEM (Security Information and Event Management) ・Darüber hinaus werden wir weiterhin Maßnahmen zur Verbesserung der Robustheit unserer Systeme implementieren.

F) Haben Sie Kreditkarteninformationen (Kartennummer, Ablaufdatum, Sicherheitskabel) auf dem Server gespeichert?

A) Nein. Wir nutzen einen PCI-DSS-konformen Non-Passing-Zahlungsdienst (JavaScript-Typ) von Stripe und es werden keine Kreditkarteninformationen des Kunden auf unseren Servern gespeichert. Bei diesem Angriff wurde durch Änderung der Zahlungsseite ein ähnliches Eingabeformular platziert, das dem ursprünglichen Kreditkarten-Eingabeformular sehr ähnelte, und die beim Drücken der Zahlungstaste eingegebenen Informationen wurden auf die Website des Angreifers übertragen. Es war für die Weiterleitung gedacht.

F) Was bedeutet es, dass meine Kreditkarteninformationen möglicherweise kompromittiert wurden? Besteht die Möglichkeit, dass es nicht durchgesickert ist?

A) Wir konnten nicht bestätigen, dass tatsächlich Informationen auf die Website des Angreifers übertragen wurden, wir führen das Verfahren jedoch als Möglichkeit für alle Karten fort, die während des Zeitraums, in dem die Angriffsdatei auf dem Server vorhanden war, zur Zahlung verwendet wurden. Masu. Daher besteht die Möglichkeit, dass Kunden, die in diesem Zeitraum Zahlungen geleistet haben, tatsächlich nicht verletzt wurden. Als wir die Kaufdaten von Kunden analysierten, die tatsächlich betrügerische Nutzung erlebt hatten, stellten wir fest, dass sich dies auf Kunden konzentrierte, die am 2.12., 3.12., 4.12., 8.12. und 9.12. Käufe tätigten. Es besteht die Möglichkeit, dass das gefälschte Formular zu anderen Zeiten zurückgezogen wurde (*Dies wurde tatsächlich von unserem Unternehmen bestätigt).

F) Wie erhalte ich im Falle einer unbefugten Nutzung eine Rückerstattung? Wird für den Austausch der Karte außerdem eine Gebühr erhoben?

A) Sie sind nicht für die Kosten verantwortlich, die im Zusammenhang mit diesem Vorfall entstehen. Wie im Haupttext des Berichts angegeben, überprüfen Sie bitte Ihre Kreditkartendaten und kontaktieren Sie unbedingt Ihr Kreditkartenunternehmen, wenn eine unbefugte Nutzung vorliegt.

F) Wird ApparelX weiterhin Dienstleistungen anbieten?

A) Wir nehmen diese Situation ernst und haben gemäß den Anweisungen einer externen Ermittlungsorganisation alle notwendigen Maßnahmen zur Verbesserung der Sicherheit umgesetzt. Wir werden weiterhin bestrebt sein, die Sicherheit zu verbessern und unser Bestes tun, um das Vertrauen unserer Kunden zurückzugewinnen.

F) Ich möchte mich von ApparelX abmelden und alle Informationen löschen.

A) Bitte löschen Sie Ihre Kontoinformationen aus der Kontolöschung unter „Mein Konto“. Sämtliche auf unserer Seite gespeicherten Informationen werden gelöscht.

F) Wann akzeptieren Sie wieder Kreditkartenzahlungen?

A) Wir führen derzeit Gespräche mit dem Zahlungsabwicklungsunternehmen. Sobald wir wieder öffnen, werden wir auf der Website eine Ankündigung machen. (Hinzugefügt am 28.04.) Nachdem wir die Genehmigung aller Kartenunternehmen erhalten hatten, haben wir am 28.04.2021 die Kreditkartenzahlungen wieder aufgenommen.