Domande frequenti relative alle fughe di informazioni sulle carte di credito

Di seguito abbiamo riepilogato le domande frequenti relative alle " Scuse e avviso relativo alla fuga di informazioni sulla carta di credito a causa dell'accesso non autorizzato al nostro sito ".

D) Il periodo durante il quale esiste la possibilità di perdite è dal 27 novembre 2020 al 9 dicembre 2020. Va bene se ho effettuato un pagamento in un periodo diverso da quello?

R) Stiamo conducendo un'indagine da parte di un'organizzazione investigativa di terze parti. Non vi è alcuna possibilità di fuga oltre ai 195 pagamenti con carta di credito effettuati durante il periodo sopra indicato. Si prega di stare tranquilli. In caso di domande, non esitate a contattarci al banco informazioni. Inoltre, quando abbiamo analizzato le date di acquisto dei clienti che hanno effettivamente subito un uso fraudolento, abbiamo scoperto che queste erano concentrate tra i clienti che avevano effettuato acquisti il ​​2/12, 3/12, 4/12, 8/12 e 9/12.

D) Potrò utilizzarlo in sicurezza in futuro?

R) Prendiamo sul serio questa situazione e abbiamo implementato tutte le misure necessarie per migliorare la sicurezza come indicato da un'organizzazione investigativa di terze parti. Continueremo a impegnarci per migliorare la sicurezza e fare del nostro meglio per riconquistare la fiducia dei nostri clienti.

D) C'è voluto molto tempo per rispondere all'uso non autorizzato, riemettere le carte e apportare modifiche. Non c'è una sorta di risarcimento?

R) Come spiegato nel testo principale, sosterremo tutti i costi di utilizzo fraudolento e di sostituzione della carta, ma ci scusiamo profondamente per eventuali disagi causati ai nostri clienti. Vorrei scusarmi ancora una volta per l'inconveniente. Restiamo in attesa di vostre notizie riguardo eventuali misure future che potremmo adottare. Grazie per la vostra comprensione.

D) La scoperta iniziale è avvenuta il 9 dicembre 2020 e l'annuncio è stato fatto il 29 marzo 2021. Perché l'annuncio è stato ritardato così a lungo?

R) Abbiamo comunicato 24 ore su 24 con società di carte di credito e società di ricerca con l'obiettivo di contattare i clienti il ​​prima possibile, ma ci scusiamo per non potervi contattare in questo momento. . Abbiamo discusso con la società emittente della carta di credito ma, per evitare inutili confusioni, non siamo riusciti a contattarli. Ora siamo in grado di avvisare i nostri clienti solo dopo che l'organizzazione investigativa di terze parti ha completato le sue indagini e le società di carte di credito hanno confermato il problema.

D) Raccontaci le misure di miglioramento della sicurezza che hai implementato finora.

R) Abbiamo adottato le seguenti misure per evitare che incidenti simili si ripetano in futuro.
・Oltre a risolvere immediatamente la vulnerabilità nella funzione di caricamento dei file, abbiamo anche abilitato SELinux per migliorare la sicurezza relativa alla prevenzione delle manomissioni. (dicembre 2020)
- Abbiamo migrato il nostro ambiente server in un ambiente cloud pubblico sicuro costituito dal sistema operativo/middleware più recente. (dicembre 2020)
・Abbiamo introdotto un firewall altamente funzionale (WAF) e abbiamo adottato misure per bloccare accessi e attacchi non autorizzati. (Gennaio 2021)
-Introdotta l'autenticazione in due passaggi per l'ambiente server e gli strumenti di gestione. (febbraio 2021)
・Abbiamo installato un software antivirus sui nostri server ed eseguiamo controlli antivirus regolari. (febbraio 2021)
・Applichiamo regolarmente patch critiche a livello di sistema operativo/middleware. (marzo 2021)
-Introdotta la soluzione FIM (File Integrity Monitoring) per rilevare la manomissione dei file. (aprile 2021)
・Oltre a quanto sopra, abbiamo implementato varie misure di miglioramento della sicurezza.

D) Raccontaci le misure di miglioramento della sicurezza che intendi implementare in futuro.

R) Prevediamo di implementare le seguenti misure sotto la guida di un'organizzazione di ricerca di terze parti e di una società specializzata in sicurezza.
・Diagnosi periodica della sicurezza da parte di una società specializzata in sicurezza.
・Implementazione periodica di valutazioni interne delle vulnerabilità.
・Archiviazione a lungo termine dei registri utilizzando SIEM (Security Information and Event Management) ・Oltre a quanto sopra, continueremo a implementare misure per migliorare la robustezza dei nostri sistemi.

D) Hai memorizzato i dati della carta di credito (numero della carta, data di scadenza, cavo di sicurezza) sul server?

R) No. Utilizziamo un servizio di pagamento non passante (tipo JavaScript) conforme PCI-DSS fornito da Stripe e sui nostri server non vengono archiviati i dati della carta di credito del cliente. In questo attacco, alterando la pagina di pagamento, è stato inserito un modulo di input simile, molto simile al modulo di input originale della carta di credito, e le informazioni inserite al momento della pressione del pulsante di pagamento sono state trasferite al sito web dell'aggressore. È stato progettato per essere inoltrato a.

D) Cosa significa che i dati della mia carta di credito potrebbero essere stati compromessi? C'è la possibilità che non sia trapelato?

R) Non siamo riusciti ad avere la conferma che qualche informazione sia stata effettivamente trasferita al sito dell'aggressore, ma stiamo procedendo con la procedura come possibilità per tutte le carte utilizzate per il pagamento nel periodo in cui sul server esisteva il file dell'attacco. Masu. Pertanto, esiste la possibilità che i clienti che hanno effettuato pagamenti durante questo periodo non siano stati effettivamente violati. Quando abbiamo analizzato le date di acquisto dei clienti che hanno effettivamente subito un uso fraudolento, abbiamo scoperto che queste erano concentrate tra i clienti che avevano effettuato acquisti il ​​2/12, 3/12, 4/12, 8/12 e 9/12. Esiste la possibilità che il modulo falso sia stato ritirato in altri periodi (*Questo è stato effettivamente confermato dalla nostra azienda).

D) Come verrò rimborsato in caso di utilizzo non autorizzato? Inoltre, ci sarà un addebito per la sostituzione della carta?

R) Non sarai responsabile per eventuali costi sostenuti in relazione a questo incidente. Come indicato nel testo principale del rapporto, controlla i dettagli della tua carta di credito e assicurati di contattare la società della tua carta di credito in caso di utilizzo non autorizzato.

D) ApparelX continuerà a fornire servizi?

R) Prendiamo sul serio questa situazione e abbiamo implementato tutte le misure necessarie per migliorare la sicurezza come indicato da un'organizzazione investigativa di terze parti. Continueremo a impegnarci per migliorare la sicurezza e fare del nostro meglio per riconquistare la fiducia dei nostri clienti.

D) Vorrei annullare l'iscrizione a ApparelX ed eliminare tutte le informazioni.

A) Elimina le informazioni del tuo account dalla sezione Eliminazione account in Il mio account. Tutte le informazioni memorizzate sul nostro sito verranno cancellate.

D) Quando riprenderai ad accettare pagamenti con carta di credito?

R) Attualmente stiamo discutendo con la società di elaborazione dei pagamenti. Quando riapriremo faremo un annuncio sul sito. (Aggiunto il 28/4) Dopo aver ricevuto l'approvazione da ciascuna società emittente della carta, abbiamo ripreso i pagamenti con carta di credito il 28/4/2021.