ホーム・デポの情報漏えいで5600万枚の決済カードが盗まれる — ハッカーはベンダーの認証情報を悪用

2014年9月、ホーム・デポはハッカーが同社のPOSシステムから約5600万枚の決済カード番号を盗み出したことを公表した。2014年4月から9月まで続いたこの漏えいは、当時最大規模の小売業データ漏えいであり、2013年のターゲットの漏えいを上回るものだった。

ハッカーは第三者ベンダーから盗んだ認証情報を使ってアクセスを獲得し、その後ホーム・デポのセルフレジシステムにマルウェアをインストールした。マルウェアは顧客がカードをスワイプする際にカードデータを取得した。ホーム・デポのセキュリティチームは異常な活動を検知したが、数か月にわたって漏えいを特定できなかった。

ホーム・デポは和解金、訴訟費用、セキュリティ強化に2億ドル以上を支払った。この事件はターゲットの漏えいと同じサプライチェーンの脆弱性を示していた。すなわち、第三者ベンダーの認証情報が壊滅的な漏えいの入口となったのである。この事件は小売業界にEMVチップカード技術の導入を加速させるきっかけとなった。

ハッカーはベンダーから盗んだ認証情報を使ってセルフレジシステムにマルウェアをインストールし、5600万枚のカードを盗み出し、2億ドル以上のコストを発生させた。

ハッカーは第三者ベンダーから盗んだ認証情報を使ってホーム・デポのシステムにアクセスした。

マルウェアがセルフレジシステムにインストールされ、カードデータを取得した。

5600万枚の決済カード番号が5か月間にわたって盗まれた。

ホーム・デポは2億ドル以上のコストを支払った。

あなたのネットワークの安全性は、最もセキュリティの弱いベンダーと同じ水準にとどまる。ホーム・デポのハッカーは、ターゲットの時と同様に、ベンダーの認証情報を通じて侵入した。ベンダーのアクセス管理はセキュリティ上の必須課題である。

ホーム・デポは2億ドル以上を支払い、セキュリティを全面的に見直した。この事件は米国小売業界におけるEMVチップカードの導入を加速させた。小売業におけるサプライチェーンの脆弱性の例として、ターゲットと並んで挙げられている。