【悲報】メルカリ、顧客情報など2万7千件流出　「Codecov」のスクリプト不正改変が影響

▼追加ソース

Yahoo!ニュース

Yahoo!ニュースは、新聞・通信社が配信するニュースのほか、映像、雑誌や個人の書き手が執筆する記事など多種多様なニュースを掲載しています。

news.yahoo.co.jp

↑より引用
流出情報で最も多かったのは、売上金の支払いに関連する顧客の銀行の口座番号や振込金額で、1万7085件に上った。このほか、スマートフォン決済サービス「メルペイ」の加盟店情報や従業員の氏名や生年月日も漏れた。

公式サイトより

「Codecov」への第三者からの不正アクセスによる当社への影響および一部顧客情報等の流出について

（2022年9月26日追記） 本件に関する、セルフチェックページとお問合せ窓口の提供を終了いたしました。 この度は、お客さまをはじめ多くの関係者の皆様に多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。 株式会社メルカリは、当社が利用している外部のコードカバレッジツール※「Codecov」に対する第

about.mercari.com

↑より引用

2021年4月15日、当社が利用している外部のコードカバレッジツール「Codecov」を運営するCodecov LLCが第三者による不正アクセスについて公表しました。
＜略＞

4月27日、調査の過程において不正アクセスされたソースコード上に一部顧客情報があったことが判明いたしました。一方で、当該時点において外部から当社への断続的な不正アクセスの試行を確認しており、直ちに当該事象を公表することで、さらなる攻撃を受け、追加被害に繋がる可能性があったため、当社では1) 追加被害に繋がる不正アクセスを防ぐための対策と影響範囲の特定を第一優先で実施、2) 該当の対策完了後速やかに、本件により流出した情報の対象となる方々へのご案内および外部公表をおこなうことを決定し、個人情報保護委員会等に報告いたしました。

＜略＞
■ 「GitHub」上に格納されていた「メルカリ」（US版メルカリおよび過去提供サービスを含む）「メルペイ」のソースコードの一部

■ 上記ソースコード内に含まれる、以下のデータ並びに一部取引先および当社子会社を含む従業員に関する情報

■ 「メルカリ」の一部顧客情報を含むデータ

・2013年8月5日〜2014年1月20日に実行された売上金の顧客口座への振込みに関連した情報（銀行コード、支店コード、口座番号、口座名義人（カナ）、振込金額）：17,085件
・2015年11月〜2018年1月の間におけるカスタマーサービス対応に関連した情報（氏名、住所、Eメールアドレス、電話番号、お問い合わせ内容） ：217件
・2013年5月に実施したイベントに関連した情報（氏名、年齢、性別、Eメールアドレス）：6件
※現時点で「メルペイ」やUS版メルカリの顧客情報の流出は確認されておりません

■ 「メルカリ」および「メルペイ」の一部取引先等に関する情報：

・「メルペイ」加盟店情報（個人事業主名）：7,925件

・「メルカリ」および「メルペイ」の取引先等に関する情報（氏名、生年月日、所属、Eメールアドレス等）：41件

・当社子会社を含む一部従業員に関する情報（2021年4月時点の一部従業員の氏名、会社Eメールアドレス、従業員ID、電話番号、生年月日等 ※過去の在籍者や一部外部委託先含む）：2,615件

コードカバレッジツール「Codecov」が原因との事。
確かにニュースになっています。

CodecovのBash Uploaderスクリプトが不正改変、侵害の確認と対応を

米コンピュータ緊急事態対策チーム（US-CERT: United States Computer Emergency Readiness Team）は4月30日(米国時間)、サイバー犯罪者がCodecovのBash Uploaderスクリプトに不正な改変を加えたと伝えた。該当するプロダクトを使用している場合は対応が必要

news.mynavi.jp

流れはこんな感じでしょうか？

・有名なソースコード管理システム「GitHub」と「Codecov」を使って「メルカリ」「メルペイ」のプログラムのソースコードのカバレッジ（チェックのようなもの）を行っていた。「Codecov」は可視化・レポートの役割のツールだが「GitHub」と連携できる。

・コードリポジトリ「GitHub」はネット上に存在するサービス。公開もできてしまうので事件になった事も。

被害はNEC含む5社に、GitHub上のソースコード流出問題 - 日本経済新聞

米ギットハブが運営するプログラム共有サイト「GitHub（ギットハブ）」上へのソースコード流出問題が広がっている。NECと中堅IT（情報技術）企業のコアが、自社が開発に携わったシステムに関して一部ソースコードの流出を確認したことが2日までに分かった。既に流出を確認した三井住友銀行やNTTデータ子会社のNTTデータジェト

www.nikkei.com

・「Codecov」がサイバー犯罪者により「Bash Uploaderスクリプト」が改変され、実行した時にパスワード等の認証情報が盗まれる状態に。（2021年1月31日）

・盗まれた認証情報で「GitHub」などから利用者のソースコードが盗まれる。4月23日に「GitHub」から影響を受けた恐れがあるとメルカリが連絡を受ける。

・メルカリのソースコードに顧客情報が含まれていたため流出。認証情報も含まれていて不正アクセスを受けていた？（調査中）

・4月27日に流出は判明していたが、追加被害を避けるためのに対策を行った後で公表。

ソースコード内にメルカリ等サービスの認証情報が含まれていれば、そちらへの不正アクセス等も起こりうるように見えます。
今回の問題は「Codecov」ですがメジャーなツールのようですので、まだまだ被害が広がりそうで恐ろしいです。