森永乳業通販サイトのクレジットカード情報流出事件に見るシステム開発会社のリスク

森永乳業は健康食品通販サイトでクレジットカード情報が漏洩

2018/5/9、森永乳業は健康食品通販サイトでクレジットカード情報が漏洩したと公表しました。
森永乳業健康食品通販サイト
 https://kenko.morinagamilk.co.jp/

健康食品通販サイトにおけるお客さま情報の流出懸念に関するお知らせ
 https://www.morinagamilk.co.jp/release/newsentry-2879.html

カード情報漏洩に関しての詳細は一切公表されていない

4/24にカード会社から森永乳業に対して、カード情報の不正使用による被害が発生していると報告があり、4/25より第三者調査機関が調査を開始。
5月末までに最終調査報告が届くそうで、現時点（2018/5/11）では詳細は不明です。

流出した経緯
流出した原因
流出した数
流出した情報

上記は一切公表されていません。

なぜかニュースサイトに開発会社の社名だけが記載されている

そのような状況で、日経 xTECHにはサイトを構築した開発会社の社名が記載されています。
森永乳業の情報漏洩、正確な情報が少ない訳 | 日経 xTECH（クロステック）
https://tech.nikkeibp.co.jp/atcl/nxt/column/18/00001/00443/

開発会社は「どこから漏洩したかわからない。森永乳業からの正式な発表を待っている」、「カード決済機能の構築に関わっていない。決済代行サービスを利用しており、サービスとはトークンをやり取りするようになっている」と説明しているそうです。

カード情報流出の原因が一切不明な状態で開発会社の社名だけが公表されるのは、同業者として違和感を覚えます。
現時点では情報流出の原因が開発会社にあるとは言えませんし、開発会社に原因がない可能性も十分にあるからです。

現時点では開発会社に責任があるとは言えない状況

開発会社に原因がない理由としては以下が考えられます。
多くのECサイトでは、クレジットカード決済に関してはクレジットカード決済代行会社のサービスを利用します。
また、ECサイトとクレジットカード代行システムとの連携には、代行会社が提供する決済モジュールを利用することが多いです。
（弊社では、EC-CUBEを利用してECサイトを構築致しますが、ほぼ100%決済代行会社が提供する決済モジュールを利用します。）

稀に決済モジュールに不具合が内在することがあります。
決済モジュールは決済代行会社が開発したものですので、決済モジュールの不具合の責は決済代行会社にあります。
もし、森永乳業通販サイトが決済モジュールを利用していて、決済モジュールの不具合がカード情報流出の原因であれば、開発会社はとばっちりを受けることになります。
ちなみに、弊社では決済モジュールの不具合の責は弊社にない旨を明記し、クライアントに理解して頂いております。

あと、なぜ開発会社の社名は公表して、決済蛇行会社の社名は公表しないのか、それもよく分かりません。

常に開発会社は疑われる立場

ECサイトにトラブルが発生すると、まず開発会社が疑われます。
弊社も経験して来ました。
システムに無知な一般の方にとっては、「トラブル＝システム不具合＝開発会社の責任」そんな認識なだろうと思います。
それは間違ってなく、当然のことだと思います。
ただ、今回のように大企業サイトでのトラブルが発生し、トラブルの原因が一切不明な状態で開発会社の社名を明らかにするのは開発会社にとって大きなリスクです。
弊社がその立場だったらと思うとゾッとします。
是非、慎重に行って頂きたいと今回の事件を見て思った次第です。

2018.05.11 16:15 追記
勝手に開発会社名が記載されているような書き方を致しましたが、日経BP社のご担当者からお電話を頂き、開発会社に取材し、その内容を元に開発会社に納得いただけるような形で記事を作成したとのことです。
その点、訂正させて頂きます。

投稿者プロフィール

OSAMU HORIKAWACEO: 株式会社サンクユー代表取締役CEO。
基幹システムとECをつなぎ、受発注業務の最適化を支援する専門家。

関西大学卒業後、東証プライム上場のゼネコンにて人事総務を経験。
その後システムベンダーへ転職し、IBM AS/400環境における金融・物流・販売管理・経理・人事など、企業の基幹業務を支えるシステム開発に従事する。
プログラマからプロジェクトマネージャーまでを経験し、台湾・台北駐在として銀行システム構築プロジェクトにも参画。

この経験を通じて、「システムの質は要件定義の質に比例する」という思想を確立。
業務理解を起点としたシステム設計を強みとする。

その後、クレジット決済代行会社にて、決済システムの再構築や銀行連携、ECサイト構築を担当。
あわせて組織改革にも携わり、20名から60名規模への組織拡大を実現（退任時：常務取締役）。

2008年に株式会社サンクユーを創業、2010年に法人化。
現在は、基幹システムとECの両領域に精通した知見を活かし、BtoB企業における受発注業務のデジタル化・効率化を支援。
特に、FAX・電話・メールなどアナログ業務のEC化や、基幹システムとの連携を前提とした業務設計を得意とする。

単なるECサイト構築にとどまらず、業務フローの整理・要件定義・システム設計まで一貫して関与し、「現場で使われる仕組み」を実現することを重視している。

NTTレゾナント「goo Search Solution」にてEC関連コラムを執筆。
ECマーケティングレポート | goo Search Solution

■趣味・関心領域
BMW / WRC / ロードバイク / RIZIN / UFC / 大相撲
David Bowie / blur / MUSE / The Rolling Stones / XTC
機動戦士ガンダム（富野由悠季）
ベルセルク / 頭文字D / 進撃の巨人 / ジョジョの奇妙な冒険 / あしたのジョー
Mission: Impossible / Memento / ワイルド・スピード / ソナチネ
LOST / Game of Thrones / FRINGE / The Mentalist
上岡龍太郎 / ダウンタウン