【画像】タリーズ・オンラインのクレカ情報5万件流出→あるX民がハッキング原因特定！「Webアーカイブ(2024.02.29)にナンカある」

タリーズオンラインストアのWebアーカイブ(2024.02.29)にナンカある。 pic.twitter.com/uGQwl9g669

— motikan2010 (@motikan2010) October 3, 2024

Sucuri も悪いJSだと判断してる...。 pic.twitter.com/umHNIKuBmg

— motikan2010 (@motikan2010) October 3, 2024

難読化解除 φ(´･ω･｀)ﾒﾓﾒﾓ pic.twitter.com/bEtq97U38e

— motikan2010 (@motikan2010) October 3, 2024

URL先はメンテ中...φ(´･ω･｀)ﾒﾓﾒﾓ pic.twitter.com/k0XW5v3MeZ

— motikan2010 (@motikan2010) October 3, 2024

超難読化してあってこんなのコワイ！

— オトナシII (@otonashixx) October 5, 2024

恐ろしく読みにくいJS

— 反転熊 (@ysyatu) October 4, 2024

全然わかんないけどなんか凄い https://t.co/Zojws26yvB

— ガーすけ (@galabbit) October 4, 2024

タリーズハッキング原因特定されている。
すごい。 https://t.co/Tl9kUqp6cQ

— unigame (@unigame619232) October 4, 2024

すごい タリーズの原因発見してる人いる

確かにナンカある
slick.min.js という画像をスライドするファイルの中に
難読化された悪意のあるコードが追記されてるっぽい

難読化は４段階ぐらいされてるらしい

これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 https://t.co/CB5dFfF5OG

— あらおじ (@ojigunma) October 4, 2024

クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。

slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy… https://t.co/gWvp322KrE pic.twitter.com/AJuYi6Xr7k

— Niishi Kubo | GitLab,Limeboard (@n11sh1_) October 4, 2024

該当ライブラリはCDNで配布されているものではなく、本番環境の /Js/Slick/slick.min.js にアクセスしているので、全てのslick.min.jsが影響ある訳では無さそう。改ざん経路やタイミングは内部調査しないと分からない。

ただ一つ言えることとしては、コードの難読化解除 https://t.co/eeNMRh7iaW…

— Niishi Kubo | GitLab,Limeboard (@n11sh1_) October 4, 2024

スライダーでよく使われるやつやん。 https://t.co/i3Dt72Xk5h

— すいみん💤 (@cg_method) October 5, 2024

これはおそらくクロスサイトスクリプティング(XSS)かな？
今回の場合は悪意あるスクリプトを通じて利用者のブラウザで実行されるコードを持ち込み、利用者のCookieやセッション情報を盗んだということみたいですね。入力のサニタイズやCSPである程度対策は可能。以前バーカーズバーで聞いた記憶。 https://t.co/1zpbZM2nIF

— Kuninaga｜転職活動中 (@kuninagaaa) October 4, 2024

なに書いてるかわからないけど何か危ないことだけはわかる(eval...) https://t.co/XHG5ufzWJ0

— koromoko10 (@koromoko10) October 4, 2024

eval という文字列を見た瞬間、「あっ察し」ってなった https://t.co/RwZfU2BOBP

— s-yoshiki ♨️ (@s_yoshiki_dev) October 4, 2024

もうeval()と謎文字列見た時点で「やられておりますねえ」って感じよね https://t.co/c4nuCkSJYx

— urakata (@urakata6) October 4, 2024

eval…そうかまた君かぁ https://t.co/9ZH3gYw6Ia

— はっしー (@hasio__) October 4, 2024

引用見ると
タリーズが入れてるライブラリになんかやられた感じ？
ライブラリにeval あってそこから別サーバに情報渡してた感じなのかな

— ヒライ (@no_hirai) October 4, 2024

あーslick.jsの中に埋め込まれてたのか……
これは人間では気付けなさそう https://t.co/4aXUaGmrrW

— y.iwata (@y1wtt) October 4, 2024