P2C Studio株式会社は、運営する「Creator Store」で利用している外部アプリが不正アクセスを受け、ストアフロントの一部ページに不正なスクリプトが読み込まれたと公表しました。これにより、指定の時間帯に対象導線で決済を試みた一部のお客様が偽の決済画面に誘導され、クレジットカード情報が漏洩した可能性があります。
攻撃手法（確認済み）
利用している外部アプリへの不正アクセスによりアプリの設定が変更され、ストアフロントの一部ページで不正なスクリプトが読み込まれました。これにより、対象時間帯にチェックアウトへ進んだお客様が正規画面を模した偽の決済画面（フィッシングサイト）に誘導されました。
攻撃手法（推測）
外部アプリの管理アカウントに対する不正ログインや、アプリ提供元の脆弱性を突いた攻撃によりアプリ設定が改ざんされたと考えられます。（根拠：外部アプリへの不正アクセスによってアプリの設定変更やスクリプトの挿入が発生したとされていることから、管理権限の不正奪取やアプリ基盤の脆弱性が悪用された可能性が想起されます。）
自組織チェックポイント
自組織のECサイトやWebサービスにおいて、外部サービスやサードパーティ製アプリが読み込むスクリプトや改ざんを検知・監視する仕組みがあるか
