■キタきつねの調査等の作業状況をひっそりと更新してます （最終更新7/14）
【自主調査】
・EC-CUBEサイトの脆弱調査 ※継続調査中
※※正直に言って、ここまで酷いとは思ってませんでした。
EC-CUBE構築サイトの、管理者ログイン画面は高確率で保護されていません。
※手動調査なので時間がかかってます。
※URL実在調査をしてます。（不正ログイン試行はしてません）
●サイト調査途中結果（7/14）
※制作／開発会社によって管理ログイン画面の設定ミス頻度が違っている様です。
※実績のある制作会社であるから、セキュリティ（設定）が必ずしも正しくしているとは限りません。
EC-CUBEサイトをこちらから1,157サイトチェックしています。
チェックした際にECサイトを閉鎖している（別なサイトになっている）と思われるサイトを除くと、実在するEC-CUBE構築サイトが832サイトありましたが、全体の45%（373サイト）しか「問題がない」（※初歩的な設定が出来ている）と推定されるサイトはありませんでした。残りの55%は、管理者設定にミスがあるといっても問題ないかと思います。
①EC-CUBE管理者ログイン設定に問題有
372サイト/832サイト（約45％）
②WordPress管理者ログイン設定に問題有
43サイト/832サイト（約5％）
※EC-CUBE調査中に偶然見つけた脆弱性で必ずしもEC-CUBE側の設定が悪い訳ではありません。
③Basic認証（管理者ログイン）が出てくるサイト
42サイト/832サイト（約5％）
④その他認証画面が出てくるサイト
7サイト/832サイト（約1％）
①②③④の中で、クレジットカード決済を行っている（潜在的にカード情報漏洩事件が発生する可能性がある）サイトは、280サイト（約34%）となります。これらのサイトの管理者パスワードが脆弱（使い回し含む）であると、将来カード漏洩事件につながる可能性があると思われます。
※WordPressの上記脆弱点はEC-CUBEとは関係が無い（EC事業者側の責任範疇）可能性もありますが、１つのECサイト事業者が全体のECサイトを構築しているケースが多いかと思いましたので、管理者権限の乗っ取りが発生すると危険という意味で挙げています。
※EC-CUBEとWordPress両方の管理画面が脆弱なサイトは重複カウントしてます。
※重複登録がいくつもありそうですが、現時点では精査できてません。
（調査がひと段落してから重複サイトの削除を実施予定です）
■調査中の生データはExcelにしていますが、悪用の可能性がある生データですので、公開は控えます。
【外部依頼】
・ホワイトレポート（7/8リリース済）
■日本人のためのパスワード2.0 ※JPAC様 ホームページ
日本プライバシー認証機構（JPAC)様からホワイトレポートをリリースしました。キタきつねとしての初執筆文章となります。「パスワードリスト攻撃」対策の参考として、ご一読頂ければ幸いです。
【定期作業】
・Fox on Security 更新記事作成 （土・日曜日）
更新履歴
- 2019年6月30日PM （新規投稿）※随時更新
