PC通販サイトFaithからクレジットカード情報流出

MCJは、子会社ユニットコムが運営するPC通販サイトFaithから顧客のクレジットカード番号が流出したと発表しました。
同サーバからTWOTOPのサイトの会員ユーザIDとパスワードも流出したそうです。

クレジットカード会社から情報流出の可能性についての調査依頼があり、ユニットコムが調べた結果、FaithのWebサーバに対する不正アクセスが判明し、情報流出の可能性が確認できました。

不正アクセスは、海外から行われ、データベースに３０万回以上のアクセスがあったとのことです。

この手の通販サイトのシステム構成などを見たことがないので、どうしてこのようなことになってしまうのか、いまいち解りません。
脆弱性情報とか、手口もわからないのでなんともいえないですが、OAuthなどの認証や決済は、大手が提供している機能を利用したほうが安全な気もします。
利益の問題もあるので、安易に利用できるわけでもないでしょうけど。

IDとパスワードの流出とか聞くと、パスワードが暗号化されてないの？とか思ってしまいます。暗号化されていれば、安全か？と言われれば、完全とは言い切れないまでも、秘密鍵や暗号ロジックも一緒に持ち出されない限り、悪用されるまでの時間稼ぎにはなるでしょう。
PHPとかで作ってると簡単にロジックがバレちゃうかもしれないですけど。
それから秘密鍵もソースにハードコードされているとかなりマズイ（ダサイ）ですね。
システム構成もWebサーバとDBが同居しているようなものではなく、階層構造になっていると少しは安全性を上げやすくなります。もちろん実装次第ですが。

そういった安全なクラウドを提供したいかも。

---