セブンペイ、抱えていた「不発弾」の代償

セブン＆アイ・ホールディングスが7月1日に開始したスマホ決済サービス「7pay（セブンペイ）」で不正アクセス被害が発生した。SNS上で「30万円を不正利用された」「19万円を不正にチャージされて使われた」などの被害が相次いで報告され、セブン＆アイは7月3日にクレジットカードとデビットカードからの入金手続き停止を発表。7月4日には全ての入金手続きを止めた。セブン＆アイの発表によると、7月4日の午前6時時点の試算で被害者は約900人、被害額は約5500万円に上る。 4日に会見したセブン＆アイ傘下のセブン・ペイの小林強社長は「詳細な原因を調査中」と話した。だが、原因の一つとしてセブン-イレブン・ジャパンのアプリ「セブン-イレブンアプリ」が使っていた会員システム「7iD」のお粗末ともいえる仕様が考えられる。 セブンペイはこれまでもあったセブン-イレブンアプリに決済機能として組み込まれた。セブン-イ

[zu2]

“ITに対する理解度の差が、そのまま経営に反映される時代に入っていることにセブン＆アイの経営陣は気付いていただろうか”

[hugie]

“しかし、セブンペイが始まり、7iDとのひも付けが始まった瞬間に「名義書き換えが可能なお財布」へと変わってしまった。”わかりやすい。

[tetsuya_m]

「セブンペイの基本設計は、7iD、セブン-イレブンアプリがあり、その機能としてペイがある。2段階認証を採用するアプリと同じ土俵で比べられるのか分からない」いったい何を言ってるのかこっちがわからないyo！

[turu_crane]

＞これまでは、乗っ取ったとしても割引クーポン程度しか入手できなかったため、悪意ある利用者が攻撃する価値はなかった

[hafoc]

脆弱な設計のまま放置されていた太古のシステムの上に、カネの匂いのする新しいシステムが乗っかってしまった感。

[Crone]

既存機能に必要なセキュリティレベルが違うもの乗せちゃったのか…お粗末だけど同時に他山の石でもある。/これも事象より対応で失敗してる。セキュリティも発生直後の暫定対応からプレスまでの避難訓練とかいるかも

[u_mid]

7pay開始より1ヶ月ほど前に7iDの乗っ取りがちょくちょく発生していたらしいけど、7pay乗っ取りの予行練習だったのかもしれないなあ

[neet_modi_ki]

“ITに対する理解度の差が、そのまま経営に反映される時代に入っている” その通りなんだけど、対するファミマのほうも相当香ばしい… https://www.itmedia.co.jp/news/spv/1906/24/news046.html

[kai_kou]

この記事がわかり良い。 最後の一文が的確。 「ITに対する理解度の差が、そのまま経営に反映される時代に入っていることにセブン＆アイの経営陣は気付いていただろうか。」

[htnmiki]

こんなアホな失敗の損失補てんに自分が命を削って納めたロイヤリティが使われるオーナーたちの気持ちは

[deep_one]

ファミペイは端末の追加時に再度SMS認証するのか。まぁそれぐらいが頻度として妥当かな。

[geopolitics]

あの社長の会見は実はきっちりレクチャーされいて、ここ（オムニ７）に飛び火するのをどう防ぐかの戦いだったのかな。

[RPM]

"これまでは、乗っ取ったとしても割引クーポン程度しか入手できなかったため、悪意ある利用者が攻撃する価値はなかった。"

[stella_nf]

今までは乗っ取っても旨味が少なかったから攻撃されなかった7iD。7payスタートで美味しい狩場に。

[lovely]

『しかし、セブンペイが始まり、7iDとのひも付けが始まった瞬間に「名義書き換えが可能なお財布」へと変わってしまった。』

[naqtn]

（短くかつ視野が広い記事で良い）

[W53SA]

“ITに対する理解度の差が、そのまま経営に反映される時代に入っていることにセブン＆アイの経営陣は気付いていただろうか。”

[crowserpent]

乗っ取る価値が少なくセキュリティの甘かった7iDを、そのまま決済アプリに拡張してしまったってことね。

[moxtaka]

7payではなく7iDの問題である事、今までなぜ放置されていたか、類似サービスではどうしているのか、等がわかりやすく簡潔にまとまっている良記事。

[hal-e]

“セブンペイが始まり、7iDとのひも付けが始まった瞬間に「名義書き換えが可能なお財布」へと変わってしまった”

[jfkintko]

なるほど＞今回のお粗末なセキュリティはオムニ７に由来するもの。7pay導入前はオムニ７を攻撃するメリットがなかったから問題化せず

[at_yasu]

「2015年11月に開始した(略)「オムニ7」用の「オムニ7会員」が名称変更。乗っ取ったとしても割引クーポン程度しか入手できなかったため、悪意ある利用者が攻撃する価値はなかった」

[ghostbass]

"2段階認証を採用するアプリと同じ土俵で比べられるのか分からない" ＜ 同じ土俵にいるのを分かってない？

[dlive1]

小林社長は会見で「セブンペイの基本設計は、7iD、セブン-イレブンアプリがあり、その機能としてペイがある。2段階認証を採用するアプリと同じ土俵で比べられるのか分からない」→その意味が分からない

[R2M]

このレベルの開発で今どき安全工学ベースの開発になっていないのは相当のリスクだと再認識した

[abinosuke]

脆弱性はない発言て自らの無能力を力強く主張するのと同じになっててあらあらって感じる

[akemi22ki]

代償は大きい もう上がってこれなさそう

[shigo45]

技術者でもなんでもない自分からすれば、馬鹿だったとか、ITへの理解が不足していたとか言う前に、決済を担う企業のユーザー保護への意識の著しい低さの問題だと感じるんだがなあ。

[JULY]

「セブンペイの基本設計は、7iD、セブン-イレブンアプリがあり、その機能としてペイがある。2段階認証を採用するアプリと同じ土俵で比べられるのか分からない」決済機能に対する覚悟が無い。

[poissonsoluble]

「名義書き換えが可能なお財布」という表現がいい

[operator]

始める前から認証方式は親会社が持ってる既存の仕組みを流用することが決まってたということかな？？

[windish]

この事件がITから逃げていた本邦の経営陣たちにとって気づきとなればよいが、はてさて。

[timetrain]

開発してる技術者が気づかないはずはないので、リリース日絶対主義で仕様の問題なんか到底あげられなかったのかとは思う。そりゃ決済会社のトップがこれなら納得

[BRITAN]

“2段階認証を採用するアプリと同じ土俵で比べられるのか分からない」と話した。”←あなたの発言の方が意味分からない。

[cider_kondo]

アプリやスマホからの導線はなあ。7年前にローソンがこんなのhttp://takagi-hiromitsu.jp/diary/20120408.html でひろみちゅ先生にボコボコにされてたのを思い出した。7pay専用アプリを新規開発してたら違った展開だったんだろうか？

[REV]

銀行で、とある手続きにマイナンバーカードを要求され、すったもんだの末、こちらが書類を郵送し、到着したら銀行が、既登録されている番号に電話し、きちんと応対できたら完了、ってことになった。二段階認証だった

[shoh8]

つーかこの辺ってさすがにセキュリティ見地からテストしてるんじゃないのかな。流石にやべーよ

[death6coin]

被害が小さいにしても問題のあるものを放置し続けてきたことが既に駄目なんだよなぁ

[masa8aurum]

「セブンペイの基本設計は、7iD、セブン-イレブンアプリがあり、その機能としてペイがある。2段階認証を採用するアプリと同じ土俵で比べられるのか分からない」何を言ってるのかわからない

[Barton]

今の経営者には金のことしか目に見えてないのさ。技術やセキュリティー、顧客の安全よりも、客がいくらの金になるか、しかな。