「7pay」社長の驚愕発言が、笑いごとでは済まないほんとうの理由（西田 宗千佳）

「一過性のトラブル」ではありません セブン＆アイ・ホールディングスの独自決済サービス「7pay」が、セキュリティ問題に揺れている。 クレジットカードなどから不正にチャージが行われ、タバコやプリペイドカードなど、換金しやすい製品を不法に購入される被害が続出したのだ。金銭的被害は、7月4日の段階で5500万円にのぼるという。サービス開始から、たった3日間での出来事だ。 7payは、この記事を執筆している7月8日現在、新規の会員登録と残高のチャージを停止している。原因の究明とシステムの改良が行われている状況だ。 7payに、いったい何が起きたのか？ そこには、単に一企業の問題にとどまらない、「技術と経営」に関する普遍的な課題が隠れている。あらゆる企業の経営者にとって、そしてそこに勤めるビジネスマンにとっても、決して一過性のトラブルとしてすませるわけにはいかないこの問題の「深層」に迫ってみよう。

[khtokage]

「経営トップ自身が判断できないのであれば、技術的側面に責任を担う立場、たとえばCTO（最高技術責任者）のような役職を置き、適切な助言を求めるべき」ほんこれ。CEO個人はともかく経営陣チームは分からないと。

[muramurax]

経営者である社長が技術に精通している必要はないけど最低限のレベルはあるだろ。キッコーマンの社長が醤油の作り方知らないような物だぞ。

[uunfo]

決済を担う会社の社長がその基本技術に無知なのは批判されて当然だろう。そもそも現代社会においてITを扱うならどんな規模の会社の社長でも知っておくべきだろうよ。／親会社には担当役員がいたけどお飾りだったよね

[ShimoritaKazuyo]

批判されてるのは社長じゃなくてセブンの社内体制のマズさでしょ。

[lalala360]

社長が詳細を答える必要はないかも知れないが、あの場に3人いたうちの1人はシステムの責任者だから、答えられないと駄目 https://markezine.jp/article/detail/31288

[kknsd]

おっと未だに2要素認証を導入しない楽天市場の悪口はそこまでだ

[el-condor]

POSを早期に導入するなど"「テクノロジーへの理解と判断」は、経営に大きな影響を及ぼす"を一番理解している部類の企業だったはずの7&iでこれかというのが何とも言えん。どうしちゃったの。

[karikari1255]

id:Snail 競合サービス使ったことあったら登録求められるから覚えるはずなんだよ。「技術的なことを知らない」のは百歩譲っても、「おそらく競合サービスを全く使ったことがない」のは擁護できないでしょ

[junglejungle]

情報セキュリティ体制は経営者をトップに置くのが一般的だから、情報サービス産業では、セキュリティに対する理解がない人はそもそも経営者になるべきじゃないよ。

[ustam]

メディアとかで「2段階認証」って連呼するから、「2要素認証」ではない2段階認証が実装されそうな悪寒。メアドに認証コード送って済ませたりな。その方が工数少なくて済むし。そしたらまたみんなでボコろう。

[nilab]

「「他のサービスでは二段階認証が導入されている例がほとんどだが、7payで導入されていなかった理由はなぜか？」それに対して、小林社長は「二段階認証……？」とつぶやき、首をかしげてみせたのだ」

[simabuta]

設計に問題があるとしても、詐欺集団も段取りよすぎるわよね。事前に設計内容が漏れてた可能性はどうなんやろか。

[do-do]

概念がわからないなら、せめてわかってる人間を側に置くべきだったよね

[qinmu]

良記事。

[ku__ra__ge]

『「IDとパスワード」には明確な弱点がある。“カギ”となる情報であるパスワードがわかってしまえば、容易に突破される』　「“カギ”となる情報」が漏れたら突破されるとか言ったら安全な通信なんて不可能だろ

[perl-o-pal]

問題提起しにくい体制と技術的な事に興味がない上層部は表裏だからなー。

[marmot1123]

まあ7payの社長を擁護できる材料はほぼ無いよね。しかもおそらく内部で技術者を下に見て抑圧していたのではなかろうか。

[tanakh]

たしかにキッコーマンの社長とか事業責任者のような人が醤油の作り方知らなかったり麹菌･･･？とか言って首をひねるのはあり得ないよなという。

[threetea0407]

二段階認証が実装されたとして、それが正しい実装になってるのか疑わしいところではある

[securecat]

二段階認証はSMSでドヤァって説明してるけど、TOTPなりHOTPなりのRFCくらい読んでから書いたらと思うのだが・・・

[ryoi2010]

経済低迷の元凶って雇用の流動性とかより、こういう精密な思考ができない馬鹿が社長になってしまう日本の会社文化にあると思うんだよね。

[NAT]

ほんと、それな。経産省のガイドラインすら守らず「セキュリティについては事前のテストで問題がないことを確かめた」と発言する判断の甘さ。お客さまの大事なものを守る判断はできませんと公言しているに等しい。

[tick2tack]

二要素認証を知ってる知ってないは技術の話じゃないし、決済を扱う企業のトップのセキュリティへの意識の低さの問題になるか。/　技術にうとすぎるとCTOの必要性の判断もできない、みたいな？

[xufeiknm]

今回の件で、定期変更教が滅びるといいなぁ。

[Dai44]

システムわからないからおかしいんじゃない。謝罪会見なのに、何に落ち度があって謝ってるのかすらわからないで頭下げてるのがおかしい。

[totoronoki]

どうせセブンに元々居たITよく知らん幹部が社長やってるんだろうな。

[taron]

現実に金銭的被害が出るまで、動かなかった時点でな。マネジメントがダメすぎて、改善される可能性は見込めないよなあ。

[atauky]

記事を読むうちに「あれ…楽天って多要素認証実装されてないんじゃないか…？」となった。

[hiby]

本質はチームビルディングの話だよなあ。雁首揃えて全員何もわかりませんということは、今後も適切なアクションが何も取れませんと言う恥を晒していたということ自体理解してないってことだし。

[natu3kan]

オムニ7で7iD運用時にも似たような脆弱性あったみたいだし、前もって狙われてたのかもね。詳しくないなら弁護士とセキュリティの担当者やセキュリティの専門家を横に付けて会見すりゃいいのに。

[kimurahayao]

この記事読んでいて改めて思ったことだけれど、ゲームとしてのケーバに於ける『サインの変更』って『パスワードリセット』だよね。例えばプロキオンＳの１着田辺の今後２週間の騎乗停止なんてその最たるもの。

[zyzy]

社長が最初から二段階認証を知っている必要はない。でも問題が起きた時点で一通りレクチャーを受けた上で会見を開かなくちゃいけない。そこを怠ったから叩かれてる。

[T-norf]

子会社なんだから、こういう人を上に据えた親会社の人事方針の問題よ。その事業をドライブできる外部経営者を雇わずに、年功と管理力だけの人を送り込むからM&Aも新事業も失敗するのよ。日本企業に多いパターンね

[quick_past]

ここ20年で企業側のセキュリティ軽視が進んでるようにしか思えないんだけど、やっぱコストなんじゃないの？真面目にものを作ろうとしたら絶対コストはかかる。それをケチったのでは

[zapperd]

ソフトバンクなんかMy SoftBankでのiTunesコード購入時、SMS認証は無いのはもちろんのこと、さらに暗証番号を省略する設定なんか入れてましたからね http://nosoftbankno.blog84.fc2.com/blog-entry-361.html 企業体質がモロに出た話

[NOV1975]

なんかなー、これもちょっとなー。実は危ないパスワード認証とか言ってるけど。事の本質は端末とアカウントをどう紐づけてどう管理するかというのに尽きるので、手段が適切であれば何でも良いんだけど。

[zinota88]

それな。しか言うことない。

[YukeSkywalker]

「ほんまそれ」しか無い記事。

[mouki0911]

もう技術音痴は経営者になってはいけない時代。

[misafusa]

概ね同意の記事だけれど一点だけ現実に即していない部分がある。スマホの生体認証に求められているのは100%手軽さだけだよ。だって生体認証でログイン出来ない場合はパスワード入力に移行しちゃうんだもの。