7iDのパスワード再発行がセキュリティ的に最悪な件：パスワード変更しても無意味な状況（会見後追記）

本サイトはアフィリエイト広告を利用しています。なお本記載は景品表示法改正に伴うASPからの要請に基づく表記であり、本サイトのポリシーとして、依頼された記事などは別途記載を実施しています。 追記：酷い記者会見と無意味な対策今日の14時に記者会見が行われましたが、もう開いた口が塞がらないどころかため息が出るレベルの酷い記者会見でした。 二段階認証をまともに理解していない？チャージと登録を停止するが、決済は停止しない補償はするとは言ったが、方法などはまだ未確定もうさっさとサービス終了したほうが今後のためじゃないですかね。 パスワード再発行の件は対策した（風にみせかけ）何人か指摘している人も居ますけども、あまり詳しく言うのは問題になりかねないので言いませんが、下記に記載のあるパスワード再発行の件は内部の処理は結局対策されてません。それだけは言っておきましょう。 なので、下記の会員IDの変更などは早

[doroyamada]

セブンイレブン、やな気分。

[ElizaAcolyte]

メールアドレスも生年月日も公開情報だという認識を持ってほしい……。

[andalusia]

omni7側か・・・ちなみにベンダーは「日本オラクル、NTTデータ、NEC、野村総合研究所（NRI）を中心に複数ベンダー」だったらしいね。今はどうか知らんけど。 https://japan.zdnet.com/amp/article/35074678/

[hellshake]

そのくせ画像文字列入力はしっかりあるあたりポイント高いわ。

[zapperd]

何がダメって全部ダメ、なやつ。元々7iDがうんこだった時点で終わってたんだね

[develtaro]

やべー。生年月日公開してる有名人のアカウントの乗っ取りができる。林家ペーなら調べなくても

[plank]

　生年月日が分からなくても乗っ取り可能 https://twitter.com/HiromitsuTakagi/status/1146537609822294017

[mouki0911]

酷過ぎて草。いや笑えないけど。

[bearcub]

怖すぎてomni7というのに登録してないか調べたらLoftアプリからIDが紐づいてたみたいなので、即退会した。退会の***.doとかいうサーブレット（？）がエラーを吐いて来たがとりあえず退会できたみたい。

[z67kjh]

ここまでくると、退会しても本当に退会できてるのか怪しい

[beerbeerkun]

何でこういう仕様にしたのかね。7ペイから出てくることはないだろうけど気にはなる。

[sakimoridotnet]

退会。

[msuhara]

あぶねぇ

[n_pikarin7]

ひでー

[HanaGe]

「会員ID（メールアドレス）の変更を」 いやいや、会員ID削除しよう。

[mk16]

id:sho ハクキンカイロのオンラインショップは入力フォームの時でもhttp。

[yoiIT]

開発した協力会社とはどこなのか。素人でもUATで気づくレベル。ちょっと信じられない仕様。

[shoh8]

慌てるなよ、誕生日を定期的に変更すればいい話じゃないか

[masa_w]

“入れてない場合は2019年1月1日が生年月日として内部的に設定される” 生年月日は秘密情報じゃないよ、とかいう以前の話だった

[taron]

顧客側では自衛のしようのない、ザル・オブ・ザ・ザルらしい。

[asyst]

謎の仕様だ

[hirata_yasuyuki]

誕生日が漏洩した可能性がある場合、速やかに誕生日の変更をお願いしますっ！絶対です！

[BIFF]

ブクマカの大半が受けた「衝撃」をどう表現するか悩むレベル。。

[yaskohik]

別ソース（お客様事例）でも事実確認してみた。→https://digital.nttdata.com/commerce/reference/7andi.html

[guldeen]

なぜ誰も、この設計段階で『悪意の第三者が漬け込むスキ』を疑わなかったのか…(-_-;)

[pproff]

セブン銀行の方は大丈夫ですか

[tarchan]

＞メールアドレスだけわかれば他人がパスワード再発行出来てしまう

[tanority]

こ発注側のセブンがこんな感じでよろしくって言ったくせに、問題起きたらなんで言ってくれなかったんだ！ってベンダーを責めてそう

[blunote]

たぶんメルアドを紛失してパスワードも覚えてないようなおじいちゃんが多く、それに対応した追加機能だったんだろうな。それがペイを建増しした段階で、穴になったと・・・。

[nikkatsu]

オムニ7は、過去一度も第三者機関による脆弱性検査をやってない、ってことかな？？

[ZeroFour]

上役たちは「早く導入しろ。できないの？」という体なんでしょうなあ。そしてしわ寄せはエンドユーザーとコールセンターに。

[YukeSkywalker]

そもそも利便性が大事な決済で囲い込みを図るとかアホかと

[ashita_y]

この"俺たちは雰囲気でサービスを運営している"感よ

[lady_joker]

ゴキブリホイホイみたいなアプリだな

[BRITAN]

“要は登録していないアドレスにもパスワード再発行アドレスが送れてしまう”←あかんやん…

[gonbei5963]

酷すぎワロタ　どんな馬鹿が作ったんだよ

[watatane]

詫びファミチキ下さい！

[kuzumaji]

アーリーアダプタでとりあえず登録してしまった人たち南無でございます。情強のはてなーはもちろん人柱待ちだったよね。敗北を知りたい。

[solidstatesociety]

OAuth2.0はよ

[wasarasan]

地獄だ・・・・