(写真:共同通信)
(写真:共同通信)

 セブン&アイ・ホールディングスが7月1日に開始したスマホ決済サービス「7pay(セブンペイ)」で不正アクセス被害が発生した。SNS上で「30万円を不正利用された」「19万円を不正にチャージされて使われた」などの被害が相次いで報告され、セブン&アイは7月3日にクレジットカードとデビットカードからの入金手続き停止を発表。7月4日には全ての入金手続きを止めた。セブン&アイの発表によると、7月4日の午前6時時点の試算で被害者は約900人、被害額は約5500万円に上る。

 4日に会見したセブン&アイ傘下のセブン・ペイの小林強社長は「詳細な原因を調査中」と話した。だが、原因の一つとしてセブン-イレブン・ジャパンのアプリ「セブン-イレブンアプリ」が使っていた会員システム「7iD」のお粗末ともいえる仕様が考えられる。

 セブンペイはこれまでもあったセブン-イレブンアプリに決済機能として組み込まれた。セブン-イレブンアプリで使われていた7iDは、メールアドレスと電話番号などが分かればパスワードのリセットが可能で、かつ第三者が別の端末で乗っ取ることが可能な状態になっていた。また、パスワードの漏洩時でも第三者が悪用できないようにする2段階認証の仕組みが備わっていなかった。

 つまり、利用者本人がセブンペイでクレジットカードの初期登録を実行した後、セブンペイの脆弱な仕様の隙を突いて悪意のある利用者が乗っ取る。その上で登録されたクレジットカードで追加入金して換金可能性の高い商品を購入するという形で被害が発生したようだ。

 7iDはもともと2015年11月に開始したセブン&アイグループの総合通販サイト「オムニ7」用の「オムニ7会員」が名称変更したものだ。これまでは、乗っ取ったとしても割引クーポン程度しか入手できなかったため、悪意ある利用者が攻撃する価値はなかった。

 しかし、セブンペイが始まり、7iDとのひも付けが始まった瞬間に「名義書き換えが可能なお財布」へと変わってしまった。オムニ7時代から抱えてきた「不発弾」が、ここにきて突然爆発した形だ。

 セブンペイと同じタイミングで開始したファミリーマートの「ファミペイ」は、登録時に携帯電話番号を使ったSMS(ショートメッセージサービス)認証を採用。仮に悪意のある利用者が別のスマホから利用しようとしても、ログイン時には電話番号とパスワードのほか、登録時に登録した電話番号に送信されるSMSのワンタイムパスワードを入力する必要があるため、セブンペイのような事態を未然に防げる。

 2段階認証がなかったことについて、セブン・ペイの小林社長は会見で「セブンペイの基本設計は、7iD、セブン-イレブンアプリがあり、その機能としてペイがある。2段階認証を採用するアプリと同じ土俵で比べられるのか分からない」と話した。

 セブン・ペイ側は会見で「事前に脆弱性のチェックはしていた」と説明したが、スタートから大きくつまずいてしまった。利用者の信頼が傷ついたのはもちろん、セブン&アイのデジタル戦略への影響も大きい。ITに対する理解度の差が、そのまま経営に反映される時代に入っていることにセブン&アイの経営陣は気付いていただろうか。

この記事はシリーズ「1分解説」に収容されています。WATCHすると、トップページやマイページで新たな記事の配信が確認できるほか、スマートフォン向けアプリでも記事更新の通知を受け取ることができます。

ウェビナー開催 経産省のGX戦略キーマンが直言 水素、アンモニア、原発…日本企業の勝機

 日本企業にとって、脱炭素政策への対応が重要な経営課題になっています。上場企業であれば、グローバル投資家からの支持を得るために脱炭素に資するビジネスモデルの構築が求められています。サプライチェーン全体で仕組みを整える必要があり、企業規模の大小にかかわらず対応が急務です。
 日経ビジネスLIVEは9月8日(木)19:00~20:00に「経産省のGX戦略キーマンが直言 水素、アンモニア、原発…日本企業の勝機」と題してウェビナーを配信する予定です。登壇するのは、経済産業省でエネルギー政策を長く担当した経験を持つ、製造産業局長の山下隆一氏。業界横断的な取り組みが必須のGXに向け、どんなエコシステムを目指すべきかについて解説します。ウェビナー後半では視聴者の皆様からの質問にお答えします。ぜひ議論にご参加ください。

■開催日:2022年9月8日(木)19:00~20:00(予定)
■テーマ:経産省のGX戦略キーマンが直言 水素、アンモニア、原発…日本企業の勝機
■講師:山下隆一・経済産業省製造産業局長
■モデレーター:日経ビジネス編集委員・安藤毅
■会場:Zoomを使ったオンラインセミナー(原則ライブ配信)
■受講料:日経ビジネス電子版の有料会員のみ無料(事前登録制、先着順)。
>>詳細・申し込みはリンク先の記事をご覧ください。