【2019年】7pay、開始から3か月で廃止 被害は808人・3,861万円

何が起きたのか

7pay はセブン＆アイ・ホールディングス傘下のセブン・ペイが運営していたバーコード決済で、2019年7月1日にセブン‐イレブンのアプリの中で始まりました。

翌7月2日、利用者から身に覚えのない取引があったとの問い合わせが入りました。会社は7月3日に海外からのアクセスを遮断してカードからのチャージを止め、7月4日に現金のチャージと新規登録を止めました。その後も7月11日に外部の ID によるログインを止め、7月30日にはグループ共通の 7iD のパスワードを一斉にリセットしています。

調査の結論は「リスト型アカウントハッキング」の可能性が高いというものでした。どこかで不正に入手した ID とパスワードの一覧を使い、本人になりすましてログインを試す手口です。

同じ調査では、外部 ID 連携やパスワード再設定の機能が直接の原因になった事例は見つかっていません。内部からの流出と、7iD に関連する個人情報の漏洩についても、明確な痕跡は確認できなかったとしています。

会社に何が起きたのか

• 被害：808人、3,861万5,473円（2019年7月31日17時時点）。不正チャージと不正利用の両方を含む
• 補償：被害額のすべてを補償
• 廃止：2019年8月1日に決定し、9月30日24時でサービスを終了
• 期間：開始から廃止まで3か月
• 残高：未使用のチャージ残高は法令の手続きを経て順次払い戻す
• 役員報酬：セブン＆アイの社長と副社長が月額報酬の30%を3か月返上。2019年5月までシステム戦略部の担当だった役員が10%を3か月返上
• 子会社：セブン・ペイの社長が2019年10月10日に退任

補償と払い戻し

補償の手続きは支払いの経路ごとに分かれました。クレジットカードからの不正チャージはカード会社の協力を得て引き落としがかからないようにし、間に合わなかった分は翌月以降に精算する形です。デビットカードは口座へ払い戻し、nanaco ポイントからのチャージと残高の不正利用は2019年8月19日から順次、個別に案内しました。

被害の認定には3つの方法を使いました。利用者の問い合わせを受けて互いに確かめる方法、カード会社からの情報による方法、被害と同じパターンの利用を会社が独自に認定する方法です。7月中旬以降、新たな被害は確認されていません。

未使用の残高の払い戻しは、Impress Watch の配信記事によると2019年10月1日に受け付けが始まり、期限は2020年1月10日でした。申請にはメールと SMS に届く確認番号を使う二段階の認証が入り、手続きは全体で17ステップありました。

業績への影響

セブン＆アイの2020年2月期の有価証券報告書に、7pay だけの損失額は書かれていません。特別損失には「デジタル・決済サービス関連損失」134億63百万円があり、内訳は減損損失46億15百万円、セキュリティ対策費43億44百万円、その他45億2百万円です。このうち 7pay の分がいくらかは分かりません。

同じ期の連結純利益は2,181億85百万円で、7pay の費用を含む金融関連事業も営業利益は前期を上回りました。会社は 7pay の廃止と同時に、グループ外のさまざまな決済サービスとの連携を進める方針を示しています。

なぜそこまで広がったのか

廃止の理由に被害額は挙げられていません。会社が挙げたのは、すべてのサービスを再開する対応に相応の期間がかかること、その間は支払いだけの不完全な形になること、利用者の不安が続いていることの3つです。

防げなかった要因として、会社は認証の水準を挙げました。複数の端末からのログインへの対策と、二要素認証などの追加の認証の検討が十分でなかったとしています。二要素認証はパスワードのほかに SMS の番号などをもう1つ確かめる仕組みです。

10月の発表では弁護士を中心とするチームの検証を踏まえ、独自の認証と不正検知の仕組みが万全でなかったことを挙げました。開発の過程でセキュリティの基準が徹底されていなかったこと、セキュリティを統括して管理する機能やリスクを指摘する機能が十分に働かなかったことも要因としました。

再発防止の中身

10月の発表は再発防止策を4つ挙げました。グループのセキュリティを統括する専門組織の設置、セキュリティとシステム開発のルールの再整備と運用の徹底、専門人材の拡充、社内教育です。

有価証券報告書によると、専門組織は業務執行から独立した社長直轄の「セキュリティ統括室」として設けられました。IT とデジタルの戦略を担う「グループ IT 戦略推進本部（現：グループ DX 戦略本部）」も新設しています。同じ報告書は事業のリスクの項で 7pay の要因を記したうえで、完全に安全なセキュリティを確保できる保証はないとも書いています。

中小企業が学ぶこと

被害額が小さくても、再開の見通しが立たなければ事業を続けられないことがあります。サービスを止めた場合に、何を直せば再開できるかを開発の担当者と一度書き出してみてください。

会員向けのサービスでは、利用者が他のサイトと同じパスワードを使っていると、それが入口になります。お金やポイントが動く操作には、パスワード以外の確認を入れておきたいところです。対象はチャージ、送金、メールアドレスの変更、新しい端末からの最初のログインです。同じ手口の例はオンライン診療で不正ログイン 厚労省が医療機関に対策強化を依頼にもあります。

新しいサービスでは公開の前に、なりすましでログインされたら何ができるかを確かめ、チャージの上限、ログインの急増の検知、止める手順を決めておきましょう。7pay は2日間でカードのチャージ、現金のチャージ、新規登録の順に止めました。機能ごとに止められる作りなら、全体を止めずに被害を抑えられます。

補償の判断も事前に決められます。誰の申し出を、どの記録で認めるかを決め、問い合わせの窓口と手順を紙1枚にしておきます。