セブン＆アイ・ホールディングスは4日、コンビニエンスストアのセブンイレブンで使えるスマートフォン決済「7pay（セブンペイ）」で第三者の不正アクセスによる支払い被害があったと疑われる人数と金額が、約900人の計5,500万円に上ると発表しました（同日午前6時時点）。
運営するセブンペイの小林強社長は記者会見で「被害に遭われたお客さまに深くおわび申し上げる」と謝罪しましたが、ネットでは会見のやり取りが波紋を広げています。私も生配信をリアルタイムで追っていて、思わず画面に見入ってしまいました。
セブンペイが緊急会見 不正アクセス被害額5500万円か
セブンペイはスマホアプリに表示されるバーコードをレジで読み取ると、チャージしておいた電子マネーで支払いが済む決済サービスです。始まったのは7月1日で、まだ産声を上げたばかりでした。2日に顧客から「身に覚えのない取引があった」との問い合わせを受けて社内調査を実施した結果、不正利用が発覚しています。
同社は「本件で被害にあわれたお客さまには、全ての被害に関して補償を行う」としています。
話題の記者会見がこちら
テレ東が配信した緊急記者会見の模様です。
注目を集めたのは30分34秒あたり。「ユーザー登録時に二段階認証をされているサービスがほとんどだと思うんですけど、セブンペイでそれをやらなかった理由は？」という質問に対し、小林強社長は「二段階認証……？」と一瞬言葉に詰まる場面がありました。
その後は「私どものセブンペイの基本設計というのは、まずそのセブンIDというのがありまして、それを使った『セブンイレブンアプリ』の一機能としてセブンペイというのが7月1日から入っておりますので、基本的にセブンID、セブンイレブンアプリとセブンペイというのが連携した形で登録という形になっております。そういう意味で二段階云々っていうのと同じ土俵で比べられるのかというのは…すみません私自身はその辺は認識しておりません。」と回答しています。
このやり取りを受けて、SNSや掲示板では二段階認証をめぐる書き込みがずいぶん盛り上がりました。ネタとして消費された面は否めませんが、一個人をあげつらうより、私はむしろ「決済サービスの設計と説明責任」という論点のほうが気になりました。
二段階認証自体は目新しくもマニアックでもなく、GoogleやApple、オンラインバンクなど、いろいろなサービスの認証方法として広く使われている仕組みです。金銭を扱うサービスであれば、経営トップの一言というより、組織として設計思想をきちんと説明できる体制が問われるのだろうな、と会見を見ながら考えていました。
サービス開始直後の不正アクセス、そして印象に残る記者会見。船出からいきなり雲行きが怪しくなったセブンペイが、群雄割拠のQRコード決済で立て直せるのか——当時の私は、正直まだ改善に期待する気持ちも半分持っていました。
原因はリスト型攻撃だった
会見の受け答えばかりが話題になりましたが、被害そのものの原因は公式に説明されています。
セブン＆アイが挙げたのはリスト型アカウントハッキング。ほかのサービスから流出したIDとパスワードの組み合わせを使い回して、片っ端からログインを試す手口です。7pay固有の穴を突かれたというより、使い回されたパスワードが束になって狙われた形になります。
だからこそ二段階認証の有無が問われました。パスワードが合っていても、もう一段の確認があれば侵入は止まります。逆に言えば、パスワードだけを頼りにしている限り、他社から漏れた情報でいつでも開けられてしまう。
ここは利用者側にも効く教訓です。決済サービスのパスワードを他と使い回していると、自分が何も間違えていなくても被害に遭います。
参考：「7pay（セブンペイ）」サービス廃止のお知らせとこれまでの経緯（セブン＆アイ・ホールディングス）
いま認証はどう変わったか
あの騒動から、決済アプリの入り口はずいぶん変わりました。
新規登録でSMSに届くコードを入れるのは、いまや当たり前です。機種変更のときや、しばらく使っていなかったアプリを開いたときにも本人確認を求められます。当時「なぜ二段階認証がないのか」と問われた設計は、もう業界の標準になりました。
さらに広がっているのがパスキーです。パスワードの代わりに、端末の指紋や顔認証でログインする仕組みで、GoogleやApple、Microsoftが対応しています。パスワードそのものを持たないので、リスト型攻撃の的にならないのが大きい。
自分の側でやれることも2つあります。決済アプリのパスワードを他と共通にしないこと、そして二段階認証やパスキーが使えるなら必ず有効にしておくこと。設定画面を1回開くだけの作業です。
7payの一件を笑い話として覚えている人は多いと思いますが、実際に残ったのは「認証を省くと何が起きるか」という具体的な記録でした。
【後日追記】7payは2019年9月末でサービス廃止に
その後の展開を書き添えておきます。セブン＆アイは2019年8月にセキュリティ対策プロジェクトを立ち上げて復旧を検討しましたが、完全な形での再開には相当な時間がかかると判断。決済機能に限った不完全な状態でしか継続できないとして、7payは2019年9月30日24時をもってサービス廃止となりました。7月1日の開始からわずか3か月での撤退です。
最終的な不正アクセス被害は約808人・約3,865万円（7月31日時点）とされ、未使用残高は同年10月1日から2020年1月10日にかけて払い戻しの受付が行われました。
ネタとして盛り上がった一件でしたが、振り返ると「二段階認証をはじめとした本人確認をどう設計するか」という、決済サービスの根っこの部分を突きつけた出来事だったと思います。自分が使うサービスの認証まわりを一度見直しておこう——そう思わせてくれた騒動でした。
参考：「7pay（セブンペイ）」に対する不正アクセスの件（セブン‐イレブン・ジャパン）
