セブン＆アイ・ホールディングスは4日、コンビニエンスストアのセブンイレブンで使えるスマートフォン決済「7pay（セブンペイ）」で第三者の不正アクセスによる支払い被害があったと疑われる人数と金額が、約900人の計5,500万円に上ると発表しました（同日午前6時時点）。
運営するセブンペイの小林強社長は記者会見で「被害に遭われたお客さまに深くおわび申し上げる」と謝罪しましたが、ネットでは会見のやり取りが波紋を広げています。私も生配信をリアルタイムで追っていて、思わず画面に見入ってしまいました。
セブンペイが緊急会見 不正アクセス被害額5500万円か
セブンペイはスマホアプリに表示されるバーコードをレジで読み取ると、チャージしておいた電子マネーで支払いが済む決済サービスです。始まったのは7月1日で、まだ産声を上げたばかりでした。2日に顧客から「身に覚えのない取引があった」との問い合わせを受けて社内調査を実施した結果、不正利用が発覚しています。
同社は「本件で被害にあわれたお客さまには、全ての被害に関して補償を行う」としています。
話題の記者会見がこちら
テレ東が配信した緊急記者会見の模様です。
注目を集めたのは30分34秒あたり。「ユーザー登録時に二段階認証をされているサービスがほとんどだと思うんですけど、セブンペイでそれをやらなかった理由は？」という質問に対し、小林強社長は「二段階認証……？」と一瞬言葉に詰まる場面がありました。
その後は「私どものセブンペイの基本設計というのは、まずそのセブンIDというのがありまして、それを使った『セブンイレブンアプリ』の一機能としてセブンペイというのが7月1日から入っておりますので、基本的にセブンID、セブンイレブンアプリとセブンペイというのが連携した形で登録という形になっております。そういう意味で二段階云々っていうのと同じ土俵で比べられるのかというのは…すみません私自身はその辺は認識しておりません。」と回答しています。
このやり取りを受けて、SNSや掲示板では二段階認証をめぐる書き込みがずいぶん盛り上がりました。ネタとして消費された面は否めませんが、一個人をあげつらうより、私はむしろ「決済サービスの設計と説明責任」という論点のほうが気になりました。
二段階認証自体は目新しくもマニアックでもなく、GoogleやApple、オンラインバンクなど、いろいろなサービスの認証方法として広く使われている仕組みです。金銭を扱うサービスであれば、経営トップの一言というより、組織として設計思想をきちんと説明できる体制が問われるのだろうな、と会見を見ながら考えていました。
サービス開始直後の不正アクセス、そして印象に残る記者会見。船出からいきなり雲行きが怪しくなったセブンペイが、群雄割拠のQRコード決済で立て直せるのか——当時の私は、正直まだ改善に期待する気持ちも半分持っていました。
【後日追記】7payは2019年9月末でサービス廃止に
その後の展開を書き添えておきます。セブン＆アイは2019年8月にセキュリティ対策プロジェクトを立ち上げて復旧を検討しましたが、完全な形での再開には相当な時間がかかると判断。決済機能に限った不完全な状態でしか継続できないとして、7payは2019年9月30日24時をもってサービス廃止となりました。7月1日の開始からわずか3か月での撤退です。
最終的な不正アクセス被害は約808人・約3,865万円（7月31日時点）とされ、未使用残高は同年10月1日から2020年1月10日にかけて払い戻しの受付が行われました。
ネタとして盛り上がった一件でしたが、振り返ると「二段階認証をはじめとした本人確認をどう設計するか」という、決済サービスの根っこの部分を突きつけた出来事だったと思います。自分が使うサービスの認証まわりを一度見直しておこう——そう思わせてくれた騒動でした。
