7payの不正利用から学ぶリスト型アカウントハッキング対策

2019年夏、始まったばかりのスマホ決済「7pay」の不正利用を覚えている方も多いのではないでしょうか。

2019年7月、セブン&アイの7payで、不正利用（リスト型アカウントハッキング）が発覚しました。

リスト型アカウントハッキングとは: 攻撃者がどこかで不正に入手したIDとパスワードを使い、別のサービスでもログインを試す行為です。

「大きな会社の決済サービスの話で、うちには関係ない」と思うかもしれません。

この記事は、中小企業の経営者や、IT専門の担当者がいない会社の方に向けて書いています。

読み終わる頃には、7payで何が起きたのか、公表されている範囲で原因をどう見ればよいか、そして新しいシステムを始める前に何を確かめればよいかがわかります。

当事者の発表と、報道・専門家の分析を区別して整理しました。

7payで起きたことを、数字で見るとこうなります。

7payの不正利用被害を数字で見る

• 入り口は、どこかで不正に手に入れられたIDとパスワードを試す手口（リスト型アカウントハッキング）の可能性が高いと公表
• 被害は 808人・38,615,473円（約3,860万円）（2019年7月31日17時現在の確定値）
• 不正利用の発覚は、サービス開始からわずか2日後（7月1日開始、7月3日発覚）
• サービスは約3か月で幕を下ろし、9月30日に廃止

短い期間に、利用者と事業者の両方へ大きな影響が出ました。

7payの不正利用で何が起きたのか

7payは、グループ共通の会員ID「7iD」を土台に、2019年7月1日に始まりました。

不正取引の報告は翌7月2日から届き始め、7月3日に不正利用が発覚しています。

発覚後は、海外からのアクセスの遮断、カードや現金による入金（チャージ）の停止、新規登録の停止と、被害の入口になり得る機能を2日間で順に閉じていきました。

家にたとえるなら、どこかよそで手に入れられた合いカギを、玄関で次々に試されたような状況です。

7月5日には外部のセキュリティ会社と対策チームを作り、7月11日には他社のIDを使ったログインも止めました。

7月30日には全利用者を対象にパスワードの再設定（リセット）を行っています。

対象は約1,650万人と報じられましたが、この人数は報道ベースです。

開始直後に見つかった事案だった、という点がこの事件の特徴です。

時系列で見る

同じような事案の流れは、サイバー攻撃の事例一覧でも確認できます。

犯人はどうやって入り込んだのか（公表されている範囲）

結論からいうと、攻撃者がどこかで不正に手に入れたIDとパスワードを試す、リスト型アカウントハッキングの可能性が高いというのが当事者の発表です。

7payそのものからIDやパスワードが漏れた、と確定した話ではありません。

ここは混同しやすいところです。

よそで手に入れられた合いカギを試されることと、7payから合いカギが持ち出されたことは、別の話です。

あわせて事業者は、背景要因として「本人を確かめる仕組みの強さが足りなかった（認証レベルの不足）」「開発体制の問題」「リスク管理体制の不備」を挙げました。

組織的な背景は、弁護士主導の検証チームが調べることになりました。

二段階認証（ログイン時にもう一つの確認を求める仕組み）がなかったことなどは、報道・専門家の分析で指摘された内容です。

当事者の発表はもう少し抽象的な言い方にとどまるため、この記事でも両者を分けて書いています。

どれくらいの被害が出たのか

当事者が公表した確定値（2019年7月31日17時現在）は、次のとおりです。

7月中旬以降は、新たな被害はなかったとされています。

• 被害人数: 808人
• 被害額: 38,615,473円（約3,860万円）
• 補償方針: 不正な入金・利用のいずれも全額補償
• 利用者への対応: 未使用残高の払い戻し

被害そのものは1か月足らずで止まりました。

それでも、利用者が「自分のアカウントは大丈夫か」を確かめなければならなくなったこと自体が、決済サービスにとっては重い影響でした。

7payの対応から学べること

評価できる点として、当事者は発覚から24時間以内に被害の入口を順に閉じ、全額補償と未使用残高の払い戻しを明示しました。

技術の調査と、組織的な背景の検証（弁護士主導）を分けて進めたことも、公表されている対応です。

そのうえで、事業者はサービスの廃止を決め、自前の決済から撤退して外部の決済サービスとの連携を強める道を選びました。

一方で、事業者自身が「本人を確かめる仕組みの強さが足りなかった」と認めています。

二段階認証がなかったことなどは報道・専門家の分析で指摘され、7月4日の記者会見の説明には報道で批判もありました。

これらは当事者の発表と区別して受け止めるべき評価です。

この事例から読み取れる教訓は、次の3点です。

1. 新しいサービスやシステムは、始める前に本人確認の強さを確かめる
2. パスワードは使い回されるものと考えて、ログインの仕組みを選ぶ
3. 問題が起きたら、まず入口を止め、補償と調査を分けて進める

使える機能を増やす前に、本人を確かめる仕組みを整える。

順番を間違えないことが、いちばんの教訓です。

自分の会社を守るために、今できること

この事例は、決済サービスだけの話ではありません。

会社で新しい予約システム、会員サイト、勤怠システムなどを始めるときも、ログインとパスワード再設定の設計を、始める前に確認することが大切です。

今日の3問

保守会社やIT担当者に、次の3点を聞いてください。

• 社内で使うシステムのパスワードが、ほかのサービスと使い回されていないか
• 多要素認証（パスワードに加えて、スマホの確認コードなどもう一つの確認を求める仕組み）は、大事なアカウントで使えているか
• 新しいサービスやシステムを始める前に、ログインまわりの安全性を誰がいつ確認するか

3問のあとで、時間のあるときに次の5項目も確かめておくと安心です。

• パスワードを忘れたときの再設定の手順で、本人確認がどう行われるか
• ログインの失敗が短時間に繰り返されたとき、気づける仕組みがあるか
• お客様の情報を扱う画面に、だれがどこからログインできるか
• 問題が起きたとき、まずどの機能を止めるかを決めてあるか
• 困ったときに相談できる保守会社・専門家の連絡先が決まっているか

自分で確認を始めるなら、セキュリティチェックも使えます。

外部に点検を頼む場合は、脆弱性診断の費用感を先に見ておくと、相談の準備になります。

答えられない項目が1つでもあれば、今週中に保守会社へ点検を依頼してください。

参考にすべき一次情報・公的資料

まず読むならこの1本:

• 株式会社セブン＆アイ・ホールディングス「株式会社セブン・ペイのサービス廃止と今後のキャッシュレスサービスについて」 — 原因の見立て、被害の確定値、今後の対応を確認できます。

さらに詳しく:

• 株式会社セブン-イレブン・ジャパン「7payサービス廃止に関するお知らせ」 — サービス廃止に関する当事者の発表です。
• piyolog「7payにおける不正利用について」 — 一次情報ではない解説記事です。