2段階認証なしの決済アプリ ― 7pay、3か月で廃止

セキュリティラジオ｜過去のセキュリティ事件を、公開資料と図解で読み直すラジオです。 2019年7月1日に始まったセブン‐イレブンのバーコード決済「7pay」は、翌日から「身に覚えのない取引」の問い合わせを受け、9月30日に廃止されました。会社が認めた被害は808人・3,861万5,473円（全額を補償）。この事件を、セブン＆アイ・ホールディングスの発表と、個人情報保護委員会・金融庁・経済産業省の注意喚起、総務省の対策集、IPA の資料、国の不正アクセスの集計から、守る側の目で読み直します。 お金を払うアプリに、二段階認証はまだ無かった（会社は7月5日、今後入れる対策の一つ目に「7pay」二段階認証の導入を挙げました）。最初の知らせが利用者から来たこと、入るのに使われたとみられる「リスト型アカウントハッキング」、ID とパスワードだけで入れた扉（グループ共通の ID「7iD」）、7iD まで広げた止め方、そして事件のあとに守る側で変わったことまで、順に整理します。 このチャンネルは、過去のセキュリティ事件を守る側の視点で解説します。使うのは公開された資料だけで、攻撃の手口は扱いません。 法律や制度についての説明は一般的な整理で、法的助言ではありません。誤りがあれば、この概要欄と固定コメントで訂正します。 ▼ チャプター 0:00 本編より 0:17 はじめに 1:23 入られて、気づくまで 2:29 被害に遭った人たち 3:09 何で入られたのか 5:37 ID とパスワードだけの扉 6:52 7pay の外まで止める 8:26 社会は何を変えたか 10:03 この事件の意味 ▼ 資料（一次資料） ・セブン＆アイ・ホールディングス「セブン＆アイ独自の“バーコード決済”サービス『7pay（セブンペイ）』登場」（2019-04-04。セブン‐イレブンアプリから登録） https://www.7andi.com/var/rev0/0000/3... ・セブン＆アイ・ホールディングス「7iD 会員数が早くも1,500万人を突破！セブンマイルプログラム1周年感謝キャンペーンを実施」（2019-05-21。グループ共通の 7iD） https://www.7andi.com/var/rev0/0000/4... ・セブン＆アイ・ホールディングス「7pay に関する重要なお知らせ」（2019-07-03。カードからのチャージの停止） https://www.7andi.com/library/dbps_da... ・セブン＆アイ・ホールディングス、セブン‐イレブン・ジャパン、セブン・ペイ「「7pay（セブンペイ）」一部アカウントへの不正アクセス発生によるチャージ機能の一時停止について」（2019-07-04） https://www.7andi.com/library/dbps_da... ・セブン＆アイ・ホールディングス「「7pay（セブンペイ）」に対する不正アクセスの件（第3報）セキュリティ対策の強化を目的とした新組織発足のお知らせ」（2019-07-05。今後導入予定の対応策の一つ目に「「7pay」二段階認証の導入」） https://www.7andi.com/library/dbps_da... ・セブン＆アイ・ホールディングス「「7pay（セブンペイ）」に対する不正アクセスの件（第4報）外部 ID による各社アプリへのログインの一時停止のお知らせ」（2019-07-11） https://www.7andi.com/library/dbps_da... ・セブン＆アイ・ホールディングス「「7pay（セブンペイ）」に対する不正アクセスの件（第5報）「7iD パスワード」の一斉リセットについて」（2019-07-30。7iD で使えるサービスの一覧） https://www.7andi.com/library/dbps_da... ・セブン＆アイ・ホールディングス「「7pay（セブンペイ）」サービス廃止のお知らせとこれまでの経緯、今後の対応に関する説明について」（2019-08-01） https://www.7andi.com/company/news/re... ・セブン＆アイ・ホールディングス「「7pay（セブンペイ）」事案に関する再発防止策並びに役員報酬の自主返上および子会社における代表取締役の異動に関するお知らせ」（2019-10-10） https://www.7andi.com/library/dbps_da... ・個人情報保護委員会・金融庁・経済産業省「キャッシュレス決済機能を提供する事業者の皆様への注意喚起」（2019-08-06） https://www.ppc.go.jp/files/pdf/19080... ・総務省「リスト型アカウントハッキングによる不正ログインへの対応方策について（サイト管理者などインターネットサービス提供事業者向け対策集）」（2013年12月。参考５「不正ログインの成立率」は IPA の算出） https://www.soumu.go.jp/main_content/... ・IPA「「情報セキュリティ10大脅威 2020」を決定」（プレス発表、2020-01-29） https://www.ipa.go.jp/security/10thre... ・IPA「情報セキュリティ10大脅威 2020 各脅威の解説資料」（2020年4月。個人の1位「スマホ決済の不正利用」の事例） https://www.ipa.go.jp/security/10thre... ・国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2026-03-12。2025年の集計） https://www.npa.go.jp/bureau/cyber/pd... ▼ 効果音・BGM ・効果音: 効果音ラボ https://soundeffect-lab.info/ ・BGM: 「ほんわかぷっぷー」もっぴーさうんど（OpenTracks） https://opentracks.com/bgm/detail/1854 ・フックの音楽: 「2：23 AM」しゃろう（OpenTracks） ・エンディングの歌声: VOICEVOX:冥鳴ひまり