7Pay不正利用についての雑感 - novtanの日常

togetter.com リプとかコメとかで「ID/PASSを使い回すのが悪い」みたいな論調もありますが、ID/PASSを使いまわした程度でこのレベルの被害が出るのはやっぱりちょっと怖いわけです。 そりゃね、使い回さない、というのはリスク回避策としては重要ですよ。でもそれは使う側のリテラシーをもってやるものであって、公式が問題の対策として提示するようではいけませんな。 今回の話はスマホのアプリとアカウントが端末単位で認証されていない、というアプリ側の仕組みに起因している部分が大きいのではないか、と思います。僕自身は最近なんちゃらPayに仕事で関わることが多いのでファミペイ（職場のコンビニがファミマだからな）を入れようと試み、新規登録時のSMSが6時間遅れで10分期限で送られてきたときにその日の登録を諦めたのでまあ実際どうなってるかよくわからんのですが、少なくとも端末の個体識別なりをちゃんと

[NOV1975]

これ書いてからパスワード変更すら無意味話が出てきて事実は想像を超えた事態になってきた。でも、本質的にはパスワード変更とかそういう問題じゃないのよね。認証がザルだ、ということなんですよ。

[z67kjh]

続報を読んでも「終わってるなー」以上の感想が出てこなくなりました

[LOGAN]

ざっと、7payの仕組みに目を通しました。ご指摘通り、端末認証がないのが致命傷と思います。

[greenT]

QRコード決済の利点は安価なシステム導入で運用可能なことだったらしいんだけどその結果がこれでは。やっぱfelicaがいいんちゃう？

[triggerhappysundaymorning]

ひろみちゅがTweetしてたけど異様に悪用ファーストな設計になってたみたいやないの.

[khtno73]

なんつうかFintechというワードでわらわら出てきた奴らはたいていゴミで。ゴミの質も放射性廃棄物モンつう。

[houyhnhm]

認証がザル、というよりもかなり雑で、PCからも使えるとかやりたかったんだろうけど、どこぞのセブンでの利用とかで10万単位でぶっこ抜かれてて、これ出し子とかもいてキッチリ狙われてんじゃねと思うよ。