「7pay（セブンペイ）」 サービス廃止のお知らせとこれまでの経緯、今後の対応に関する説明について | セブン＆アイ・ホールディングス

株式会社セブン&アイ・ホールディングス（以下、当社）傘下の株式会社セブン・ペイ（以下、セブン・ペイ）が運営するバーコード決済サービス「7pay（セブンペイ、以下、7pay）」の一部アカウントに対する不正アクセスが発生いたしました。 お客様をはじめとする皆様に、多大なご迷惑、ご心配をおかけしておりますことを、深くお詫び申し上げます。 上記不正アクセス事案（以下、本事案）につき、当社では「セキュリティ対策プロジェクト」を立ち上げ、被害状況の把握と発生原因の調査を進めるとともに、今後の対応等を含めた検討を重ねてまいりました。当該プロジェクトにおける検討結果を踏まえ、（１）7payについて、チャージを含めて全てのサービスを再開するに足る抜本的な対応を完了するには相応の期間を必要とすると想定されること、（２）その間、サービスを継続するとすれば「利用（支払）のみ」、という不完全な形とせざるを得ないこと

[augsUK]

「7iDに関連する個人情報については、明確な漏洩の痕跡は認められない」ここが最終防衛ラインだったのかな？使い回してないと言ってた人が全員嘘つきという主張だよね

[Lhankor_Mhy]

ええ……？　使いまわしていない16ケタパスワードがリスト攻撃でハックされるかな？　これで調査終わりなの？　『いわゆる『リスト型アカウントハッキング』である可能性が高い」との結論に至りました』

[n_231]

リスト攻撃だという主張ならこないだのパスワードリセットで万事解決して、サービス廃止する必要はないんじゃねーの？？

[atauky]

結局、なんのためにパスワードリセットかけたのかよくわからない…。

[hakaikosen]

意地でも本体のシステムとは関係ない事にしたい気持ちがよく伝わる。

[swingwings]

パスワードリスト攻撃だと「他所と同じパスワードを使いまわしてたお前らが悪いんやぞ？」って7payは主張している事になるけども、それでは新規に十数桁のパスワード設定した人が被害にあった説明がつかない

[shibacow]

「弁護士を中心とする検証チーム」これにエンジニアなどの専門家を入れてほしいな。正しい設計のジャッジがどの段階で可能であったか判断するためにも、コンピュータの専門家が必要だろう。

[MERCY]

ほぼ確実に嘘吐いてる。7pay以外から流出したリスト型なのであれば、補償する必要無い。というか、しちゃ駄目。今、残高が有る人が知人に教えて、不正使用されましたって申告されたら補償しないといけなくなるぞ？

[dazz_2001]

見事なまでの尻尾切り。

[Lat]

誕生日を設定しないとデフォルトで共通のものが設定されたり、その誕生日を本人確認に使ったり、条件が揃うと登録したところとは異なるメールアドレスにパスワード初期化情報を送ったりと諸々記載が抜けていますよ？

[ysync]

nanacoじゃ抜けないようなデータ欲しい言って始めたんだし、不正チヤージの住所取り出して犯罪組織一斉検挙くらいやってくれw

[bell_ring]

7payスタートに伴って改悪されたnanacoのポイント付与率はそのままなんだろうな。7payで損した分を補填するためにも元に戻す気はなさそう。

[Cujo]

おむになんとかっていうしすてむをまもるためのはかいしょうぼうなのかな？どだいがすなでできてそうだけど。。。。。だいじょうぶ？

[omega314]

「なぜセキュリティ対策をちゃんとしなかったと弊社を責めるのはセカンドハッキング。自衛は不可能。ハッカーは檻に入れておけという話だよ」

[koji28]

一番大事なところ以外は100点のアナウンスだね(´・ω・`)

[septoot]

7payへの投資額も公表して欲しいもんだ

[boshi]

拝啓、貴社益々ご清栄のこととお慶び申し上げます。7id削除いたします。

[TT_TT]

7payのシステムだけ削除するはずが、間違って会社ごと全部消してしまってほしい

[xlc]

チャージ機能のどこに脆弱性があるか判らないのでサービスを再開できないというのが真相では？要は9月末までにチャージ額を使い切ってくださいということ。

[whoge]

オムニ7を守るためならこんなん切るよね。オムニ7は大丈夫なのかについてもよろしくお願いいたします

[umaemong]

純粋に技術的な野次馬根性なんだけど、ホントのことが知りたいな。リスト型攻撃であればパスワードの要件を余所より厳しくすれば使い回しは防げる。せっかくパスワード全リセットしちゃったんだし。

[shikiarai]

いやぁ、いつQRコードのサービスの終焉が見られるかと思ったらこんなに早いとは

[longroof]

nanacoのApplePay/GooglePay対応で良かったんやで(´；ω；｀)…#さようなら7pay

[t_mori]

セブンイレブン終了

[raebchen]

結局、日本の企業トップのセキュリティ意識って、相当に低いと。知らないから管理できない。知らないから納期急がせる。恥ずい。サービス廃止は、相当深刻な事態になってて廃止するほうがまだマシだからでしょ。

[honma200]

セブンとイレブンの間には半角で-を入れるくらいのルールはあるのか。間違った方向の努力な気もするが

[NOV1975]

これ、存続させようとするとこれまで起きた説明がつかないことの説明をどうしてもしなくちゃいけなくなるからとか考えてたら思ってたより深刻なことが起きてるのかもしれん。闇に葬らせて良いのか…

[Mu_KuP]

結論がそれ、被害者補償が"8月19日（月）より順次"と、なかなかに腐った対応だが、「この文章がテキストで上がっていること」だけは称賛する。早めにちゃんとしたインフラ担当とCTOを選ぶことですな。

[fai_fx]

未知の手段により、16桁パスの人を含む生データがサーバから全部抜かれた。出し子はIDとパスワードのリストを持っていたのでリスト攻撃だ！と呼んでいる気がする。他社から流出したリストを使ってないのが肝。

[laiso]

「リスト型アカウントハッキングである可能性が高い」「パスワードが不正に取得されていたとしても」のブレが渋い

[aosiro]

“『リスト型アカウントハッキング』である可能性が高い」との結論に” うーむ。 “本事案が発生するに至った「組織および意思決定等のガバナンス上の背景」” 組織に問題があったという認識はあるんだね

[SPIRIT_PHOENIX]

責任取って社長もPoyで。

[tenari]

Abema TVで各チーム長全員集合反省座談会をライブ中継するべき

[u_mid]

十分な強度で漏洩もしていないパスワード && 外部ID連携・パスワードリマインダーを悪用していない、の条件を満たしつつ認証突破されるとしたら…まだそれらと別の脆弱性があった…とか？