PayPay、不正利用の返金は自社で｢全額補償｣と発表 ── 原因はセキュリティーコードの総当たり｢ではなかった｣

PayPay曰くセキュリティーコードも漏れている 今回公開された同社のリリースの中には、不正利用の被害データも一部提示された。 ｢調査の結果、クレジットカード登録時にセキュリティコードを20回以上入力し登録に至った件数はPayPayのサービス開始以来13件であり、クレジットカード情報の入力回数に制限を設けるだけでは根本的な対策にはならないと判断しました。 PayPayにおける不正利用の主な要因は、悪意ある第三者が何らかの方法で、外部で入手したセキュリティコードを含むクレジットカード情報が利用されたことである可能性が高いため、このたび3Dセキュアの対応を決定いたしました。 また、上記13件のうち、PayPayでの利用があった9件について、カード会社と連携しご利用状況を確認したところ、全てご本人による登録と利用であったことが判明しています（2018年12月27日現在）。｣ 今回話題になっている

[nnnira-ching]

某ITジャーナリストが「総当たりでセキュリティコード流出させたpaypayの責任は重い」ってずっと固定ツイに設定してたの、この発表の後そっと外してて笑った

[augsUK]

NewsPicksなどで盛大にコード総当たり説を押してバッシングした人たちが、自己正当化のために頑張って公式発表を嘘ということを言い合ってる。話のすり替えなど自己正当化のための認知の歪みが見えて面白い。

[filinion]

「総当たりが可能になっている！　杜撰！」→「エラー20回を上限に修正しました！　20回も間違えた人は今まで13人だけだから、利便性に与える影響はわずかです！」→「ええ…じゃあもっと深刻な事態じゃん…」

[jaguarsan]

PayPayなにも悪くないってのも間違いで、流出クレカのロンダリングに使いやすい仕様とイベントだったのは事実。/具体的に言うと店頭購入で足がつかない。イベントで高額決済が不自然でない等

[crosscrow]

なるほど。カード情報なんて基本的に漏れてて、足がつかないように利用する方法が問題ってところなのかな。それで身元確認が甘いpaypayがターゲットになったと。

[wiz7]

額面通りに受け取ると流出元の責任のはずだが、PayPayが責任とる理由があるのならばその説明が聞きたいね、というか…それが全てなのに伏せられててww

[NEXTAltair]

やっぱどこからか漏れてたのか。　にしてもPayPayが保証となったっとことはカード会社どういうやり取りがあったのか

[ulsta]

確かに3Dセキュアならある程度は信頼できる。ただそのパスワードすら漏れてたらアウト。Apple Payを真似してカード会社登録の電話番号に自動発信かSMSにコード送信のほうが簡便なのでそっちにしてほしい。

[sisya]

記事を見るに、paypayの利便性が利用されただけで、paypay側に責任はなかったように思う。よりセキュアになることは喜ばしい。限度額も調査完了までの限定措置だったということで、全体的に誠意を感じる。

[ledsun]

ECサイトは受取人の住所と氏名が確認できのでセキュリティコードでOK。物理レジはカードの現物が確認できるので、（金額によって）カード番号でOK。paypayはカード現物がなくてもいいから、それじゃダメ。なのかな？

[nekoruri]

思い込みベースの対策ではなくきちんとログデータから攻撃内容を分析してるの偉いね。

[kiyo560808]

身元確認が甘いのがよくないってことか。不正利用されてないか念の為もう一回確認するか。

[akulog]

イモトのWiFiから漏れてたりして

[wakabayashi1983]

｢セキュリティコードを20回以上入力し登録に至った件数はPayPayのサービス開始以来13件｣

[dekaino]

こんなのプリペイドかデビット方式でないとダメだろ。店頭でPayPay払いすると、クレカ本体の確認不要かつ商品送付先住所提示も不要なわけでガバガバすぎる。

[robokichi]

PayPayのセキュリティコードチェック不備で被害を被る人は、今回では無く"次回"だと思うけど。 これを機にカードの明細をチェックするようにしては？

[zyzy]

paypayを叩ければなんでもいい人が、無理矢理paypayのせいにしようとして自爆している件

[point2000]

なるほど、結局セキュリティコード総当たりはほぼ無く元々漏れていたものが使われていただけか…でもまあこの手の決済でクレカ登録する場合は基本3Dセキュアに対応して欲しいよね

[brusky]

“不正利用と認められた際の補償原資を全額負担”結局犯罪者は野放しか。お疲れ様でした。

[mdvpo]

クレカそのもののセキュリティーを厳しくしてほしいのはもちろんだけど、現状はクレカ扱うサービスは自分とこでセキュリティ厳しくしなきゃだめでしょ。

[mikanuirou]

セキュリティーコードって初めて使った時何だか納得行かない名称だなと思ったけど今でもやっぱり納得してない。

[kito6mao]

保障は大変だけどお金系のサービスやるならリスク仕方ない

[mohno]

PayPayの仕組みを悪用されて不正使用されたら、そりゃPayPayが全額負担するのは当然だと思う。結局、“他での悪用”はなかったんだろうか。

[kudoku]

ていうか試行回数カウントできる仕組みだったのかよ！20回も間違えたら止めろよ！

[raf00]

PayPayの責任ではなく、クレジットカードの仕組みに関する重大な問題であったと。……しかしそうするとPayPayが保証するのはなぜだ？

[pechiyon]

本人なのにセキュリティコードそんなに間違えるんかい！

[misomico]

3dセキュアのパスコードって漏れたことあるのかな

[ba9yosikazu]

不正利用があったのに出だしコケてないのはすごいな

[style_blue]

総当たりですらなかったけど可能なのはイカンよ。3Dセキュアも所詮パスワードだし、こないだ初めてネット通販でApplePay使ったけど電話機で認証するのがこれからのスタンダードになるのかなと思った。

[keizou5sono]

不動産会社の対応とは大違い。

[htnmiki]

基本的にあらゆる情報が漏れてる前提でいなきゃいけないのなかなかきついな

[hiromo2]

試行回数の集計がby電話番号なのか、by カード番号なのかでかなり変わる。そこを明らかにしてくれないとミスリードを誘っている疑惑は晴れない。

[afternooncurry]

カード番号とセキュリティコードが漏れてたならもっと他のサイトでも大々的に問題になってる気がするんだが、なぜ PayPay だけで騒がれてるんだろう？ 3Dセキュア無いところなんて沢山あるだろうし。

[jumitaka]

自分のカード情報がダダ漏れだと分かった方々、逆にラッキーだったのでは

[sun330]

今回の件でまるで使ってないカード2枚を解約した。会員カードと一緒になってるカードは使ってなくても解約出来ないのがつらい。仕方ないので紙明細が届くようにしてる。

[Hidemonster]

ブコメがポジショントークで混乱してて面白いね

[AKIMOTO]

悪くなかったけど補償はする? 謎な対応だな

[keisuker]

じゃあなんでpaypayだけ不正使用の報告が急に上がってきたんだ。とりあえず、5万制限撤廃とのことだしキャッシュバック第2弾が楽しみ。

[JULY]

https://tech.nikkeibp.co.jp/it/atcl/idg/14/481709/120600279/ で指摘されているように、多数のショッピングサイトで試行すれば見つけられる、が実際に起きていないかなぁ。

[hirose504]

“PayPay曰くセキュリティーコードも漏れている" "クレジットカード登録時にセキュリティコードを20回以上入力し登録に至った件数はサービス開始以来13件、利用状況を確認したところ、全てご本人による登録と利用”