ゆめさくセキュリティ

2019年7月2日に発覚、日本、バーコード決済サービス (QRコード決済)

7pay 不正利用事件

二要素認証等の追加認証の検討が足りず、漏れたID・パスワードのリストで不正利用された

何があったか

2019年7月1日、セブン&アイ・ホールディングス傘下のセブン・ペイは、セブン-イレブンアプリに搭載したバーコード決済サービス「7pay」を始めた。翌2日、利用者から「身に覚えのない取引があった」との問い合わせが入り、不正アクセスが発覚した。会社は3日に各社ホームページへ注意を載せ、海外IPからのアクセスを遮断し、クレジット・デビットカードからのチャージを止めた。4日には店舗レジとセブン銀行ATMからの現金チャージと新規会員登録も止めた。5日に「セキュリティ対策プロジェクト」を設け、11日に外部IDによるログインを止め、30日にはグループ共通ID「7iD」のパスワードを一斉にリセットした。

8月1日、会社は7月31日17時時点で808人、38,615,473円の不正チャージ・不正利用の被害を確認したと公表し、被害額はすべて補償すると発表した。あわせて、抜本的な対応に時間がかかることから、9月30日24時をもって7payのサービスを廃止すると決めた。原因は、外部情報セキュリティ会社と連携した調査の結果、攻撃者がどこかで不正に入手したIDとパスワードのリストを使う「リスト型アカウントハッキング」である可能性が高いとされた。10月10日、弁護士中心の検証チームの検証を踏まえ、認証や開発体制の不備を原因と認め、役員報酬の自主返上とセブン・ペイの代表取締役の交代、再発防止策を公表した。

入口
攻撃者がどこかで不正に入手したIDとパスワードのリストを使い、7payの利用者になりすまして不正アクセスを試みた、いわゆるリスト型アカウントハッキングである可能性が高いと会社は結論づけた
決め手の失敗
複数端末からのログインに対する対策や二要素認証等の追加認証の検討が十分でなく、7pay独自の認証システムと不正検知・防止対策も万全ではなかった
被害
808人、38,615,473円 (2019年7月31日17時時点)の不正チャージ・不正利用の被害が確認され、サービスは同年9月30日24時に廃止された

攻撃の流れ

  1. 入口攻撃者がどこかで不正に入手したとみられるIDとパスワードのリストを使い、7payの利用者になりすまして不正アクセスを試みた、いわゆるリスト型アカウントハッキングである可能性が高いと会社は結論づけた
  2. 認証の不備複数端末からのログインに対する対策や二要素認証等の追加認証の検討が十分でなく、7pay独自の認証システム等および不正検知・防止対策が必ずしも万全でなかったことが防御力を弱めた
  3. 不正チャージ乗っ取ったアカウントに登録されたクレジットカード、デビットカード、nanacoポイントから、身に覚えのないチャージをされる被害が起きた
  4. 残高の不正利用利用者自身がチャージした7pay残高を、第三者が不正に利用する被害も起きた
  5. 影響チャージを含め全サービスを再開できる状態に戻すには相応の期間が必要と判断し、2019年9月30日24時にサービスを廃止した。被害額はすべて補償した

数字で見る

  • 808人 不正チャージ・不正利用の被害者数[1] 2019年7月31日17時時点
  • 38,615,473円 不正チャージ・不正利用の被害金額[1] 2019年7月31日17時時点
  • 1日 サービス開始から不正アクセスの発覚まで[1] 7月1日から7月2日。資料の日付から数えた
  • 31日 サービス開始から廃止決定の公表まで[1] 7月1日から8月1日。資料の日付から数えた
  • 3名 月額報酬の自主返上を決めた役員数[2] 代表取締役社長、代表取締役副社長、取締役執行役員 (当時) の3名

気づいたきっかけ

サービス開始翌日の2019年7月2日、利用者から「身に覚えのない取引があった」との問い合わせを受けて不正アクセスを把握した

対応と復旧

7月3日に海外IPからのアクセス遮断とクレジット・デビットカードからのチャージ停止、7月4日に店舗レジ・セブン銀行ATMからの現金チャージ停止と新規会員登録の停止、7月5日にセキュリティ対策プロジェクトの設置、7月11日に外部IDによるログインの停止、7月30日に7iDのパスワードの一斉リセットを行った。8月1日、9月30日24時でのサービス廃止を決め、被害に遭った利用者への全額補償を公表した。10月10日には弁護士中心の検証チームの検証結果を踏まえ、再発防止策と役員報酬の自主返上、セブン・ペイの代表取締役の異動を公表した

組織が認めた原因と、決めた対策

認めた原因

  • 攻撃者がどこかで不正に入手したIDとパスワードのリストを用い、7payの利用者になりすましつつ不正アクセスを試みる、いわゆるリスト型アカウントハッキングである可能性が高い
  • 7payに関わるシステム上、複数端末からのログインに対する対策や二要素認証等の追加認証の検討が十分でなく、7pay独自の認証システム等および不正検知・防止対策が必ずしも万全なものでなかった
  • 7payの開発体制において、セキュリティ水準に関する厳格なポリシーが徹底されておらず、複雑なシステムの開発に当たってセキュリティ面を統括管理するプロジェクト・マネジメント機能やシステムリスクを指摘すべきリスク管理機能が十分に発揮されていなかった

公表した再発防止策

  • 7&iグループにおけるセキュリティ施策を統括的に所管する専門組織の設置
  • 7&iグループで横断的に適用されるセキュリティに関するポリシー・ガイドライン、およびシステム開発に関するポリシー・ガイドラインの再整備と運用の徹底
  • システム開発におけるプロジェクト・マネジメントおよびセキュリティについて専門性を有する人材の拡充
  • セキュリティがお客様に提供するサービスの一つとして欠かせないという意識をグループ内に浸透させるための社内教育と意識醸成の取り組み

自分のサービスで確かめること

  • 決済や会員サービスのログインに、パスワード以外の二要素認証などの追加の認証があるか確かめる
  • 同じアカウントへの複数端末からの同時ログインを検知・制限する仕組みがあるか確かめる
  • グループ会社をまたぐ開発で、セキュリティのポリシーと責任の所在が一本化されているか確かめる
  • 不正利用や不正チャージを早期に見つける検知の仕組みと、異常時にサービスを止める判断の基準があるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 7月2日 発覚 利用者から「身に覚えのない取引があった」との問い合わせを受け、不正アクセスを把握した[1]
  2. 7月3日 対応 各社ホームページへ注意を掲載し、海外IPからのアクセス遮断とクレジット・デビットカードからのチャージ停止をした[1]
  3. 7月4日 対応 店舗レジ・セブン銀行ATMからの現金チャージ停止と新規会員登録の停止をした[1]
  4. 7月30日 対応 7iDのパスワードを一斉にリセットした[1]
  5. 8月1日 公表 被害状況 (808人、38,615,473円) とサービス廃止の決定を公表した[1]
  6. 9月30日 対応 7payのサービスを廃止した (8月1日時点では廃止予定日として公表、10月10日の資料で「運営しておりました」と過去形で言及)[2]
  7. 10月10日 公表 再発防止策を公表し、役員報酬の自主返上とセブン・ペイの代表取締役の異動を決議した[2]

攻撃した側について

会社は、攻撃者がどこかで不正に入手したIDとパスワードのリストを使う「リスト型アカウントハッキング」である可能性が高いとしている。2019年8月1日時点で捜査当局による捜査が続いているとされ、確認した資料の範囲では攻撃者を名指しした公的機関の発表は見当たらない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 「7pay（セブンペイ）」サービス廃止のお知らせとこれまでの経緯、今後の対応に関する説明について 株式会社セブン&アイ・ホールディングス、2019年8月1日、被害組織の資料
  2. 「7pay（セブンペイ）」事案に関する再発防止策並びに役員報酬の自主返上および子会社における代表取締役の異動に関するお知らせ 株式会社セブン&アイ・ホールディングス、2019年10月10日、被害組織の資料