【更新】7pay問題でオムニ7アプリのソースコードに漏洩の疑い。AFRICASPAINSearch【更新】7pay問題でオムニ7アプリのソースコードに漏洩の疑い。Insider114,294FacebookTwitterLinkedInHatenaLINEセブン-イレブンアプリの7pay機能。7月23日現在も、新規登録・チャージなどはできないままの状態が続いている。この間、実行犯とみられる複数の中国籍の容疑者が逮捕され、また外部ID連携の実装の不備から、セキュリティーの懸念を指摘する報道が続いている。セブン&アイHDは7月中を目処に、今後の対応策などを公表する予定だ。ここへきて、これまでとは異なる、別の問題が浮上してきた。7payにも関連する、ECアプリ「オムニ7」の設計図にあたるソースコードが漏洩していた可能性がある。オムニ7アプリはセブン-イレブンアプリとは別アプリだが、ログインまわりの設計は非常に似通っているとみる専門家もいる。事実であれば、アプリ開発の管理体制、アプリ自体やサービスのセキュリティーに関するリスクの有無についても、一層の警戒が必要になる可能性がある。Japan「7pay問題に関連すると思われる、プログラムのソースコードが漏洩している可能性があります」7月上旬のある日、首都圏のIT企業につとめるプログラマーのユースケさん(仮名)は、そう言ってソースコードの実物を取材班に見せた。ユースケさんがこの問題に気づいたのは、7月16日の記事のタロウさんと同様にセブン-イレブンアプリの通信解析をしていたからだ。外部ID連携に設計上の問題があるのでは、との指摘は、報道が始まる以前から一部のITエンジニアらの間で噂になっていた。ユースケさんもそんなうちの一人だった。他の人と違ったのは通信解析を試す中で偶然、解析中に表示されたオムニ7の「APIサーバー」の名前を、GitHubで検索してみようと思ったことだった。GitHubは開発者の間で一般的に使われている開発支援サービスプラットフォームだ。ユースケさんによると、このソースコードは、少なくとも7月10日ごろまではGitHub上に存在した。一目見て「今回の問題に関連する重要な情報だ」と感じたユースケさんは、事前にGitHubのスクリーンショットを残していた。同ソースコードは、その週のうちに削除されている。このソースコードをアップロードしたと思われるのは、“iからはじまる7文字のアカウント”の人物だ。削除される前のリポジトリ(GitHub上の保存場所)のスクリーンショット。提供:取材協力者ユースケさん自身はソースコードの内容詳細までは解析していない。見たところ、iOS向けのソースコードで、コードの一部に開発会社らしき複数のメールアドレスが書かれていること、またフォルダー名などからオムニ7アプリの一部のように見える、ということにも気づいた。削除直前の足跡から、このソースコードはGitHub上で2015年5月〜7月頃に公開されたもので、それ以来更新されることなく、削除される2019年7月10日付近まで公開状態が続いていた可能性が高い、とユースケさんは言う。事実であるならば、セキュリティーの観点から無視できない管理上の不手際ということになる。別のソースコードを日本の企業が削除した痕跡オムニ7アプリ。現在もAppStoreなどで配信中だ。撮影:7pay取材班ソースコード漏洩の懸念については、別の気になる動きもあった。ユースケさんが発見したソースコード(便宜的にソースコードAと呼称)が削除されて以降も、同様にオムニ7のAPIサーバーの名前で検索すると別のリポジトリ(保存場所)がヒットする状況だった。そこには、消えたソースコードAより古い、開発初期と思われるソースコード(ソースコードBと呼称)の断片があった。以下は7pay取材班が、7月19日時点で公開状態にあったことを確認した画面のスクリーンショットだ。ソースコードBに関連するアカウントには、ソースコードAのときと同様に“iからはじまる7文字のアカウント”も含まれる。編集部が7月19日時点で保存したスクリーンショット。コミット者の名前として“iからはじまる7文字のアカウント”の人物も確認できる(モザイク処理をしています)。開発の初期段階のバージョンなのか、フォルダー構造などは異なる。7pay取材班ソースコードBにはその後、興味深い動きが起こる。GitHub上で日本企業が、アメリカのデジタルミレニアム著作権法(DMCA)にからんだ申し立てをし、運営から受理され、その後削除にいたったのだ。そのログも公開されている。日付は現地時間の7月18日。Co.,Ltd.」であるオリジナルのソースコードは7月11日に削除。MSE社というものになる。11日に削除したオリジナルのソースコードが「ソースコードA」を指すのかは不明だが、日付からするとユースケさんが見つけたものである可能性は高い。数週間前から元のソースコードの調査を進めていた実は、7pay取材班は、DMCAの申し立てが発覚する以前の数週間前の段階から、本件について調査を進めていた。DMCAの申し立てが発覚する以前に、取材班が独自入手したソースコードについて、国際大学GLOCOM客員研究員の楠正憲氏に分析を依頼していた。楠氏はアプリ開発やセキュリティーに詳しい識者だ。楠氏は当時、断定は避けながらも、セブンネットショッピングと関係があるソースコードである可能性が高いと語った。楠氏のコメント公開は今回が初めてだ。楠氏のTwitterアカウントより。セキュリティーや技術系の論客としても定評がある。Twitter「(ソースコードには)iOSデバイスへのプッシュ通知に必要な電子証明書が含まれており、(これを根拠として)セブンネットショッピングと関係あるソースコードである可能性が高い。Japanが報道している)外部IDログインに関して指摘されているのと同様の脆弱性を発見した。リソースファイルに直接、“外部IDログインに必要なシークレット”などが直書きされている。これらのファイルが長い期間、GitHub上で公開されていたのだとしたら、かなりずさんな管理が行われていたことが推察される」(楠氏)また、今回のDMCAの申し立ての発覚を受け、楠氏は次のように改めてコメントを寄せた。「スマートフォンのアプリ開発では、インターネットに接続していることを前提とした開発環境が多く、昔のようにインターネットから隔離することで秘密保持するのは難しくなった。iOSの場合Macで開発することが一般的で、開発会社のMac向けデータ漏洩対策は、Windowsと比べて出遅れているケースがある。スマホなどの端末内アプリを出入り口として、目的の機能を提供するためクラウド上で動作しているサービス本体のこと。ソフトウェア開発キットのこと。セブン&アイHDの回答セブン&アイHD広報が事実関係の問い合わせに回答。担当者は「本件については現在確認中です」とのコメントにとどめた。7月中にセブン側が公表を予定する「今後の対応策」のなかに、ソースコードの漏洩の可能性についての情報が含まれるかどうかは、現時点で明確な回答はなかった。編集部より:セブン&アイHD広報の回答を追加し、「セブン&アイHDの回答」以下の文章をアップデートしました。狙われた7pay「外部ID連携」の脆弱性の全貌。@BIJapanPopular「女性専用車両は戦場」報道に批判の声。TBS取材に答えた女性が「誤解」と告白、局は謝罪もう転売?メルカリに高値で「ノザキのコンビーフ」。調査:2019年の“世界トップ課金”スマホゲームは国産作品「FGO」。2020年の市場予想も発表ゴーン会見で明かされなかった「ずるい黒子」の正体。中国人の旅行先トップ、日本で新型肺炎パンデミック懸念。春節旅行18日シーズン入りあわせて読みたいPopular「女性専用車両は戦場」報道に批判の声。TBS取材に答えた女性が「誤解」と告白、局は謝罪もう転売?メルカリに高値で「ノザキのコンビーフ」。調査:2019年の“世界トップ課金”スマホゲームは国産作品「FGO」。2020年の市場予想も発表ゴーン会見で明かされなかった「ずるい黒子」の正体。中国人の旅行先トップ、日本で新型肺炎パンデミック懸念。春節を迎える中国では、40日間でのべ30億人が動く「商品ほぼなし」でも、ソニーの展示が“圧巻”だった理由。気象衛星「ひまわり8号」が捉えたオーストラリアの大規模火災...すでに2019年アマゾン火災の2倍に「日本人はなぜ席を譲らない?」とツイートしたら「レディーファーストって意味不明」と猛反発されたオフィスで働く?リモートワーク?東京を離れて気付いた「効率のいい働き方」Sponsored国境を越えた引越しも。気温が3°C上昇すると何が変わる?Sponsored「何のために働くのか」その答えは対話から生まれるSponsored「家を借りる」をもっと気軽に。EditionsUSINTLDEAUSESFRINITJPMYNLPLSESGZA。