現在JavaScriptが無効になっています。Yahoo!ニュースのすべての機能を利用するためには、JavaScriptの設定を有効にしてください。JavaScriptの設定を変更する方法はこちら。6:55ツイートシェアブックマークセブンイレブンのスマホ決済「7pay」で、クレジットカード不正利用事件が起きています。原因はハッキリしませんが、仕様に大きな弱点があることがわかりました。わかれば、第三者が7payのセブンイレブンアプリのパスワードを変更できることが判明したのです。SMS認証など2つ目の認証がないため、第三者が乗っ取ることも可能になります。7payクレジットカード不正利用が7月3日から発生7月3日早朝から、セブンイレブンの7payでクレジットカード不正利用の被害が出ています。Twitterで複数の人が報告しているもので、3日午前中にはセブンイレブンも注意喚起を出しました。7payに関する重要なお知らせ(セブンイレブン)クレジットカードからのチャージは止めていますが、決済機能自体は生きています。現時点では原因は発表されていません。パスワードリスト攻撃(流出しているパスワードのリストで攻撃するもの)とも思われましたが、Twitterでの被害報告では「パスワードは使い回さず独自のものにしていた」という人もいるため、別の原因も考えられそうです。ここで1つの穴が発見されました。わかると、パスワードリセットができ、かつ別の端末から第三者が乗っ取ることができるという穴です。SAWADA)氏が指摘しているもので、パスワードリセットを別のメールアドレスからできてしまうという穴です同じことができるか、検証しました(7iDでの検証)。下記は7payの機能が内蔵されたセブンイレブンアプリのログイン画面。「パスワードをお忘れの方」というパスワードリセットのリンクがあります。クリックするとメールアドレスの入力画面になるので次へ押します。なんと別のメールアドレスにパスワードリセットメールを送信できる問題は次のパスワードリセット申請画面です。生年月日と電話番号を入れるところまではいいのですが、その次に謎の入力項目があります。赤で囲んだ部分は「送付先メールアドレス」です。なんと登録しているアドレスとは別のアドレスに、パスワードリセットメールを送信できるのです。実際にやってみました。メールアドレス」の3つだけ。その上で別のメールアドレスを設定します。その結果、届いたメールがこちら。登録メールアドレスとは関係のない別のアドレスに、パスワードリセットのリンクがメールで届いたのです。クリックしたところ、パスワード変更ができてしまいました(ちなみに元のメールアドレスにも通知が届く。そのため本来の持ち主は気づくことが可能だとは思われる)。わかれば、パスワードを変更できるわけです。高木浩光氏によれば、なんとiOS版では会員登録時に生年月日を登録なしにでき、その場合は「2019/1/1」が自動入力。未登録の人は生年月日なしでパスリセットができるそうです。入手しやすいでしょう。何らかの会員名簿を入手するなどの方法でわかる情報だからです。下記の問題があるため、第三者がアプリを乗っ取ることもできます。SMS認証などがないためメールアドレス・パスワードを知られると別端末で乗っ取りももう一つ問題点があります。それは二段階認証(多要素認証)が存在しないことです。二段階認証とはパスワードとは別に、電話番号のSMSなどで本人確認をするしくみのこと。パスワードが漏えいしたとしても、第三者が悪用できないようにするしくみです。セブンイレブンアプリには二段階認証がありません。そのため会員ID(メールアドレス)とパスワードがわかると、第三者が別の端末から乗っ取ることが可能です。実際に自分のIDで試してみましたが、別のスマホでログインでき、元のスマホは自動ログアウトになりました。クレジットカードを登録する重要なアプリにも関わらず、二段階認証がないのは大問題です。その結果、上記のパスワードリセットを悪用すると、第三者が別のスマホでセブンイレブンアプリ(7pay)を乗っ取ることができてしまうのです。セブンイレブンは今すぐ7payをサービス停止したほうがいいなぜこんな甘い仕様にしたのか理解に苦しみます。百歩譲ってこの方式を許したとしても、そのアプリに7pay、つまりクレジットカードを自由に使える決済機能を入れるのはお粗末としか言いようがありません。ここで取り上げた2つの弱点が、7payでのクレジットカード不正利用の原因かどうかはわかりません。言え、大きな弱点を残したままで7payをスタートさせたのはセブンイレブン側の明らかな判断ミスです。7payを既存のセブンイレブンアプリに組み込んだため、仕様が甘くなったと考えられます。サービス開始を焦ったのかもしれません。セブンイレブンは今すぐ、7payのサービス全体を止めるべきです。原因が判明するまでは7pay全体のサービスを止め、対策が完了してから再開したほうがいいでしょう。原因がわからないままでサービスを続けるのは無責任であるだけでなく、スマホ決済全体のイメージも悪くします。「スマホ決済・コード決済は怖いもの」という評判が7pay・セブンイレブンによって広まってしまうのです。利用者にリスクを負わせたまま、弱点があるサービスを継続すること無謀です。取り組むことを強く望みます。それができないなら、私は「セブンイレブンは信用できない」と言うしかありません。利用者の方には「すぐに7payの利用をやめる」ことを勧めざるを得ません。現状はそれほど深刻です。ITジャーナリストセキュリティ・ネット事件・スマートフォン料金を専門とするITジャーナリスト。テレビ・ラジオ・雑誌などでの一般向け解説多数。16:30三上洋の記事一覧へ(23)あわせて読みたい金正恩が新型コロナで思い知った「本当の弱さ」と深刻な挫折(高英起)サンウルブズ初先発の齋藤直人。Limitedによって提供されており、この機能によって生じた損害に対してヤフー株式会社は一切の責任を負いません。一日で20°Cも急降下。16:435NTTデータ、協働者がコロナウィルスに感染。14名の濃厚接触も特定される。22:596スペースX宇宙船、5月に有人初飛行へ。