2018-12-28この記事は約5分で読めます。落ち着いてきましたが、PayPayのやらかした問題についてまとめました。この問題、既にSoftBankだけではどうにもならない事態に発展してます。PayPayを使ってない方にも影響のある話なので読んでいただければと思います。経緯Webでのクレジットカードの仕組み今回起きた問題まとめスポンサーリンク経緯PayPayはSoftBankが展開したバーコード決済サービス。PAYなどのが馴染みがある方が多いかもです少し前に100億ばら撒きます!ということで、購入時に20%還元、運が良ければ全額還元というキャンペーンを展開しました。「セキュリティコード」が必要です。カード番号や名義、有効期限などはシステムのバックエンドで保管したりします。都度入力してもらうのはユーザの手間を増やしてしまうので。セキュリティコードは本来は最初にクレジットカードが有効なのかを判断したら保管はしません。キャンペーンが終わる頃に、クレジットカードの不正利用が相次いで起こりました。PayPayを使った人たちのクレジットカード情報が漏れてるんじゃないかという話が持ち上がる。実態としてはPayPayの持ってるクレジットカード情報が漏れたのではなくPayPayは答え合わせに利用されたのではないか?という話題になった。利用されたと言っても、本来やるべきレベルのセキュリティを怠ったのが問題なので責任はSB側にあるんじゃないかと思う。原因としては、PayPayにクレジットカードを登録する際、セキュリティコードの入力を何度間違えてもなにも起きなかったこと。いうことは何回失敗しても大丈夫。何度でも入力できてしまうということは、総当たりで認証突破が可能ということ。他人名義のクレジットカードの番号と有効期限を知っていた場合に不正利用ができる状況だったということになる。セキュリティコードの総当たりなんて、そんな難しくない。VISAやMastercardなんかは3桁だし、AMEXでも4桁。これが突破されてしまうと、別にPayPayじゃなくても他のオンラインショッピングサイトでクレジットカード情報として使えてしまう。なると、該当のクレジットカード保有者がPayPayを使っているかどうかは関係なくなってくる。なるともうSoftBankだけではどうにもならない。SBの対応PayPayHelpsupport.paypay.ne.jpCVCの入力間違いが規定数を超えると、アカウントにロックが掛かる仕組みなったっぽい。これで、一応今後の被害は多少抑えられる。原因はセキュリティーコードの総当たり「ではなかった」100億円あげちゃうキャンペーンで急速に広がったモバイル決済サービスで、ソフトバンクおよびヤフーの合弁会社「PayPay(ペイペイ)」は12月27...www.businessinsider.jp12/27に新たに発表された内容では、一応カード会社からの不正利用申請があった場合は「弊社が不正利用の返金額全額を補償いたします」と回答している。一応、PayPayで20回以上のCVC入力があったのは13件でPayPayでの利用があった9件は本人と断定できているらしい。今回の原因はCVCアタックじゃないんじゃね?ってところになってる模様。「悪意ある第三者が何らかの方法で、外部で入手したセキュリティコードを含むクレジットカード情報が利用されたことである可能性が高い」この発言は大丈夫なのか・・・?wCVCアタックじゃなくて、全部漏れてる情報を使われたんだよ!って言ってるように見えるけど、そもそもどこから漏れてるかも、PayPayから漏れてないとも明記されてない。CVCアタックの可能性薄いけど、不正利用されてる原因はわっかんね/(^o^)\というようにも受け取れる。セキュリティコード」、これに加えて「パスワード」も設定しようという試み。クレジットカード発行元が用意しているサイトで設定する場合が多いためすべてのクレジットカードが対応しているわけでもない。あと、PayPayが3Dセキュアを導入して防げるのは”支払い”のみであって、カード情報が漏れた場合はそのカードを使われる先が3Dセキュア未対応だと無意味です。まとめ個人的にはキャッシュレスに進んで行ってほしいなかで、このお粗末な事件はちょっと残念。あと今回のことで見直したほうがよいのはクレジットカードのセキュリティじゃないでしょうか・・・これだけネットショッピングが当たり前のように出来るようになってきてるなか、もはやセキュリティコードが数字のみで3桁とか4桁とかでは何のセキュリティにもならない気がする。ネット決済において気付きが多い事件でしたが、SoftBankの対応が全体的にお粗末だったので個人的にはもうPayPayを使うことはないかなーって思ってます。Pay使ってたら要らないのと、他にも決済アプリが増えてきてるのでよほどのことがなければ使わんですよ。PayでStarbucksカードを連携してみたこんばんわ、hisayukiです。PayもStarbucksカードも両方使ってるのでやってみました。新規ユーザーの新しい窓口にはなるけ...技術ネタCVCアタックに対してStripeでどう戦うか先日のShifterキックオフのときの会場がStripeだったので、PayPay事件の話題をお話させていただきました❗遅くなりましたが、まとめてシェアしようと思います。コメントをキャンセルメールアドレスが公開されることはありません。