脆弱性があるかどうかは調査しなければ分からない。記者が、かなり具体的にセキュリティ的な穴を指摘しているのに、そうした解答しかなかった。事実説明をする予定の会見で、何も分かっていない社長が出てきて説明している。はたから見れば、そうとしか見えない状況だ。私が最近目にした言葉に「謝罪ソムリエ」というものがある。様々な不祥事の謝罪に対して、ネットの住民が専門家のように批評するというものだ。セブン・ペイの今回の会見は、そうした謝罪ソムリエの視点から、及第点に達しているとは到底言えないものだった。炎上するわけだと感じた。簡単にアカウントを乗っ取れた7pay7payが炎上している理由は、謝罪会見だけではない。アカウントを乗っ取れる特大級の仕様上の穴が存在していた。その穴は、「パスワードリセット」(パスワードを忘れた際に、メールアドレスにパスワードリセットのURLを送る)のページに存在していた。7payのパスワードリセットのページでは、生年月日と電話番号とメールアドレスを入力する。Yahoo!ニュース)。セブン・ペイの社長は「利便性のため」と説明していた。スマホで登録した人がパソコンでパスワードリセットをできるようにしたという。それができるということは、生年月日と電話番号とメールアドレスを知っていれば、本人がいない海外からでもパスワードリセットができる。実際にセブン・ペイの社長は、海外から、それも中国からのアクセスが多かったと語っていた。生年月日と電話番号とメールアドレスぐらいならば、正しいパスワードを知らなくても、個人情報のデータを買えば簡単に突破できる。いうシナリオが考えられる。名簿を買って、海外経由で大量にアクセスして、乗っ取れるアカウントのリストを作る。オレオレ詐欺の出し子に相当する人に、換金性の高いものを購入する方法を説明して、アカウントを売る。匿名のまま、お金を手に入れることができるだろう。そもそも、この3つの情報なら、友人が知っているレベルのものだ。友人が「7payを使ってみた」と言ったら、簡単にパスワードリセットをして、自分がログインできる。7payでは、こうしてログインすると、チャージも支払いも思いのままにできたようだ。iPhoneでは、登録に生年月日の入力は必須ではなかった。入力しなかった場合、生年月日は内部的に2019/01/01と設定される。なると、メールアドレスと電話番号が分かれば、お金が盗み放題になる(Togetter)。アカウントを乗っ取った人は、たばこのように換金性の高い商品を購入したと会見では話していた。900人で5500万円ということは、分かっている限りで、1人の被害額は6万円強。ネットでは30万円の被害を受けたと話している人もいた。した状況に対して7payでは、チャージと新規登録を止めることはしたが、利便性のために支払いは止めなかったそうだ。会見では社長が何度も「利便性」という言葉を使った。それは誰にとっての利便性なのだろうかと感じた。ネットセキュリティに詳しい作家の一田和樹氏もこう語っている。「一般的に利便性と安全性は相反します。利便性を高めることは安全性を低めることにつながることになりかねません。冒頭で述べたように「二段階認証」を認識すらしていないことも問題だという。「多要素認証は登録の際にスマホにSMSを送るなど複数の手段で確認する方法で、現在多くのサービスで使われています。金融機関ではワンタイムパスワードの利用も進んでいます。次のページ社内の体制に「物言えぬ空気」はなかったのか?12この連載の前回記事ヤフーが開始し、日本でも拡大が予想される「信用スコア」。ハーバービジネスオンライン編集部からのお知らせ2021.05.07政治・経済コロナ禍でむしろ沁みる「全員悪人」の祭典。巨人』で政治のエッセンスを。山本マサヤ64bitへのWindowsの流れ。清水建二PDFの生みの親、チャールズ・ゲシキ氏死去。清義明ロンドン再封鎖15週目。