７月１日、コンビニ業界最大手のセブンイレブンが提供するスマホ決済サービス”7pay（セブンペイ）”がスタートしました。
提供開始から３日目となりましたが、気になる記事がYahoo!ニュース（ITmediaNews）で流れていました。
「7pay」で不正アクセス被害 「クレカから勝手にチャージされた」報告相次ぐ 運営元はID・パスワード変更を推奨
セブン＆アイ・ホールディングス傘下の決済事業者セブン・ペイは7月3日、1日にリリースしたモバイル決済サービス「7pay」の一部アカウントが、 第三者による不正アクセスの被害を受けたと明らかにした。不正利用を防ぐため、ユーザーに「ログインID、パスワード、認証パスワードの管理にご注意ください」と呼び掛けている。
出典：ITmediaNew
主な被害として、
- アカウントが乗っ取られて残高が不正利用される
というケースが相次いでおり、セブンイレブンによると7payの登録者数は150万人強のうち、不正アクセスの被害者は約900人、被害額の合計は約5500万円に上るとしています。（４日午前６時時点）
真偽のほどは不明ですが、Twitterでも不正利用について多数の報告があります。
7payで不正利用発生！
クレジットで計18万円チャージされ
内、９万円がセブンイレブンJR錦糸町駅前店で使われる！クレジット会社への連絡→済。担当者からの折り返し待ち
7payのパスワード変更→済。
クレジットカードの紐付け解除→済。
7pay運営への電話→つながらず。メール送信済み。— ぬのびき@2019年はJGCプレミア！ (@nuno_chann) 2019年7月3日
7pay不正利用問題。私も同様の事態が発生して急ぎパスワードを変更しましたが、クレジットカードで多額のチャージがなされてしまいました。問合せをしたところ、担当者は「不正利用の記録はありません。カード会社の問題では」という当事者意識のなさ。7pay、危なすぎます。現在、再度の調査を依頼中。 https://t.co/mUNXozAt21
— 藤川大祐 (@daisukef) 2019年7月3日
【写真】７payで不正アクセス被害に会いました。
今朝短時間に１９万円分の不正アクセスによるチャージと２回（９万５千円と１０万円）の高額決済被害に会った履歴のスクリーンショットの一部です。
１分間で３回のチャージとは、人間業でしょうか？ pic.twitter.com/60V7GSI6eX
— Tack C. Mizoguchi (@ttack1122) 2019年7月3日
目次
7pay運営側でも事態を把握してクレジットカード利用を停止している
7payを運営する「セブンイレブン」も不正アクセスの被害を把握して、記事執筆時点ではカードによるチャージが停止されています。
追記：４日時点でチャージ機能を全て停止しています。決済機能は引き続き利用可能です。
2019/7/3 現在クレジット/デビットカードおよびセブン銀行（デビットカード）からのチャージサービスを一時停止しています。
7pay公式サイトでも次のアナウンスがされています。
この度は、セブン&アイ HLDGS.独自のバーコード決済サービス「7pay」をご利用いただきまことにありがとうございます。
現在、一部のアカウントが第三者にアクセスされる被害が確認されております。
つきましては、取引の安全が確認されるまでの間、クレジットカード及びデビットカードでのチャージを停止させていただき、セブン銀行 ATM での現金チャージ、nanaco ポイントでのチャージ、セブン‐イレブン店頭レジでの現金チャージのみとさせていただきます。
再開の目途がつき次第、ご案内をいたします。
7payのセキュリティ上の問題点
7payのセキュリティ上の脆弱性の１つに２段階認証なしだったことがあげられます。
通常、アカウントには「ID」と「パスワード」を入力することによりログインができます。
２段階認証では、もう一つの本人確認が加わることになり、代表的なものとしてはSMSで送付される「認証コード（ワンタイムパスワード）」です。
この仕組みにより、
- ID
- パスワード
で認証をしても、あらかじめ登録した電話番号に送付される「認証コード」を入力しなければログインできません。
セブンイレブンと同じ日にリリースされた「ファミペイ」では、ログインするときに10分間だけ使える「認証コード」が必要なことから、仮にIDやパスワードが第三者に知れ渡ったとしても不正アクセスできなくなっています。
その他にも
- 会員ID（メールアドレス）
- 生年月日
- 電話番号
の３つを知っているだけで、他のメールアドレスにパスワードを再設定するURLが送れてしまう点も脆弱性としてあがってきています。
残高・履歴から不正利用を確認する方法
自分が不正アクセスの被害にあっていないかは、セブンイレブンアプリの7payの「残高・履歴」から確認ができます。
ここで見に覚えのない取引（チャージや利用など）がないか？確認をしましょう。
7payでクレジットカードチャージをしたときは、
- セブンペイチャージ
と表記されます。
0120-192-044（24時間/年中無休）
7payのログインIDとパスワードの変更方法
7payによると
- 7payのパスワードが簡易な文字列（123456、生年月日など）
- 7payのパスワードとクレジットカード・デビットカードの登録時に設定した認証パスワードが同じ
ときに不正利用されやすいようです。
心当たりがある場合は、次の方法でログインIDとパスワードを複雑なものに変更しましょう。
7payのパスワードの変更方法
セブンイレブンアプリの左上「三」をタップします。
「７iD会員情報」をタップします。
「７iD」と「メールアドレス」の右横にある「変更」をタップします。
７iDをメールアドレスで登録していた場合は、パスワードを変更できます。
クレジットカード・デビットカードの認証パスワードの変更方法
7payを開いてから、上部の「設定」→「認証パスワード設定・変更」の順にタップします。
現在のパスワードを入力してから、新しいパスワード（できるだけ複雑な文字列）を入力して「設定する」をタップしましょう。
クレジットカード情報を削除する方法
パスワードを複雑にしたので、一応は、不正アクセスの被害は受けにくくなります。
もし、まだ心配で7payのチャージをクレジットカードでする予定がないなら、クレジットカード情報を削除するとより安全です。
7payに移動して、上部の「チャージ」→「クレジットカード/デビットカード」の順にタップします。
「カードの追加・削除」をタップします。
「削除」をタップします。
“削除しますか？”で「削除する」をタップすれば、クレジットカード情報の削除は完了です。
これで万が一、7payのアカウントが乗っ取られたとしても、クレジットカードを不正利用される心配はありません。
7payのアカウントを削除する方法
7payの不正アクセスの件により、アカウント削除して退会したい場合は、次の記事を参考にしてください。
