チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「キャッシュレス決済って便利だけど、本当に安全なの？」
「自分のスマホ決済も、知らないうちに不正利用されていたらどうしよう……」
こうした不安を抱えながら、キャッシュレス決済を使っている方は少なくありません。
実際に2019年、日本で大きな話題となった事件があります。
セブン&アイ・ホールディングス傘下の株式会社セブン・ペイが提供したモバイル決済サービス「7pay」が、開始わずか2日で不正アクセス事件を引き起こし、最終的にサービス廃止に追い込まれたのです。
チップス7pay事件って聞いたことありましゅけど、どんな事件だったんでしゅか？
ボス単純なパスワード管理の問題だと思っているなら、それは大きな誤解だ。認証設計の根本的な欠陥が招いた、教訓に満ちた事件なんだよ
この記事では、7pay不正アクセス事件の詳細を解説し、セキュリティエンジニアが学ぶべき教訓をまとめます。
キャッシュレス決済が急速に普及する現代において、認証設計の重要性を理解することはセキュリティエンジニアとして欠かせないスキルです。
7pay事件は「他山の石」ではなく、あなたが関わるシステムのどこにでも起きうる問題なのです。
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
2019年7月1日、株式会社セブン・ペイはモバイル決済サービス「7pay（セブンペイ）」のサービスを開始しました。
7payはセブン-イレブンのアプリと連携し、コンビニでの支払いをスマートフォン一つで完結させる決済サービスでした。
日本のキャッシュレス化が加速する中、大手コンビニグループが満を持して投入した注目のサービスでした。
ところがサービス開始翌日の7月2日、7payを利用した不正アクセスが発覚します。
悪意ある第三者が他人のアカウントに不正ログインし、登録されたクレジットカードやデビットカードからチャージして電子マネーを不正に使用するという手口でした。
被害が広がる中、7月3日にクレジットカード・デビットカードによるチャージを停止し、7月4日には現金チャージと新規会員登録も停止しました。
その後、セキュリティ対策プロジェクトによる調査が行われ、2019年8月1日にサービス廃止が決定、同年9月30日をもってサービスは終了しました。
チップス開始から廃止まで3ヶ月もかからなかったんでしゅね……
ボスそうだ。まさにデジタルサービスの失敗例として、セキュリティ業界では今も語り継がれている事件だよ
7pay事件の原因を公式調査の視点から整理すると、確認された主な攻撃手法と、それを可能にした設計上の問題点に分けて理解できます。
セキュリティ対策プロジェクトの調査では、認証レベル・開発体制・システムリスク管理体制の3つが被害を防げなかった主な要因として挙げられました。
7payの認証システムには、パスワードリセット機能に深刻な設計上の問題がありました。
通常、パスワードリセットはSMSや登録済みメールアドレスに確認コードを送り、本人確認をおこないます。
しかし7payでは、リセット先として登録時とは異なるメールアドレスを指定できる仕様になっていました。
なお、セキュリティ対策プロジェクトの公式調査では、パスワードリセット機能が不正アクセスの直接の原因となった事例は確認されていません。
それでも、この仕様はアカウント乗っ取りのリスクをはらむ設計として、セキュリティ専門家から問題視されました。
設計上の問題点は以下の通りです。
チップス生年月日と電話番号なんて、SNSや名簿サイトで手に入ることもあるでしゅよね……
ボスそうだ。本人確認として弱い情報を使い、しかもリセット先を任意変更できる設計は、アカウント乗っ取りへの扉を開くリスクがある。二段階認証が導入されていなかったことも、防御の薄さを示していたな
7pay事件で公式調査が主な攻撃手法として確認したのが、リスト型攻撃（クレデンシャルスタッフィング）です。
リスト型攻撃とは、他のウェブサービスから流出したメールアドレスとパスワードの組み合わせを使い、別のサービスへのログインを試みる攻撃手法です。
多くのユーザーが複数のサービスで同じパスワードを使い回している現実を悪用します。
7payがリスト型攻撃に脆弱だった理由を整理すると、次のような問題が浮かび上がります。
| 問題点 | 内容 |
|---|---|
| 二段階認証なし | ログイン時に追加の本人確認をおこなっていなかった |
| 大量アクセスの検知不足 | 短時間に大量のログイン試行があっても検知・遮断できていなかった |
| パスワードポリシーの甘さ | 強固なパスワードを強制する仕組みが十分でなかった |
| 異常ログインの通知なし | 新しい端末からのログイン時にユーザーへ通知する機能がなかった |
チップス他のサービスで流出したパスワードで別のサービスに入られてしまうんでしゅか？
ボスそうだ。「パスワードの使い回し」はユーザー側の問題でもあるが、サービス側が多要素認証や異常検知で補う設計をしないと、この攻撃は防げない。7payはそのいずれも不十分だったんだ
7pay事件の被害は、数字で見ると非常に深刻なものでした。
また、事件発覚後の対応にも問題があり、被害の拡大につながりました。
セブン＆アイ・ホールディングスの公表によると、7pay事件の被害は以下の規模に及びました（2019年7月31日17:00時点）。
攻撃者はサービス開始と同時に不正ログインを試み、決済機能を悪用して電子マネーを詐取しました。
被害を受けたユーザーからは「アプリを開いたら残高がゼロになっていた」「身に覚えのない決済履歴があった」という声が多数寄せられました。
808人という被害者数は、攻撃の組織性と準備の周到さを物語っています。
7payは被害発覚後、段階的に機能を停止していきました。
事件の主な経緯をたどると、以下のような流れになります。
チップスサービス開始からわずか3ヶ月でサービスが廃止になってしまったんでしゅね……
ボスそうだ。セキュリティの問題は、一度失った信頼を取り戻すのが極めて難しい。特に決済サービスのように金銭を扱う場合、信頼失墜はそのままサービス廃止につながりうる。非常に高い代償だったな
7pay事件は、現代のシステム設計に重要な教訓をもたらしました。
技術的な問題だけでなく、組織的な問題や開発プロセスの問題も浮き彫りになった事件です。
7pay事件を踏まえ、認証設計において絶対に守るべき原則を整理します。
認証設計の基本原則は以下の通りです。
チップス二段階認証を入れるだけで、かなりの攻撃を防げるんでしゅね！
ボスそうだ。多要素認証は実装コストに対して防御効果が非常に高い。特に決済サービスのように金銭を扱うシステムでは、最初から設計に組み込むべき必須要件だよ
リスト型攻撃はパスワードを直接破るのではなく、他のサービスから流出した情報を使います。
そのため、パスワードを強化するだけでは不十分で、複数の防御層を組み合わせる必要があります。
リスト型攻撃に対する多層防御策を以下に示します。
チップスこれだけ重ねれば、リスト型攻撃はほぼ無効化できるんでしゅか？
ボス完全な防御は難しいが、攻撃のコストを大幅に高くして攻撃者をあきらめさせる効果は十分にある。セキュリティは「絶対安全」より、攻撃を割に合わなくさせることが現実的な目標だよ
7pay不正アクセス事件は、認証設計の甘さがいかに深刻な被害をもたらすかを、日本中に知らしめた出来事でした。
サービス開始直後に発覚し、その後確認された808人・約3,861万円の被害、そしてわずか3ヶ月でのサービス廃止は、セキュリティ設計を後回しにしたことの代償を如実に示しています。
この事件から学ぶべき教訓を、最後に整理します。
チップス7pay事件は他人事じゃないでしゅね。自分が関わるシステムでも、同じような設計ミスをしていないか確認しなきゃでしゅ！
ボスその気づきが大切だ。セキュリティエンジニアとして、「認証は後からでいい」という考え方を絶対に持たないことだよ。7payの悲劇を繰り返さないために、今日からすぐに自分のシステムを見直してみよう
セキュリティエンジニアとしてのキャリアを磨きながら、こうした重大な脆弱性に向き合うスキルを身に付けたい方は、ぜひセキュリティプロ・フリーランスにご登録ください。
オススメ求人・フリーランス案件
【AIエージェント・セキュリティ・ガバナンス検討支援】愛知県・名古屋（基本リモート）／要件定義・ガバナンス設計
【社内インフラ・M365セキュリティ施策の推進】東京・赤坂（常駐）／Entra ID・Intune・ゼロトラスト
【セキュリティ運用体制の改善・推進】東京・勝どき（常駐）／運用・コンサルティング
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
