7payで不正利用、数十万円の被害も
![画像提供:マイナビニュース](https://image.news.livedoor.com/newsimage/stf/a/b/ab4bf_1223_e8f46239_13da1115-m.jpg)
セブン&アイではクレジットカード・デビットカード経由でのチャージを停止したが、対策が後手に回っていることは否めない。
7payは、セブン-イレブンアプリにログインして、さらに7pay利用登録をすれば利用可能になるコード決済。クレジットカードやデビットカードでのチャージに対応しており、同日開始されたファミリーマートのFamiPayとあわせ、流通大手の参入で注目されていた。
利用にはログインが必要だが、このログイン情報が漏えいしていたことによるリスト型攻撃か、機械的に複数回のログイン試行を試して正解を見つける総当たり攻撃によるものか、なんらかの手段で攻撃者が別端末でログインしたと想定される。通常、総当たり攻撃などを防ぐために複数試行ができないような設計になっているが、セブン&アイ側は、セブン-イレブンアプリがそうした設計になっていたかどうか「調査中」として明言していない。
すでにチャージ用にクレジットカードを登録していた場合、ログインされてしまうとチャージが可能になり、セブン-イレブン店頭での買い物に利用されてしまう。被害者によればクレジットカードから27万円チャージされ、埼玉県、千葉県の3店舗でそれぞれ使用されていたという。
セブン&アイによれば、3日朝から被害報告が上がり、3日18時ごろにはクレジットカード・デビットカードからのチャージ機能を停止した。現時点では、被害の状況などは全て調査中としており、被害者への対応も含めて検討中の段階としている。
コード決済ではPayPayでも不正利用が発生していたが、セブン&アイはその前例を参考に対策を行っておくべきだったが、現時点ではそうした対策を怠っていた可能性がある。今後、早急に調査を行い、被害者への補償を含めた対応を早期に実施すべきだ。
また、7payに登録しているユーザーは、早急にアプリを起動してログインし、利用履歴を確認した方がいいだろう。現状はクレジットカードチャージは無効になっているが、クレジットカードを登録している場合は念のため削除しておく方と良さそうだ。