セブン＆アイ・ホールディングス、7payサービスの廃止を決定
――本事案発生に至った「ガバナンス上の背景」については検証チームで究明へ――
セブン＆アイ・ホールディングスは8月1日開催の取締役会において、セブン・ペイが運営するバーコード決済「7pay（セブンペイ）」サービスの廃止について決議したと公表した。
同社によると、今回の決定に至る経緯を時系列で示すと次のようになっている。
7月 1日 7payサービス開始（セブン‐イレブンアプリ上に搭載）
7月 2日 お客様より「身に覚えのない取引があった」旨の問合せ
7月 3日 各社ホームページへ「重要なお知らせ」を掲載
海外IPからのアクセスを遮断
クレジット／デビットカードからのチャージ利用を停止
7月 4日 店舗レジ／セブン銀行ATMからの現金チャージ利用を停止
新規会員登録を停止
7月 5日 「セキュリティ対策プロジェクト」の設置
7月 6日 モニタリング体制の強化
7月11日 外部IDによるログイン停止
7月30日 7iDのパスワードリセットの実施
8月 1日 サービス廃止を決定
9月30日 サービス廃止（予定）
同社では、7月1日に導入した7payにおいて一部アカウントに対する不正アクセスが発生したことに対して、「緊急対策本部」を設置し、7月11日には、外部IDによるグループ各社のアプリへのログインを一時停止するとともに、外部情報セキュリティ会社と連携しながら、セキュリティ対策プロジェクトにおいて、被害状況の把握と発生原因の調査を進め、今後の対応等を含めた検討を重ねてきた。
その結果、「(1)7payについて、チャージを含めて全てのサービスを再開するに足る抜本的な対応を完了するには相応の期間を必要とすると想定されること、(2)その間、サービスを継続するとすれば『利用（支払）のみ』、という不完全な形とせざるを得ないこと、(3)当該サービスに関し、お客様は依然としてご不安をお持ちであること」から、9月30日24時をもって7payサービスを廃止することを、8月1日開催の同社取締役会で決議したものである。
なお、直近の被害状況（7月31日17時現在）については、被害者808人、被害総額3,861万5,473円で、7月中旬以降、新たな被害は確認されていないとのことであり、同社では被害金額のすべてを補償することとしている。また、サービス終了時点で未使用のチャージ残高については、法令上の手続を経た後に、順次払い戻しをしていくこととしている。
本事案発生の原因については、これまでの調査に基づき、いわゆるリスト型アカウントハッキングによるものである可能性が高いとの結論に至ったとしている。
その上で、こうした手口による犯行を防ぐことができなかった大きな要因として、①7payに関わるシステム上の認証レベルに関し、開発当初より様々な観点から議論、検証を進めたものの、最終的に「複数端末からのログインに対する対策」や「二要素認証等の追加認証の検討」が十分でなく、リスト型アカウントハッキングに対する防御力を弱めたとみられるとする。②その背景として、7payの開発体制に関し、グループ各社が参加していたが、システム全体の最適化を十分に検証できていたか、③また、7payにおけるシステムリスク管理体制に関し、リスク管理上、相互検証、相互牽制の仕組みが十分に機能していたかについて、今後、さらなる検証が必要であるとする。
そして、同社は、本事案が発生するに至った「組織及び意思決定等のガバナンス上の背景」を客観的に検証し、原因究明及び再発防止策の策定等を行うため、弁護士を中心とする検証チームを設置し、今後、検証チームによる検証結果を踏まえ、再発防止に努めていくこととしている。
なお同社では、「今般、7payのサービスが大規模な不正アクセス攻撃を受けることとなった事態を真摯に受け止め、当該サービスの廃止を決定いたしましたが、キャッシュレス化への社会的ニーズはきわめて高く、そのニーズへの対応は今後ますます重要性を増していくと考えており」、「当社グループでは、グループ外部の様々な決済サービスとの連携を積極的に推進することで、こうした社会の要請にしっかり応えつつ、より広範なお客様にキャッシュレスサービスを提供してまいりたいと考えております」としている。
-
セブン＆アイ・ホールディングス、「7pay（セブンペイ）」サービスの廃止について（8月1日）
https://portal.shojihomu.co.jp/wp-content/uploads/2019/08/2019_0801_ir01.pdf -
○「7pay（セブンペイ）」サービス廃止のお知らせとこれまでの経緯、今後の対応に関する説明について
https://portal.shojihomu.co.jp/wp-content/uploads/2019/08/20190801_01.pdf