2019/07/04 セブン&アイ・ホールディングス
「7pay（セブンペイ）」一部アカウントへの不正アクセス発生によるチャージ機能の停止について
https://www.7andi.com/
・セブンペイ社長は2段階認証知らない
・セブンの脆弱性チェックはざる
・ほかのサービスとの連携が足を引っ張ってる
・被害者は被害届出さないとあかん
7payの小林強社長、自身の脆弱性（小林弱）を露呈
- カテゴリ:
- 家電・小売・商社
・セブンペイ社長は2段階認証知らない
・セブンの脆弱性チェックはざる
・ほかのサービスとの連携が足を引っ張ってる
・被害者は被害届出さないとあかん
コメント
コメント一覧
記者会見した社長というよりは、会社の方針が。
インシデントの教科書に載せよう
某ステータスカードやられたんで、クレカの方に電話したら、保証通さない(弊社は建て替えしないので払ってくれ)って言ってたからワイ、来月の支払いで死ぬかも知れぬ
システムのセキュリティがガバガバだということは、その裏側で動いているログ記録と保全措置もまたガバガバだと思われるので、「不正使用されたのに補償されなかった」か「不正使用されてないのに申請したら金がもらえた」のどちらかになるような気がする。
っていう方向にもっていくためだね、うん。
セブンペイの「情報流出を認識してない」って、意味深なコメントだな。
カード会社の不正利用補償は情報漏洩の発生が前提だし、
セブンペイが漏洩を認めないと不正利用分の請求をどうするかで揉めるんでは？
ワイドショーは追及しなさいや
みずほのシステムと同じで急場しのぎで寄せ集めたSIerを統率できなくて課題を切り分けられてない
安心と信頼のjap製
→恐怖と疑念のjap製
セブンはこっからどんどん転落していくかな？
サービス稼働中の今がチャンスだと思う
〉篠原修司
本来は勉強代として後者であるべきだが、会見を見る限りは一切保障しない方向で調整するだろうな
技術部門の管掌役員なら知ってろと思うけど
警察に犯人捕まえてもらえばお金返ってきますよってことだろ
これが老人大国日本のITリテラシーです。
本当にすみません
グループトップが鈴木さんなら絶対起こらなかっただろうに
それなら分かるやつを連れてこいって話だな。説明のための会見なんだから。
おにぎりも穴だらけだけどな。
というか、出世する文系おじさんの典型という感じ。
俺は中身を理解する必要なんてねえんだよ的な。
放置してたんだな。
12 時間前
1ヶ月も前に「会員登録の仕組みに関するご指摘につきましては、担当部署に申し伝え、今後のサービス向上への参考にさせていただきます」って約束したのに、放置してたのね？
トップには実際必要ないだろｗ
中身を理解してる奴も同席させて、技術系の質問はそいつに振ればよかっただけの話
6月7日
心当たりないので、セブンイレブンに経緯を調べろと言ったら、調べるから生年月日を知らせろと来た。
登録時にどんな入力がされているのか、こっちが知りたい。
再現手順も完全に晒されてるにも関わらず、脆弱性検証をしただの原因わかんないだの、
流石にありえないわな。
たぶん本社の担当チーム内に技術系の人間が皆無で、子会社はそいつらが決めた仕様に
一切口を挟まず言われたまま実装した、って感じで、技術的な質問に回答できる人間が
全くいないんだろう。
誕生日を未登録にできて、その場合はメルアドだけ分かれば誰でもパスワード初期化の
メールを任意の宛先に送信できる仕様であることが分かってるのに、これ以上何の調査を
するんだよｗ
適当なアドレスで登録できてしまう
他は推して知るべし
チャージもなにもクレカから勝手にチャージされる悪魔のシステム
誕生日未登録ってのができるらしいよ。
その場合内部データ上は、2019/1/1にセットされるらしい。
なので「私の誕生日は2019年1月1日です！」って、自信をもって言ってやれ。
そう、技術はないのは良いが、危機管理能力がまるでゼロ。
世間を知らない天下り官僚の就職先だったと聞けば納得するかもね。
仕様そのものに脆弱性があるんだよ。（割と良くあること）
仕様通りバグなしで脆弱性を実装したプログラマを、褒めて差し上げろ。
犯罪者と一緒に監視カメラに写り込む
可能性があるから、
うちの子はセブンに行かせない。
ただもう、なんていうか怖。
頭イカれてるなって分かるやん
戦中配給制ってこういう感じなんだろうなぁ
って思わせる
君、「ppu」で「っぷ」が打てるって知らないの？
昔「ttu」で「っつ」と打ってからBackSpace押して「つ」を消して、続きの文を書いてるヤツを見た事があるけど、そうやってんの？
中身のないおじさんだな
まともな会社全てからそっぽを向かれたパターンだろうな。
トップはこんなんばっかだよ
被害にあってない人はおにぎりに満足しとるw
会社は損しないよう配慮した周到さと、ひたすら知らんの鈍感力で危機を乗り切った成功例として記憶されるんじゃw
今慌てて考えてる最中なんだろうな
2段階認証知らないって自社の商環境の初歩の初歩すら知らんってことで、技術以前の問題では
2段階認証なんて知らんやつだらけだろ。Gmailユーザーの約9割が2段階認証を不使用ってGoogleが愚痴ってたぞｗ
責任者がプロダクトの中身を完全に理解している必要は必ずしもなくて、外野から連れてきてでもマネジメントや経営判断能力が長けてる奴にトップを任せろってのがトレンドだと思う。
それは同時に責任能力の事でもあって、要するに何が起きても自分が表に出るから、いざとなったら説明責任を果たせるだけの知識を自分に授けられるチームをこさえておくスキルでもある。
経歴を見るとこの人も他所から幹部として招聘されてるようだし、どちらかといえば文系おじさんに求められている能力こそが足りて無かった印象。
一般ピーポーと上長を一緒にしたらあかんやろ
技術的なことや今の現状の仕組みは無知だよ。
ここだけの問題じゃない。
計画とか結果の数値しか見てないから。
強風で吹き飛びそうなセキュリティですね
時間が経てばみんな忘れるしね。
どうせこの話題もすぐ忘れられる。
叩ける話題に乗っかって叩いてるだけの人間多すぎ。
ほんとしょうもない。
プログラマはほれ見たことかと言いながら酒飲んでそうだな。
脆弱性を頭に乗せて会見までしてくれるなんて、開発者冥利に尽きるね。
まさか、役員クラスに技術分かる人間がいないとかじゃないよね？
如何に玉虫色に表現するかが重要なんだ。
聞かされた方が、わかったような、でもなんかすっきりしないけど…で話が終わるパターン。
明日から行くのやめるわ
ネタにマジレスしちゃってるJAP^H^H^Hアホ間抜け君
よくそんなこと言えるな？
会見明日にした方がマシwww
というか、上層部のわかる人間さっさと居なくなったんやろなぁ。
それはさすがにあなたも怖い
捕まっても戻ってくるような状態にしてるお間抜けな犯人がアタック仕掛けてくるかな？
USB使ったこと無いんやろなぁ
対応できる人間おったら、こんな事になってないと思われ...不幸！！！
そいつが居ないから問題なんやろwww
既に逃げきってることを祈るよ！
仕様書通りに仕上げるなんてプロ中のプロ！
そしてクソにクソをまぶしたような、クソが大好きなプロジェクトが完成するんや。
もちろん平均年収は上がってるけど、定年間近の人間が多いだけというクソのような会社が代表的なJap会社です！
鈍感力ちゃうでただのジャイアンや。
考えてたらいいけど...！
USB使ったこと無い大臣でも、部下は使ってると思ってるからやし、そりはおまいが被害におうてないからや。
今回はサービス開始してすぐに多大な金額が盗まれて...流石に令和元年の出来事としては残るよなぁ。
部下に手厚く接してるか、待遇の違いがこれだけの差を生む...まぁわかってたら、もっとマシなの出来てたやろなぁ。
犯人はお前らの隣のレジで万単位でたばこを購入らしいな
JTとかPMは5500万ほど売上アップやね
セブン銀行解約しなきゃ！！！
二段階認証って技術の話なのか？
知能レベルの問題だこれは。
お前の話で行けば、まさにUSBメモリを知らない安倍内閣の大臣に行き着く。
トップは馬鹿でいいならそこら辺のババアにやらせろ。
Shinji ஐ aKind ぴこ@s_shutterbox
"7payはたぶん会員アカウントが漏れている。"
めったに使わないメルアド＆先月発行クレカの組み合わせだし
たぶんクレカの漏れではない。
会員アカウントに３Dセキュア使ってクレカを紐づけた状態で、
乗っ取られた感じでしょうな。
会員150万人のメアド全部漏れ
何事もない奴は運がいいだけ？
もうnanacoのも7ネットスーパーもオムニ
もチケットもすぐに解約したい。
国際組織に知られたならしょうがない。
新しく取り直して7からは足を洗うしかねえ。
なんで新しく取った捨てメアドでやんなかったんだろう
でも、社長も事業部の責任者もプロジェクトの責任者も技術の担当者もカード情報を提供する外部の奴らも、誰一人としてセキュリティを気にするやついなかったんかね
顔真っ赤で苦し紛れにネタという事にしたいキッズ
「教えて頂きありがとうございます」って言えよ
漢字を読めない人があれになれちゃう国だからなぁ。
已むはやむと読むんですよ。
まぁなんか、大量の広告費ばらまいてマスコミには口止めさせ、
被害者には泣き寝入りさせるんじゃないかねぇ？
FCオーナーに対して横の連携を厳しく禁しさせ、個別に対応させることでゴニョゴニョさせちゃうところだからなぁ。
私は二段階認証も何も知らないということか
これほど不適材不適所はない
セブンは人材不足だから外国人労働者が必要です、コンビニ店舗だけではなく経営陣にも
知っててやってなかったら責任追及されるだろｗｗｗ
サイバーノーガード立国ｗｗｗ
やはり犯人は自己中喫煙者か。
受動喫煙の被害もあるし、喫煙者は抹●したほうが世のためだな。
どうせしょうもないSIerが準委任で設計したんだろうが、セブンもこんな事にも気が付けないレベルならSIerへの丸投げコストケチったらダメだろ。
善管注意義務か瑕疵担保かしらんが両成敗やな。
スーパーサイトやぞ
アカウント＆パス漏れならこんなもんじゃ済まないし、アカウント漏れからのパス2段割りにしては早いし
まぁいずれにしろ運営の履歴見れば何が起きてるかすぐ分かるレベルなんですけどね・・・
初っ端なんだからアクセス状況くらいチェックして欲しかった
万全の体制を整えるまで再開できないって言っとけよ。
残念なって言うな。他人事か！？
これをキッカケにより安全なとか言うな。被害にあった人は今後の為の礎じゃない。
何よりもセキュリティ診断した診断会社の人間を同席させろ。実際セブンペイの社長は何もわかってないじゃないか。
セブンペイの社長は事態の深刻さからわかってない。
中二病しかやらない団塊世代経営者を大掃除しないからこうなる
損保とか富士通かNECとか、社員整理する前に上層部の大量解雇のほうが先だろうに
それでも畳まないのならよっぽどぼろい商売なんだろうなぁなんとかペイは
なんか重大な勘違いしてるけど、コンビニで一番転売価値があるのがタバコなだけであって、喫煙者云々とかはほぼ関係ないぞ
キャッシュレスのポイント還元 決済事業者のA型、B型とは何か？
https://www.itmedia.co.jp/business/articles/1905/14/news102.html
最終的な責任を持ってるから役員とか社長なのであって、非役員のような一般従業員を確実に糾弾される場に連れてくるのは正直おかしいからな
だからこういう場には技術的に疎い奴らが出てきてしまうのはどうしようもない
IT系なら技術畑出身の役員とか社長いること多いけど
だからと言って何が起きてるか説明できなければ会見する意味がないだろう
頭下げればいいって問題じゃない
その通り
YouTuberのやり口そのまんまやん。
プレスリリースだけでいいものを、なんでわざわざ会見開いて墓穴を掘るのか。
とりあえず犯人はjapでもチョソでもなく、シナだったようだな。
韓国人批判をしてるやつは、ちうごくの工作員
指摘された部分は分かっても、小さい「ゃ」の出し方の方はわかんなくて今度はアルファベットで入力してるの？
現場の人ならすぐわかるんだからその人と話させろって場面が必ずある