「脳内で受信した電波ワードでググる何かとは」シリーズ、第46弾。その45公開以降にググり遊びし、かつ結果が少数(10件未満)だったり0件だったものをピックアップする(07/05分まで)。過去記事は専用カテゴリ(＃StrangeWordSearch)から見てください。。
※結果は検索した当時のもの。
※この記事への掲載を見送ったものもある。
#7Pay (7iD)のセキュリティの甘さがもう役満級でしょ
ニュースでもいろいろ取り上げられているが、7Payが不正利用＆チャージされた事象、セキュリティの甘さ的に役満級なのでは説。以下は把握している、セキュリティ的にアカンと思われる内容のまとめ的なの。
- 他のPayでは当たり前なSMS認証がない
- 支払い画面での追加認証(PINや指紋認証など)がない
- クレカチャージ用の認証パスワードの使用可能文字種が小文字・数字のみ
- 意味の分からない謎仕様。
- 1日あたりのクレカチャージ回数・金額制限が設けられていない(っぽい)
- 秒単位での連続チャージも可能であった。
- nanacoではクレカ登録から24時間後にクレカチャージ可能となり、また1日あたりの回数・金額制限がある。
- 7iDのパスワード再設定で案内メール送付先アドレスを指定できるという最悪な仕様により、メールアドレスと生年月日(アカウントによってはそれに加え電話番号)さえ分かればパスワードを変更していたとしてもアカウント乗っ取り可能
- 恐らく使用していたメールアドレスが使用不能になった時の対策なんだろうが、セキュリティ的にはご法度である。
- 7iDに生年月日が登録されていない場合、2019/01/01に設定されている扱いとなるので最悪メールアドレスだけでアカウントが乗っ取られてしまう。かなりヤバイ。
- これにより、登録されている個人情報の閲覧、omni7に登録されているクレカで勝手に買物、等も可能になる。
- 過去にECサイトで個人情報流出というセキュリティインシデントを起こしている
- omni7誕生前のセブンネットショッピングにてクレジットカード番号下4桁などを含む情報が他人に閲覧されたり、とか。
- ブルートフォースアタックの対策をしていない可能性がある？
- これは真偽不明だが、ブルートフォースアタック(総当たり攻撃)による不正ログイン・チャージ対策をしておらず、結果パスワードの使い回しをしていなくても不正ログインやチャージされた可能性もあり得る。
不正チャージが相次いだためクレカチャージは停止したが、支払い機能は停止していないため、7iDが乗っ取られてしまった場合7Payの残高を勝手に使われる危険性は残ったままである。
なお、流出したクレカ情報の利用は3Dセキュア認証が必要かつ利用可能なカード会社が限られている(Visa/Masterのみ、JCBは特に制限なし)ため、PayPayのようにはならない。
とりあえず、7iDの登録メールアドレス変更・7Pay/omni7の登録カード削除はしておいた。セキュリティのセの文字も知らなさそうな企業(下請けも含む)がマトモな対応するとは思えないが今後の動向に注目したい。
※メインカテゴリ(雑記〜)が「金融」ではなく「ネット」となっているのは7iDレベルでも危険、という意味で。
支払い戦略ぅー
バーコード決済絡みの話。今月から7PayとFamiPayがサービスイン。まぁ「流行っているから導入しよう」と作った感じな事実上のハウスペイ。一応おにぎり無料券もらうために7Payに登録＆チャージ(ヤホーカード(JCB)をチャージ元カードとして登録)はした。
さて、今月はd払いが20%還元なので使える所(ローソンなど)は優先的に使う予定。また7/11からはセブンイレブンにおいてバーコード決済20%還元キャンペーンがあるのでそれも活用していくつもり。なおバーコード決済が使えないがiDが使えるところはファミTのiDで15%還元を受ける(今月いっぱいまで)。
うん、これが今月の支払い戦略やな。
ちなみに7PayはPOSAカードの類の支払いも可能だったりする(収納代行やインターネット決済(7net代引除く)は不可だが)
