【速報】7pay、パスワードなしでログイン出来る脆弱性が判明

**サーバル ★** · 2019/07/12(金) 21:54:11.59

［独自記事］7pay不正利用問題、「7iD」に潜んでいた脆弱性の一端が判明
2019/07/12 20:45
　セブン＆アイ・ホールディングスが決済サービス「7pay（セブンペイ）」の不正利用を受けて外部のIDからアプリへのログインを一時停止した措置について、原因となった脆弱性の一端が明らかになった。日経 xTECHの取材で2019年7月12日までに分かった。外部IDとの認証連携機能の実装に不備があり、パスワードなしで他人のアカウントにログインできる脆弱性があったという。

　同社は2019年7月11日午後5時、FacebookやTwitter、LINEなど5つの外部サービスのIDを使ったログインを一時停止した。「各アプリ共通で利用しているオープンIDとの接続部分にセキュリティー上のリスクがある恐れがあるため」（広報）としている。

関連記事：7payで外部IDからのログインを遮断へ、不正利用巡り
　この脆弱性は、不正利用が判明した後に外部からの指摘で明らかになったもので、セブン＆アイのグループ共通ID「7iD」の認証システムに存在した。外部ID連携機能を使っている人のIDに、他人がパスワードなしにログインしてなりすませるという内容だ。同認証システムは7payを含めて同社の複数のアプリが使っている。

　「OpenID Connect」などの認証連携プロトコルは、なりすましを防ぐためのチェック手順を定めている。7iDの認証システムには、このチェック手順が実装されていなかったとみられる。

　これとは別に、7iDにログイン後、API（アプリケーション・プログラミング・インターフェース）を通じて認証システムから取得できるユーザーデータの設計にも問題があった。あるアプリで認証に成功した場合、他のアプリを含めた広範な個人データを取得でき、さらにハッシュ化されたパスワードまで取得できたという。「顧客データベースにフリーでアクセスできる状況に近かった」と取材に応じた事情に詳しい技術者は話す。

　認証連携の脆弱性を悪用して他人のIDでアプリにログインするか、あるいはAPI経由で取得した他人のハッシュ化済みパスワードから平文のパスワードを復元し、他人のIDとパスワードを入力してログインできた可能性がある。

　今回の7pay不正利用の手口は「パスワードリスト攻撃」や「パスワードリセットの悪用」など複数の可能性が指摘されている。前述の脆弱性と不正利用との関連は明らかになっていない。
https://tech.nikkeibp.co.jp/atcl/nxt/news/18/05498/?n_cid=nbpnxt_twbn

**名無しさん＠１周年** · 2019/07/12(金) 21:54:28.09

こえー

**名無しさん＠１周年** · 2019/07/12(金) 21:55:02.77

原発ゼロより在日ゼロ��

在日朝鮮人の居ない綺麗な社会を！>>2

在日ゴキブリ何処にも要らない！❌��‍♂��‍♀

社会を汚すな！寄生虫(在日朝鮮人)！��

在日朝鮮人ゴキブリの居ない豊かな社会を！��

合言葉は「在日ゼロ！」令和の時代にふさわしい！

**名無しさん＠１周年** · 2019/07/12(金) 21:55:11.57

（わら

**名無しさん＠１周年** · 2019/07/12(金) 21:55:17.67

文句しか言えない老害が経営するとこうなるんだね

**名無しさん＠１周年** · 2019/07/12(金) 21:55:20.23

他にもたくさん脆弱性がありそう

**名無しさん＠１周年** · 2019/07/12(金) 21:55:20.97

お

め

で

と

う

在

日

朝

鮮

人

��

**名無しさん＠１周年** · 2019/07/12(金) 21:55:21.30

ゆるゆる

**名無しさん＠１周年** · 2019/07/12(金) 21:55:31.70

無能すぎる

**名無しさん＠１周年** · 2019/07/12(金) 21:55:42.11

過去最高の売り上げ達成

**名無しさん＠１周年** · 2019/07/12(金) 21:55:46.23

なんで？？？？

**名無しさん＠１周年** · 2019/07/12(金) 21:55:53.74

だからSuicaに統一しろってあれほど言ってんだろ

**名無しさん＠１周年** · 2019/07/12(金) 21:56:04.37

2段階認証あってもダメだっただろこれ

**名無しさん＠１周年** · 2019/07/12(金) 21:56:10.42

ナナコでよくね？

**名無しさん＠１周年** · 2019/07/12(金) 21:56:27.26

パスワードってなに？
ってレベルかよ

**名無しさん＠１周年** · 2019/07/12(金) 21:56:27.32

何で頑なにSuicaを広めようとしないわけ？

**くろもん** ◆IrmWJHGPjM · 2019/07/12(金) 21:56:47.98

Paypayもだけど、ワザとじゃなきゃあり得ない話

**名無しさん＠１周年** · 2019/07/12(金) 21:56:49.19

セキュリティ関連は有能がいる日経

**名無しさん＠１周年** · 2019/07/12(金) 21:56:51.90

自分のミスと時短営業は認めない
それがセブンイレブン本部

**名無しさん＠１周年** · 2019/07/12(金) 21:57:03.94

認証連携の脆弱性を悪用して他人のIDでアプリにログインするか、あるいはAPI経由で取得した他人のハッシュ化済みパスワードから平文のパスワードを復元し、他人のIDとパスワードを入力してログインできた可能性がある。

**名無しさん＠１周年** · 2019/07/12(金) 21:57:22.63

モバイルナナコの残高121円まで減らした
あとは使いきってアンインストールすればいいだけ

クレカの紐つけ解除、できたっけ？

**名無しさん＠１周年** · 2019/07/12(金) 21:57:25.85

ちょｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

悪いこと言わん。早く会社畳めよ。

**名無しさん＠１周年** · 2019/07/12(金) 21:57:28.29

felica使えよ
QRつかうバカしね

**名無しさん＠１周年** · 2019/07/12(金) 21:57:43.99

うちはスリの銀次カード反則にしてたわ

**名無しさん＠１周年** · 2019/07/12(金) 21:57:48.19

どういうことだよマジで

**名無しさん＠１周年** · 2019/07/12(金) 21:57:51.17

ﾜﾛｽ

**名無しさん＠１周年** · 2019/07/12(金) 21:58:00.66

どうやったらこの時代に大企業の大規模運用システムが信じがたいほど低セキュリティに仕上がるんだ？
工業高校の部活にでもシステム発注したの？

**名無しさん＠１周年** · 2019/07/12(金) 21:58:17.91

素人レベル

**名無しさん＠１周年** · 2019/07/12(金) 21:58:30.00

この仕組みを作った会社は潰れるの？

**名無しさん＠１周年** · 2019/07/12(金) 21:58:31.67

パスワードすら機能してなかったのかよ？！
冗談顔だけにしろよ？

**名無しさん＠１周年** · 2019/07/12(金) 21:58:35.27

　　　..　　　...
　　現　　金　　最　　強　　伝　　説

**名無しさん＠１周年** · 2019/07/12(金) 21:58:52.46

>>16
スイカを導入しない店
できない店があるからじゃないか？

正直、クレカが使える店なら
スイカもidもグイックペッも要らない

**名無しさん＠１周年** · 2019/07/12(金) 21:58:53.85

シナとジャップに狙われるからセキュリティしっかりしろよwwww

**名無しさん＠１周年** · 2019/07/12(金) 21:59:01.04

>>16
スイカも不正利用されたと訴えてる人いるようだ。
JRは、すらっとぼけて対応してくれないんだってさ。

**名無しさん＠１周年** · 2019/07/12(金) 21:59:05.42

もうあきらメロン

**名無しさん＠１周年** · 2019/07/12(金) 21:59:06.15

在日「カムサハムニダ」

**名無しさん＠１周年** · 2019/07/12(金) 21:59:24.06

これで脆弱性テストやってたってどういうことなの

**名無しさん＠１周年** · 2019/07/12(金) 21:59:31.56

これがジャップランドの技術なんだよなぁ
世界に誇る技術の日本(笑)

**名無しさん＠１周年** · 2019/07/12(金) 21:59:33.69

オーナーとの揉め事についてはちょっと同情的に見てた面もあったけどこれはワロタ

**名無しさん＠１周年** · 2019/07/12(金) 21:59:35.75

>>16
頑なに広めないってわけじゃないけど、ハードウェアのコストの問題だったような。

**名無しさん＠１周年** · 2019/07/12(金) 21:59:37.38

アニョハセヨ

**名無しさん＠１周年** · 2019/07/12(金) 21:59:39.95

セキュリティ専門家がこういうのを調べるのはなんで不正アクセスにならんの？

**名無しさん＠１周年** · 2019/07/12(金) 21:59:39.98

変なところは凝ってるのにな
別のところはガバガバってのもおかしな話に見えるけど

**名無しさん＠１周年** · 2019/07/12(金) 21:59:40.31

そしてバイトまで捕まった

**名無しさん＠１周年** · 2019/07/12(金) 21:59:41.29

>>27
大手がノウハウもないのに下請けに丸投げするとこうなる。

**名無しさん＠１周年** · 2019/07/12(金) 21:59:48.53

>>31
やっぱ現金だよな
国内怖すぎるわ

**名無しさん＠１周年** · 2019/07/12(金) 21:59:53.86

まだサービス停止してないの恐ろしすぎる

**名無しさん＠１周年** · 2019/07/12(金) 21:59:57.72

>>1
７pay おわたーーー！！ε=ε=ε=ε=ε=ε=┌(;￣◇￣)┘

**名無しさん＠１周年** · 2019/07/12(金) 21:59:59.08

>>1
>外部IDとの認証連携機能の実装に不備があり、パスワードなしで他人のアカウントにログインできる脆弱性があったという。
なんじゃそりゃああああああああああああああ！

**名無しさん＠１周年** · 2019/07/12(金) 22:00:08.35

ソフトウェア後進国のニッポンにはITは早いのでは？

**名無しさん＠１周年** · 2019/07/12(金) 22:00:18.50

でも、止めません

**名無しさん＠１周年** · 2019/07/12(金) 22:00:24.57

途中で仕様が変わって結構なデスマーチスケジュールだったらしいね
ご苦労様で

**名無しさん＠１周年** · 2019/07/12(金) 22:00:33.03

雑誌の付録CDの入ってるサンプルコードそのまま使ってももっとマシなシステム組めるだろ

**名無しさん＠１周年** · 2019/07/12(金) 22:00:50.18

>>46
鷹鳥屋明

**名無しさん＠１周年** · 2019/07/12(金) 22:01:12.62

nanaco不要になってくるわけだけど、昨日進出した沖縄ではnanacoの新規入会いっぱい来たみたいね

**名無しさん＠１周年** · 2019/07/12(金) 22:01:18.05

ほらまだまだ出てきたろ？
早よ畳んだ方がいいよって会見後に言ったのにね

**名無しさん＠１周年** · 2019/07/12(金) 22:01:18.89

appleみたいだな

**名無しさん＠１周年** · 2019/07/12(金) 22:01:21.36

OPEN ID導入するも、本人かどうか確認するチェック機能積まず、
やる事が中途半端で、詐欺られたって事か…

**名無しさん＠１周年** · 2019/07/12(金) 22:01:25.75

これ開発の時にレビューとかテストとかやってるのか？

**名無しさん＠１周年** · 2019/07/12(金) 22:01:27.41

Nって聞いたけどホント？

**名無しさん＠１周年** · 2019/07/12(金) 22:01:30.26

>>1
グダグダだな… 一度停止して見直したら？

**名無しさん＠１周年** · 2019/07/12(金) 22:01:35.51

どこに委託して作ったんだ

**名無しさん＠１周年** · 2019/07/12(金) 22:01:37.38

なんでこんなことが起きてるんだ

**名無しさん＠１周年** · 2019/07/12(金) 22:01:46.81

システム担ったとこどこだよ
セブンやそこが上位にいる限り日本に蓋し続けるわ

**名無しさん＠１周年** · 2019/07/12(金) 22:01:54.50

>>3
普通のまともな在日日本人
「原発ゼロよりバイ菌在日日本人ゼロ😂

ID:HExiDQx60みたいなバイ菌在日日本人の居ない綺麗な社会を！

在日バイ菌ガチで何処にも要らない！❌🙅??♂🙅??♀

社会を汚すな！本物の寄生虫(ID:HExiDQx60みたいなバイ菌在日日本人)！😃

ID:HExiDQx60みたいな在日日本人バイ菌の居ないガチで豊かな社会を！🌟

本物の合言葉は「バイ菌在日日本人ゼロ！」令和の時代にふさわしい！」

**名無しさん＠１周年** · 2019/07/12(金) 22:02:00.39

ハッシュ化済パスワードから平文を復元てそんな簡単じゃないだろ

**名無しさん＠１周年** · 2019/07/12(金) 22:02:01.38

今までnanaco運用してて、よくセキュリティ守れてたな　外注してたのか

**名無しさん＠１周年** · 2019/07/12(金) 22:02:05.91

俺が最近、初めて作ったシステムの方がよっぽど強固だわなｗ

**名無しさん＠１周年** · 2019/07/12(金) 22:02:10.37

もうすぐ大本命のAppleカードが出るから
安心して待てばいい

**名無しさん＠１周年** · 2019/07/12(金) 22:02:19.84

もう、全面停止しろよ

**名無しさん＠１周年** · 2019/07/12(金) 22:02:26.15

問題を起こしてるomni7の開発はこの4社

・NTTデータ
・NEC
・NRI
・Oracle

いつもの2社が入ってる…

**名無しさん＠１周年** · 2019/07/12(金) 22:02:39.06

専門家から「何が問題なのかわかってないのが問題」とは言われてたが…

**名無しさん＠１周年** · 2019/07/12(金) 22:02:46.70

>>42
その会社から依頼があって調べる場合は大丈夫なんだろ？
知らんけどｗ

**名無しさん＠１周年** · 2019/07/12(金) 22:02:48.53

フランチャイズでぼったくった金を
こんなドブに捨てるようなシステムにぶっこんだのか

**名無しさん＠１周年** · 2019/07/12(金) 22:02:49.29

>>16
Suicaはポイントではなくて現金だから。

**名無しさん＠１周年** · 2019/07/12(金) 22:02:54.53

色んな人のクビが飛ぶんだろうな・・・
ようやくデスマから開放されたであろう人たち、大丈夫かな

**名無しさん＠１周年** · 2019/07/12(金) 22:02:59.09

すげーwww

**名無しさん＠１周年** · 2019/07/12(金) 22:03:05.27

7pay「7/11なんやから何がなんでも7月11日までにリリースしろや！」

ってホント？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:06.81

頭おかしいんじゃねえの？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:07.88

キャッシュレス社会ｗ

**名無しさん＠１周年** · 2019/07/12(金) 22:03:08.48

パスワードがなくてもログインできるってどういうこと？
セッションとかそういうの無視でアクセスできちゃうってこと？
え？どういうことなの？？？？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:10.72

7iDでセブン銀行にまで入れたりしないよね？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:15.39

ハッシュ復元とかよく書けるな

**名無しさん＠１周年** · 2019/07/12(金) 22:03:18.72

開発したアホが会社どこ？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:21.15

やっぱり商取引は現金が一番だな

**名無しさん＠１周年** · 2019/07/12(金) 22:03:21.71

>>72
あの社長ほんとさっぱりわかってなかったもんな…

**名無しさん＠１周年** · 2019/07/12(金) 22:03:24.09

トークンさえあればURL偽装で入れるとかかな？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:25.74

>>63
先日の会見の幹部の無知っぷりと大企業の性質を照らし合わせると容易に想像つく

**名無しさん＠１周年** · 2019/07/12(金) 22:03:38.30

>>59
Tポイント流出問題視から別の決済方法など模索してたファミマと違って、
paypay見て動いた様な感じだし、そんな時間さえ無かったんじゃね？

**名無しさん＠１周年** · 2019/07/12(金) 22:03:41.23

とにかくさっさと作れ!とりあえず作れ!
だったんだろうよ。
ちょうどファミマも大々的にキャンペーンとか
やるって言い出した時期だし、
とにかくファミマに遅れを取るなってことだけを
最優先にした結果がこれでしょうな。

**名無しさん＠１周年** · 2019/07/12(金) 22:03:42.42

paypayとLINEpay使えるようになったんだし、もう7payいらないじゃん
ユー撤回しちゃいなyo

**名無しさん＠１周年** · 2019/07/12(金) 22:03:46.58

他のIDでのログイン中を偽装してログインできてしまうということ？
TwitterやFacebookにログインしていないと7payで認証が通らないのであれば別にセキュリティホールとは言わないだろう

**名無しさん＠１周年** · 2019/07/12(金) 22:03:48.22

おにぎりの代償はでかかったようだな

**名無しさん＠１周年** · 2019/07/12(金) 22:03:49.31

21世紀とは思えないザル

**名無しさん＠１周年** · 2019/07/12(金) 22:03:50.30

せつこ、それログインちゃう

**名無しさん＠１周年** · 2019/07/12(金) 22:03:56.25

>>27
ギリギリで仕様変えてテストしなかったらしい
>>37
やってなかったというか、できなかったらしい

**名無しさん＠１周年** · 2019/07/12(金) 22:03:57.30

日本のソフトウェア開発は、派遣奴隷がやってるから

**名無しさん＠１周年** · 2019/07/12(金) 22:04:02.48

下請けは注文通りに作っただけだろw
責めんなw

**名無しさん＠１周年** · 2019/07/12(金) 22:04:08.42

中国でもありえないレベルの酷さｗｗ

**名無しさん＠１周年** · 2019/07/12(金) 22:04:11.08

7pay「損害は全部Nが持て」「全部Nのカネで直せ」

ってホント？