【速報】7pay、パスワードなしでログイン出来る脆弱性が判明★２

**サーバル ★** · 2019/07/12(金) 23:58:53.54

［独自記事］7pay不正利用問題、「7iD」に潜んでいた脆弱性の一端が判明
2019/07/12 20:45
　セブン＆アイ・ホールディングスが決済サービス「7pay（セブンペイ）」の不正利用を受けて外部のIDからアプリへのログインを一時停止した措置について、原因となった脆弱性の一端が明らかになった。日経 xTECHの取材で2019年7月12日までに分かった。外部IDとの認証連携機能の実装に不備があり、パスワードなしで他人のアカウントにログインできる脆弱性があったという。

　同社は2019年7月11日午後5時、FacebookやTwitter、LINEなど5つの外部サービスのIDを使ったログインを一時停止した。「各アプリ共通で利用しているオープンIDとの接続部分にセキュリティー上のリスクがある恐れがあるため」（広報）としている。

関連記事：7payで外部IDからのログインを遮断へ、不正利用巡り
　この脆弱性は、不正利用が判明した後に外部からの指摘で明らかになったもので、セブン＆アイのグループ共通ID「7iD」の認証システムに存在した。外部ID連携機能を使っている人のIDに、他人がパスワードなしにログインしてなりすませるという内容だ。同認証システムは7payを含めて同社の複数のアプリが使っている。

　「OpenID Connect」などの認証連携プロトコルは、なりすましを防ぐためのチェック手順を定めている。7iDの認証システムには、このチェック手順が実装されていなかったとみられる。

　これとは別に、7iDにログイン後、API（アプリケーション・プログラミング・インターフェース）を通じて認証システムから取得できるユーザーデータの設計にも問題があった。あるアプリで認証に成功した場合、他のアプリを含めた広範な個人データを取得でき、さらにハッシュ化されたパスワードまで取得できたという。「顧客データベースにフリーでアクセスできる状況に近かった」と取材に応じた事情に詳しい技術者は話す。

　認証連携の脆弱性を悪用して他人のIDでアプリにログインするか、あるいはAPI経由で取得した他人のハッシュ化済みパスワードから平文のパスワードを復元し、他人のIDとパスワードを入力してログインできた可能性がある。

　今回の7pay不正利用の手口は「パスワードリスト攻撃」や「パスワードリセットの悪用」など複数の可能性が指摘されている。前述の脆弱性と不正利用との関連は明らかになっていない。
https://tech.nikkeibp.co.jp/atcl/nxt/news/18/05498/?n_cid=nbpnxt_twbn

★1 :2019/07/12(金) 21:54:11.59

※前スレ
https://asahi.5ch.net/test/read.cgi/newsplus/1562936051/

**名無しさん＠１周年** · 2019/07/12(金) 23:59:22.59

やっぱIT先進国の韓国に頭を下げて教えを請わないとダメだね

**名無しさん＠１周年** · 2019/07/13(土) 00:00:15.86

新米ハッカーの練習台みたいになってるな

**名無しさん＠１周年** · 2019/07/13(土) 00:00:44.47

どこのバカの設計だ？
どこのバカの実装だ？

**名無しさん＠１周年** · 2019/07/13(土) 00:02:16.73

nanacoのポイント率を戻せ

**名無しさん＠１周年** · 2019/07/13(土) 00:02:45.52

>>2
スーパーハッカーの北朝鮮に瀬取りというアナログ手法で媚びをうる韓国？

**名無しさん＠１周年** · 2019/07/13(土) 00:02:50.94

もう史上最低レベルじゃね

**名無しさん＠１周年** · 2019/07/13(土) 00:02:52.66

ケンチャナヨ

**名無しさん＠１周年** · 2019/07/13(土) 00:03:25.75

さあ金融庁はいつまで黙って要られるか
イオン金融事業のシステム開発難航、トラブル続出で出口見えず
毎回この有様
https://www.aeonbank.co.jp/sp/news/2017/1130_01.html

日割り計算機能事実上無いのに金融庁認可しちゃったからな
参考資料
https://tech.nikkeibp.co.jp/it/atcl/column/16/050900103/051100002/

**名無しさん＠１周年** · 2019/07/13(土) 00:03:57.44

っていうか
セブン以外のペイも絶対に使わない

Ｓｕｉｃａで十分

**名無しさん＠１周年** · 2019/07/13(土) 00:04:34.09

セブンペイ
　
全部ペイ

**名無しさん＠１周年** · 2019/07/13(土) 00:05:26.99

キャッシュレスとは、財布に穴をあけることとみつけたり

**名無しさん＠１周年** · 2019/07/13(土) 00:06:26.68

踏み台の詐欺サイト経由で認可コード横取りされたんじゃね

**名無しさん＠１周年** · 2019/07/13(土) 00:06:27.55

だからローソンにしとけとあれほど

**名無しさん＠１周年** · 2019/07/13(土) 00:06:41.53

集金PAYの魔の手

**名無しさん＠１周年** · 2019/07/13(土) 00:08:08.91

まじで素人が作っているようだな

**下総国諜報員** · 2019/07/13(土) 00:08:16.26

下を叩くだけでいい企業は潰れたらいいよ。
いくらサービスが良くても、穢れたサービスなんて胸糞。

**名無しさん＠１周年** · 2019/07/13(土) 00:08:52.63

セブン、終わりの始まりだな。

**名無しさん＠１周年** · 2019/07/13(土) 00:09:03.31

忘れたパスワードを任意のメールアドレスに送ってもらえるとか？

**名無しさん＠１周年** · 2019/07/13(土) 00:09:39.17

これは外部IDでログインしているユーザーがどう気をつけていてもしょうがないな

**名無しさん＠１周年** · 2019/07/13(土) 00:09:59.28

散々pay押ししてた特アの在日共が
被害にあって火病らねーかな

**名無しさん＠１周年** · 2019/07/13(土) 00:10:48.95

これをログインと呼んでいいのか

**名無しさん＠１周年** · 2019/07/13(土) 00:10:54.02

おにぎりにつられた馬鹿ざまぁ

**名無しさん＠１周年** · 2019/07/13(土) 00:11:25.04

>>16
責任は発注者（７）だよ
作った現場の大工はプロ

**名無しさん＠１周年** · 2019/07/13(土) 00:11:35.25

>>21
それ金盗むためにオススメしてたんだろ

**名無しさん＠１周年** · 2019/07/13(土) 00:11:57.72

【極秘入手】7pay開発の内部資料。｢セキュリティー不備｣は急な開発と“度重なる仕様変更”が一因か | BUSINESS INSIDER JAPAN
※年末に｢開発仕様｣と｢開発業者｣が変更
https://www.businessinsider.jp/post-194302

**名無しさん＠１周年** · 2019/07/13(土) 00:12:02.33

みんな楽天ペイ導入しろよ
大手で使う気になって国内資本で今のところ問題起こしてないのここだけだろ
バーコードは楽天ペイ、FelicaはSuica
これが一番便利だからスタンダードになってくれ

【だん吉】 · 2019/07/13(土) 00:13:08.07

大爆笑。ガッバガバ～！

**名無しさん＠１周年** · 2019/07/13(土) 00:13:17.40

>>27
何かそういや楽天初期の頃に店の人が楽天はセキュリティが強固とか言ってたな
あれはホントだったのかな

**名無しさん＠１周年** · 2019/07/13(土) 00:13:21.08

>>22
フェードイン？

**名無しさん＠１周年** · 2019/07/13(土) 00:14:00.97

2年か３年前にセブンのATMから１８億円が。
何か関連があるのかね

１０％になってもポイントのためにカードなんか使わない　俺は

**名無しさん＠１周年** · 2019/07/13(土) 00:14:10.61

Apple PayにSuicaとQUICPay入れてあるけどこれで十分だわ

**名無しさん＠１周年** · 2019/07/13(土) 00:14:32.23

>>29
現在、突貫工事中かも

**名無しさん＠１周年** · 2019/07/13(土) 00:14:36.90

何人の担当者のクビが飛ぶの？

つか、日本大丈夫？こんな事ばっかりで

**名無しさん＠１周年** · 2019/07/13(土) 00:15:08.26

詫びおにぎり100個よこせよ

**名無しさん＠１周年** · 2019/07/13(土) 00:15:24.39

>>27
FeliCaとクレジットカードで充分かなと思ってる
コード決済は普及してもしなくても多分使わない

**名無しさん＠１周年** · 2019/07/13(土) 00:16:07.62

>>34
もう無理じゃないかなあ
派遣認めた時点で終わった

**名無しさん＠１周年** · 2019/07/13(土) 00:16:11.46

まぁたぶん政府の工作だなｗ
被害者は政府の広報員ｗｗ

**名無しさん＠１周年** · 2019/07/13(土) 00:16:31.61

ナナコでいいじゃん
あれ便利だぞ

**名無しさん＠１周年** · 2019/07/13(土) 00:16:45.58

>>34
誰も責任を取らないのが日本。
まずは、社長以下取締役どもが、
株主代表訴訟の餌食にならんと。

**名無しさん＠１周年** · 2019/07/13(土) 00:16:46.93

金はいくらでもあったのによくこんなクソな仕事できたなあ
誰も止める人がいなかったのか

**名無しさん＠１周年** · 2019/07/13(土) 00:16:59.94

>>36
FeliCa搭載のsimフリー機もっと増えてほしいよなあ
ピクセルは良さそうだけど

**名無しさん＠１周年** · 2019/07/13(土) 00:17:02.12

>>34
このケースの責任担当って、受注した会社のＳＥやＰＧでなくて、
急な仕様変更を認可した７側の役員クラスね

**名無しさん＠１周年** · 2019/07/13(土) 00:18:03.85

しれっと書いてあるけど、ハッシュ化した暗号から平文に復元なんてできるの？

**名無しさん＠１周年** · 2019/07/13(土) 00:18:26.13

>>1
ここの会社ヤバすぎだな
今までも使ってないけど今後はクレカとか重要性高い情報ガチで使わないことにする
楽天やTカードと違って自分が関わる前にボロ出してくれて助かった

**名無しさん＠１周年** · 2019/07/13(土) 00:18:29.14

>>41
セブンは所詮、流通系だからな
セキュリティっつー見えないモノに金払いを渋ったんだろう
他人の時間をタダだと思ってるからな奴ら
コンビニオーナーとの争いみててもそう思う

**名無しさん＠１周年** · 2019/07/13(土) 00:18:30.95

クレカで十分だな

**名無しさん＠１周年** · 2019/07/13(土) 00:18:46.92

>>37
お前みたいなバカが増えたからだろ。何でも小泉ガーで済ませるバカ。
プログラマなんか元々派遣だバカ。

**名無しさん＠１周年** · 2019/07/13(土) 00:19:00.66

よくこんなのやらかしといて普通に営業してられるな

**名無しさん＠１周年** · 2019/07/13(土) 00:19:36.30

むしろ実装できてた部分を探した方が早いんじゃないかww

**名無しさん＠１周年** · 2019/07/13(土) 00:19:45.24

>>40
前の社長は雇われなのに自分の息子に継がせたがってる疑惑だけで追放されてたのに
今の社長がのうのうと続けてたら酷いとしか言いようないな

**名無しさん＠１周年** · 2019/07/13(土) 00:19:45.40

>>48
すげえバカがやってきたw
まじウケるw
素で言ってんの？？？

**名無しさん＠１周年** · 2019/07/13(土) 00:19:56.33

>>44
20世紀中に重要な用途では使用禁止になってる
md5くらいならあるいは

**名無しさん＠１周年** · 2019/07/13(土) 00:20:03.55

SuicaFeliCa最強

**名無しさん＠１周年** · 2019/07/13(土) 00:20:14.95

nanacoもカードに書いている番号でログインできちゃうし
カード盗まれたらどうするんだよ
普通、初回のログインでパスワード設定させるだろ
どんだけ頭が弱い奴がやってんだよ

**名無しさん＠１周年** · 2019/07/13(土) 00:20:26.91

やっぱやめました。ゼロからやり直します。の方が信頼できそうだな。

**名無しさん＠１周年** · 2019/07/13(土) 00:20:33.22

>>44
厳密な意味での可能性ならある。

**名無しさん＠１周年** · 2019/07/13(土) 00:20:39.61

>>30
と聞いて、
ライディーンを思い出した私は50代

**名無しさん＠１周年** · 2019/07/13(土) 00:20:44.85

>>1

＞　LINEなど5つの外部サービスのIDを使ったログイン

韓国諜報機関が作ったアプリをログインに利用させるとか頭おかしい

**名無しさん＠１周年** · 2019/07/13(土) 00:20:55.74

>>29
楽天は楽天で2段階認証無いんだよな…payだけではなく通販サイトの時点で

**名無しさん＠１周年** · 2019/07/13(土) 00:21:25.76

>>53
元のパスがしょぼければ回せばいいだけって気付いてないのかな？

**名無しさん＠１周年** · 2019/07/13(土) 00:21:36.07

世界よこれが日本コンビニ界の巨人だ

**名無しさん＠１周年** · 2019/07/13(土) 00:21:41.35

セブンペイオフ

**名無しさん＠１周年** · 2019/07/13(土) 00:22:02.93

なんじゃそら
めちゃめちゃや

**名無しさん＠１周年** · 2019/07/13(土) 00:22:08.28

>>50
これ思い出したw
https://i.imgur.com/XJ4S2aG.png

**名無しさん＠１周年** · 2019/07/13(土) 00:22:13.86

>>1
やっぱりこれか？
■セブン-イレブン、2018年の全店展開目指して顔認証の実証実験を開始
ttps://tech.nikkeibp.co.jp/it/atcl/news/17/092902364/
>店舗管理端末は従業員の給与や勤怠情報、客の個人情報や会員情報、公共料金の支払い情報といった重要情報を格納する。
各種の決済や荷物の受け取りといったサービスが増えるにつれて、取り扱う個人情報も増えているという。
従来のパスワードを使った認証ではパスワードの紛失や漏洩の恐れがあるため、セキュリティ強化が課題だった。
>顔認証を導入する準備作業は専用プログラムをダウンロードするだけという。

**名無しさん＠１周年** · 2019/07/13(土) 00:22:24.64

>>44
レインボーテーブルでググれ

決済情報取り扱う場合はハッシュにソルトを付加する

**名無しさん＠１周年** · 2019/07/13(土) 00:22:52.69

7payがここから逆転するにはどうしたらええんや

**名無しさん＠１周年** · 2019/07/13(土) 00:23:01.02

０段階認証かよｗｗｗｗｗｗｗ

**名無しさん＠１周年** · 2019/07/13(土) 00:23:23.70

>>59
未だに韓国とかどーとか言ってライン拒んでる奴いんのか
そういう奴って生きるのめんどいだろw

**名無しさん＠１周年** · 2019/07/13(土) 00:23:28.26

井阪、いつまで逃げまわってんねん
やっぱり、鈴木の足元にも及ばんな

**名無しさん＠１周年** · 2019/07/13(土) 00:23:37.49

>>2
在コの子供部屋おじさんは
ひきこもりでセブンにさえ行けないんだろ？ｗ

**名無しさん＠１周年** · 2019/07/13(土) 00:24:22.38

キャッシュレスは自分の財布の安倍忖度化のこと

**名無しさん＠１周年** · 2019/07/13(土) 00:24:50.46

>>1
API がサポート切れの struts1 で、データベースもサポート切れの Oracle Database 10g らしいな。

**名無しさん＠１周年** · 2019/07/13(土) 00:24:59.49

>>66
勝手に記録とかされそう

**名無しさん＠１周年** · 2019/07/13(土) 00:25:14.45

オープンIDか
声出して笑っちゃったよ

**名無しさん＠１周年** · 2019/07/13(土) 00:25:17.69

>>70
アカウント乗っ取り被害が出てる時点で
LINEもFacebookも認証に使うべきじゃないよ
それは普通の感覚じゃね
よくドロボー入られる家と同じ鍵付けるとかバカだろ

**名無しさん＠１周年** · 2019/07/13(土) 00:25:49.27

しかし、ここまで大きな問題が出てないLINEや楽天って
5chにバカにされてたけどすごい技術力があったんじゃ

**名無しさん＠１周年** · 2019/07/13(土) 00:26:56.09

まだ止めないの？
契約した人、ご愁傷様。

**名無しさん＠１周年** · 2019/07/13(土) 00:26:56.64

>>26
この記事で、基本、独自開発をやめて、まるなげしたって話だものな。

なんとかペイシリーズの決済を一斉に導入したわけだし、
将来的には、個人間決済、セブンペイもこのシリーズの仲間いり、相互提携までかんがえていただろうし。
いっしょに天下とりましょうよ、と提案されて、ハンコおしちゃったかんじなんでないの。

セブンＩＤの基幹のシステムとは別物、別会社にみえる。

**名無しさん＠１周年** · 2019/07/13(土) 00:27:01.14

元をたどれば消費税増税するためにコード支払いに税金投入してる政府のせい

**名無しさん＠１周年** · 2019/07/13(土) 00:27:17.93

>>35
ＡＤＩオーバーするわ

**名無しさん＠１周年** · 2019/07/13(土) 00:27:53.59

>>41
カネがあっても担当者が業務のキモを知ってる訳では無いからな。
恐らく2段階認証だって提案されてもやらなくても大丈夫だから削れって言われたんだろ。

上の人も書いてるけど流通系の考え方は「1円でも安い方を使えば良い、業者は契約で縛れば良い」だから。
クラッカーには全く通用しないけど。

セブンイレブンの依頼に合わせて作った結果がコレ。ベンダーの技術力云々の問題では無いと思う。

**名無しさん＠１周年** · 2019/07/13(土) 00:28:09.97

駄目だこりゃ。
再建はできないやろうな。

**名無しさん＠１周年** · 2019/07/13(土) 00:28:17.16

超親切設計

**名無しさん＠１周年** · 2019/07/13(土) 00:28:38.08

新しいサービスは半年くらい放置して様子見た方がいいな
中がどうなってるかなんてわかりにくいし

**名無しさん＠１周年** · 2019/07/13(土) 00:28:41.66

>>74
Struts1はやべえな

**名無しさん＠１周年** · 2019/07/13(土) 00:28:45.86

逆にちゃんとしてた部分はあるの？

**名無しさん＠１周年** · 2019/07/13(土) 00:29:03.97

>>52
お決まりの小泉ガーを連呼して草生やして必死だな
使えないバカの典型だわ

**名無しさん＠１周年** · 2019/07/13(土) 00:29:14.78

オムニ7とかnanacoとかも大丈夫かな？

**名無しさん＠１周年** · 2019/07/13(土) 00:29:58.86

>>89
連呼なんかしてないけどなあ
幻覚を見てるのかなあ
キチガイ低学歴怖い怖い
こういう奴がシステムわかってねえーんだよなあ

**名無しさん＠１周年** · 2019/07/13(土) 00:30:06.73

>>10
だよな

**名無しさん＠１周年** · 2019/07/13(土) 00:30:21.05

世界初のキャッシュロスサービスだぞ喜べお前ら

**名無しさん＠１周年** · 2019/07/13(土) 00:30:34.87

セブンイレブンの弁当は劣化してるぞ
20年前はもっと食えたが最近のは劣悪すぎる
なんで改善していかずに退化するんだよ

**名無しさん＠１周年** · 2019/07/13(土) 00:30:37.40

セキュリティホール発覚しても、穴塞がないままで動かし続けてるとこが一番信頼できない。
ここの判断は7-11側だろ。

**名無しさん＠１周年** · 2019/07/13(土) 00:30:37.62

nanacoあるんだから無理する必要なんかなかったんや
Appleに土下座してApple Payでnanaco使えるようにすればいいだけだったのに

**名無しさん＠１周年** · 2019/07/13(土) 00:30:48.67

これってハニートラップだよな、な？

**名無しさん＠１周年** · 2019/07/13(土) 00:30:51.56

オープンIDとか信用してなかったから
どのサイトでも固有のIDしか使わなかった
俺には先見の明がある

**名無しさん＠１周年** · 2019/07/13(土) 00:31:26.79

>>83
なんだ
テメエで言ってること矛盾してんのか
笑かすわ

**名無しさん＠１周年** · 2019/07/13(土) 00:31:31.72

店子への締め付けばっか一生懸命でなにやってんだよ