無料セキュリティ対策に不安がある企業必見！「セキュリティ対策無料相談窓口」

大騒動となっている「7pay問題」。”キャッシュロス決済”や”7pays war～僕らのnanaco間戦争”など、上手いことを言う方も出て来て、SNSでも盛り上がりを見せています。

以前、「paypay問題」の際にも、金融システムの常識が欠如している旨を書かせていただきましたが、今回の件はpaypay問題がかわいく見えてしまう程に数々の驚きがありました。突っ込みたい点は多々ありますが、取り急ぎ、いくつか解説していきたいと思います。

PayPayクレジットカード悪用問題から考える、金融システムが守るべき安全対策基準とは

2018.12.18

PayPayで起きたクレジットカード悪用問題。まだ他人事と感じている方も多いようですが、キャッシュレス社会構築を目指す日本においては、根幹を揺るがしかねない事態です。今回はこの件について考察していきたいと思います。 PayPayで

金融の基準どころか、Webアプリの基準を満たしていない

今回の問題、乗っ取りが容易だったのは「パスワードを忘れた場合、登録メールアドレス”以外”のメールアドレスに、パスワード再設定の通知を送付することが可能」となっていることが原因でした。その際に必要なのは、電話番号と生年月日（登録していれば）のみ。

7pay側は原因について、（7/4記者会見時点で）公式に発表していないようですが、数々の検証報告からすると、間違いのないところでしょう。

paypay問題の際は”いやしくも金融取引を提供するのであれば、FISC基準くらいは押さえておくべきだ”と書かせていただきました。お金が絡むことですから、普通よりも高いセキュリティ対策が求められるのは当然です。しかし、7payの場合は、普通のセキュリティ対策すら出来ていなかったのです。

Webアプリケーションのセキュリティ基準として検証すべきこと

Webアプリのセキュリティ基準に「OWASP ASVS」というものがあります。これは「OWASP（Open Web Application Security Project）」という組織が、Webアプリケーションのセキュリティ検証基準として作成したものです。この中で検証すべき項目2.18にはこうあります。

ログイン機能、パスワード再設定機能、またはアカウントを忘れた場合の機能を使ってアカウント情報の取得はできない

今回の7pay問題では、正にこれができていなかったということですね。しかも、この項目2.18は、金融取引や個人情報を扱う場合に検証する基準ではなく、全てのWebアプリで検証すべき項目です。最低限のセキュリティ検証ができていなかった、ということになります。

参照OWASPアプリケーションセキュリティ検証標準/JPCERT CC

7payが実施した「セキュリティ”審査”」とは

普通に考えれば、まともなセキュリティテストをしていれば、この程度の脆弱性は発見できたと思います。それがなぜ発見されなかったのか。（または発見されたが、経営判断で受容されたのか。）

記者会見で気になったのは、度々「セキュリティ”審査”」という言葉が使われたことです。普通、こういう場合は「セキュリティ”検証”」や「脆弱性”診断”」という言い方をします。”審査”は、「プライバシーマーク”審査”」や、「ISMS”審査”」など、運用上の妥当性等を調べる場合に使います。

今回7payが実施したという「セキュリティ”審査”」とはどんなものだったのか。我々が思う「脆弱性診断」では無かったのではないか、発表をしていただきたいものです。

“サービスを停止しない”という決断は大問題

インシデント後の対策として、「サービスを停止しないと言う決断」も大問題です。乗っ取られていない顧客の利便性を考慮したという話ですが、リリース直後でこれほど巨大なセキュリティホールが見つかったサービスです。他のセキュリティホールが無いと誰が確信できるでしょう。

常識的に考えるなら、まずサービスを一旦停止して、もう一度セキュリティ検証を行い、他には問題が無いことを確認してからサービスを再開するのが当然の対応でしょう。

例えば、とあるメーカーが自動車業界に参入して、初めて新車を作って販売したとします。ところが、ブレーキが効かなくなって事故が多発しました。そこで、リコールでブレーキだけ直して、「設計を最初から見直してはないけど、ブレーキ直したから安心です。」と言って販売を続けても誰が購入するというのでしょう。

7pay経営陣の判断というのはこういうことです。

経営層の”セキュリティ意識の低さ”が露呈

これも記者会見で炙り出されましたね。「二段階認証」さえ知らない、利便性が上がればリスクが上昇することすらも認識が無い、経営陣。別に開発できるレベルまでは求めませんが、基本的な知識がない中で、どうやってまともな意思決定ができるのでしょう。

今回の件は「経緯を精査した上で判断を行う」とも言っていましたが、そもそも精査報告が出てきたとしても、その内容を理解できるんでしょうか？Webアプリの常識やリスクマネジメントの常識すら知らないのに。

目標数値や、営業方法、それによる事業展望などはスラスラ答えられるのに、セキュリティリスクについては、記者に教わるレベル。7payは何を見て、何を見ていないのかが鮮明にわかる記者会見でした。今回の記者会見では、”この経営陣では、こういうことも起こるだろう”と納得してしまった方も多いと思います。

真の問題点とその解決のために

今回の事件は、起こるべくして起きたというのは分かりましたが、真の問題点は「7payの経営陣を笑えるIT企業の経営者がどれだけいるのか」ということだと思います。

「ユーザーの利便性」「サービスの売り上げ目標」「会員数目標」は、口を酸っぱくして言うけれど、セキュリティ関連については「漏えいしないように」としか言わない経営者。心当たりのあるエンジニアは多いのではないでしょうか。

敢えて、普段心を痛めているエンジニアに言いたい。今がチャンスです。

「利便性や目標数値だけに拘ると7payみたいになりますよ」

無謀なことを言い出す経営者には、こう言って最低限のセキュリティ標準を守らせるよう説得しましょう。同じような事件を自分の案件で起こさないように。