7pay
7pay（セブンペイ）は、7&iグループのコンビニエンスストアであるセブン-イレブンのiOS・Android用公式アプリ『セブン-イレブン アプリ』に組み込まれた決済サービスである。
アカウント管理は7&iグループ共通の会員アカウント「7iD（セブンアイディ）」により行われ、利用には7iDの取得が必要になる。
チャージはnanacoポイント、クレジットカード（セブンカードおよびJCB・Visa・Mastercard）、デビットカード、セブン銀行ATM（現金チャージに限る）、レジでの現金チャージに対応する。
なお、7&iグループ独自のICカード型非接触式電子マネー「nanaco」とは直接の互換性がなく、nanacoのチャージ残高を7payに移行することはできない。なお、nanacoの利用で貯めたnanacoポイントは7payアプリ経由で7pay残高にチャージすることはできる。
決済音はヒャダイン（前山田健一）が作曲したオリジナル:3。サービス開始時のプレスリリースにて「毎日聞くものだからこそシンプルでかつハッピーに。ぜひ永く愛される決済音になってほしいと願っております」とコメントしていた:3。
不正利用事件
7pay不正利用事件| 日付 |
2019年7月1日～9月30日 |
|---|
| 場所 |
日本 |
|---|
| 原因 |
システムに存在した複数の脆弱性など |
|---|
| 結果 |
7payサービスの提供終了 |
|---|
| 損害 |
約4000万円の不正利用 |
|---|
| テンプレートを表示 |
サービスイン翌日の2019年7月2日、7pay利用者より「身に覚えのない取引が計上されている」と問い合わせがあり、7月3日に社内調査を行ったところ不正利用が発覚した。同時にセブン・ペイではクレジットカードやデビットカードからのチャージを一時停止した。7月4日18時5分からはサービスの新規登録も一時停止となり、同日にはすべてのチャージを一時停止した。
7月12日東京都千代田区内のセブン-イレブン店舗に勤務する中国人アルバイト従業員の女が、7payを不正に取得し決済したとして窃盗の容疑で警視庁の組織犯罪対策特別捜査隊に逮捕された。被害額は7月31日現在で808人のアカウント、38,615,473円に上り、これらの被害額についてはセブン＆アイ・ホールディングスが全額補償する。
セブン・ペイ側は、7月4日の緊急記者会見で「事前にセキュリティー審査を繰り返し、脆弱性は指摘されなかった」と説明していたが、この時点で「7iD」に2段階認証やパスワード変更の通知機能が導入されていないことなど、認証システムに問題があると指摘されており、記者から2段階認証に関する質問を受けた際にも、それに社長は答えられなかった。また、経済産業省も一般社団法人キャッシュレス推進協議会が策定した『不正利用防止のためのガイドライン』が守られていなかったことを指摘した。
その後の調査で「7iD」が、外部IDでログインしている他人のアカウントにパスワードなしでログインして、なりすますことができたことが明らかになった。OpenID Connectなどの認証連携プロトコルで定めている、なりすましを防ぐためのチェック手順が実装されていなかったと推察されている。また「7iD」にログインした後に認証システムから取得できるユーザーデータの設計にも問題があり、ハッシュ化されたパスワードを含む広範な個人データを取得できたという。
事件後の対応
セブン&アイ・ホールディングスは7月11日17時、7payのほかセブンネットショッピングなど7iD経由でアクセスする全てのサービスについてFacebook・Twitter・Google・Yahoo!・LINEの5つの外部IDによるログインを遮断した。
セブン&アイ・ホールディングスは8月1日、今回のトラブルの原因について「7payに関わるシステム上の認証レベルの問題」「7payの開発体制の問題」「7payにおけるシステムリスク管理体制の問題」とした上で、「現在の7payのサービススキームに基づきサービス提供を継続することは困難である」として、9月30日24時を以て7payのサービスを廃止すると発表した。
今後のキャッシュレス決済導入について、7pay廃止に伴うニュースリリースでは「グループ外で提供されるキャッシュレス決済の導入を進めることとしている」としつつも、同日行われた記者会見ではセブン&アイ・ホールディングスの後藤克弘副社長が「時期や内容は白紙」としながらも「当社は引き続きキャッシュレスサービスの可能性を探るとともに、快適に買い物ができる環境を整えていく」と述べるなど、独自のキャッシュレス決済再導入の可能性を否定しなかった。また、トラブルの要因の一つとなった 7iD についても「（外部IDログインの停止やパスワード強制リセットによるリスクの極小化により）7pay以外のサービスの利用では十分な（セキュリティ）レベルであることが確認できた」として使用を継続することを表明している。
この問題の責任を取り、同年10月10日にセブン・ペイ社長小林強が退任し（後任者は水落辰也）、セブン&アイ・ホールディングスの社長井阪隆一と副社長後藤克弘が役員報酬を一部返上した。
セブン・ペイはサービス停止後、2020年1月10日まで、残高を残しているユーザーに対して払戻しを行った。払い戻しの申請完了にはおよそ16ステップ必要であることなどが指摘された。この終了時点で払い戻しを受けていないユーザーは約25万人、未払い残高は約7000万円に上った。
その後、2020年8月にPayPayと提携し、セブン-イレブン アプリにPayPayによるキャッシュレス決済機能を組み込むことを発表、2021年2月25日よりサービスを開始した。これにより本来は7payで担う予定だったキャッシュレス決済及びセブン-イレブン アプリの会員コード読み取りのワンストップサービスが再び可能となった。
日本
