今回の７ペイ事件、問題の本質は７ペイというスマホ決済を独自に作ったのではなく、既存のomni7というECサイトをベースに７ペイの機能を建て増ししたところにあるのではないか。omni7は単なる通販サイトであり、決済機能を担うプラットフォームとしてはかなり手を抜いた仕組みのようだ。例えば、現時点ですら、omni7にログインした状態からIDやメールアドレスはパスワードなしで変更可能だし、その結果通知も、何を変えても同一内容で、確認のしようがない。そのIDやパスワードやメールアドレスが７ペイと共用されているのだから、セキュリティが弱くなるのは当然といえる。既存の建て増しで急いで構築した構想に無理があったのではないか。
150万人の７ペイ利用者のほとんどは、スマホから新規に会員登録したと思われるので、そもそもomni7と認証情報が共有されていることすら知らないだろう。記者会見で「海外からの不正アクセスを止めた」とあったが、理解できない人も多かったはずだ。omni7のセキュリティ要件は、ネットバンクのそれとは比較にならないくらい緩いが、ECサイトで決済機能が別建てであれば、たいして悪いことはできないから、問題にならなかったのだろう。
今回の攻撃は、アプリの利用開始の翌日に、かなり大規模に行われている。多分、攻撃したグループは、omni7に７ペイが建て増しされることを事前に察知して、omni7への攻撃方法を周到に準備していたのではないか。だとすれば、店頭でタバコなどを買った実行犯は「出し子」に過ぎず、全容解明は容易ではないかもしれない。
