『7Pay(セブンイレブンアプリ)2段階認証が元から考慮に無い事実』 の クチコミ掲示板

[舞来餡銘]

7Payにおいてアカウント乗っ取り&クレカからの不正チャージが発覚し、今日セブンイレブン社長が記者会見したが2段階認証など本人確認ロジックがアプリに適用されておらず、社長でさえ2段階認証そのものを知らなかったとの事

https://news.livedoor.com/lite/topics_detail/16722058/

その上でQRコード決済を導入した暴挙

書込番号：22776913　スマートフォンサイトからの書き込み

[とねっち]

nanacoがあるのにデータ欲しさに良く精査せずに手を出した罰ですね。
さんざんPayPayで騒がれてたのに

書込番号：22776947

[舞来餡銘]

セキュリティホールの実態


「メールアドレス・生年月日・電話番号がわかれば、第三者が7payのセブンイレブンアプリのパスワードを変更できることが判明したのです。 さらにSMS認証など2つ目の認証がないため、第三者が乗っ取ることも可能になります。」


空いた口が塞がらない

書込番号：22776955　スマートフォンサイトからの書き込み

[sandbag]

システムもStruts1らしいですね。
何かのギャグでしょうか。

書込番号：22776990　スマートフォンサイトからの書き込み

[舞来餡銘]

あるツイートより

「7Pay 不正決済ばっかり盛り上がってて、捨て垢登録をループすると無限におにぎりがもらえるというバグについてあんまり話題になってないよね　無限おにぎりやで　無限おにぎり」

酷過ぎる

書込番号：22777017　スマートフォンサイトからの書き込み

[舞来餡銘]

>>Struts1

https://mobile.twitter.com/nakanishiyasuo/status/1146572261689663488

2013でサポート終わってますね

どういうつもりなんでしょうか?

書込番号：22777024　スマートフォンサイトからの書き込み

[舞来餡銘]

https://www.ict-miraiz.com/column/migration/641/

Struts2でさえ脆弱性が言われてるのに、、、

セキュリティがばがばですね

書込番号：22777026　スマートフォンサイトからの書き込み

[region free]

仮想通貨の次に狙われてましたが、、。
やっぱ口座直結は怖いわ。

書込番号：22777111　スマートフォンサイトからの書き込み

[舞来餡銘]

システム構築に関して


ORACLE→DBシステム構築
NECサーバー(クラウド)構築
NRI→基幹システム(ネットバンク連携)
NTTデータ→全般


で、Apache Struts1使ってるってどういう事?

https://www.neclearning.jp/courseoutline/courseId/LX022/

これかな?

書込番号：22777313　スマートフォンサイトからの書き込み

[舞来餡銘]

NTTデータがStruts1ベースの独自フレームワーク持ってたとの事でそれを元にしたシステムの様ですね


セキュリティホール潰しを独自フレームワークで対処してる様ですが、、、何で素直に最新のApache使わないのか謎ですね

書込番号：22777457　スマートフォンサイトからの書き込み

[とねっち]

数千万円で無料広告狙ったのでしょうかね

書込番号：22777488

[sandbag]

1企業が潰せる程度の脆弱性なら世界的に廃止になっていませんね。
カネを扱うところはSpringなり他のフレームワークに移行しています。

書込番号：22777806　スマートフォンサイトからの書き込み

[舞来餡銘]

Javaライセンス変更が影響してるのかも知れませんが古いモノを改造して使い続けるって危険以外の何物でも無いですね、、


NTTデータとNECが関わってる時点で色々と考えてしまいますが、、

書込番号：22778452　スマートフォンサイトからの書き込み

[舞来餡銘]

2段階認証の処理追加する様です

遅い様な気もしますが

書込番号：22779357　スマートフォンサイトからの書き込み

[region free]

社長が2段階認証を知らなくても
web担当が知らないはずはない、のですが？

あの出し子の中国人の入国理由はなんだろ？
今治タオル絶望工場から脱走したとか？

書込番号：22779872　スマートフォンサイトからの書き込み

[舞来餡銘]

>>web担当は知ってるハズ

下の意見が通ら無い組織なんでしょ

書込番号：22780454　スマートフォンサイトからの書き込み

[舞来餡銘]

結局、全ユーザーパスワードリセット、と荒業を強制執行

残高やらが消失したユーザーが発生

もう何をやってんだか

書込番号：22830381　スマートフォンサイトからの書き込み