セブン・ペイ

株式会社セブン・ペイ（英語: Seven Pay Co., Ltd.）は、スマートフォン決済サービス7pay（セブンペイ）を提供していた企業。セブン&アイ・ホールディングス (7&i) グループに属し、セブン・フィナンシャルサービスとセブン銀行の子会社。

サービスを開始した2019年7月に、不正利用事件によりサービスを停止。7pay事業は2019年9月30日に廃止されたが、会社自体は存続している。セブン銀行は7payに30億円の投資をし、2020年3月の決算でセブン・ペイに約30億円の損失を計上した。

沿革

2018年（平成30年）6月14日 - 株式会社セブン・ペイ設立。
2019年（令和元年）
- 7月1日 - 「7pay」サービス開始。
- 7月2日 - 「身に覚えのない取引があった」との問い合わせが寄せられる。
- 7月3日 - 「7pay」の大規模な不正利用が判明し、サービスの制限を開始。以後、サービス制限の範囲を拡大（詳細後述）。
- 7月4日 - 店舗レジ及び、セブン銀行ATMからの現金チャージ利用を停止。新規会員登録を停止。
- 7月8日 - 一連の不正使用案件に関連し、金融庁がセブン・ペイに対して資金決済法に基づく報告徴求命令を出す。
- 7月11日 - 外部IDによるログインを停止。
- 7月30日 - 共通IDの7iDの全会員約1650万人のパスワードを一斉リセット。
- 8月1日 - 7pay のサービスを2019年9月30日24時に廃止することを発表。
- 9月27日 - 残高払い戻し方法を発表。
- 9月30日24時 - 7pay サービス終了。
- 10月1日 - 7pay 残高の払い戻しを開始。。
- 10月10日 - 代表取締役社長を水落辰也に交代（セブン・フィナンシャルサービス代表取締役社長、セブン・カードサービス代表取締役社長を兼任）。
2020年
- 1月10日 - 7pay 残高の払い戻し期間が終了。

7pay

7pay（セブンペイ）は、7&iグループのコンビニエンスストアであるセブン-イレブンの公式アプリ『セブン-イレブンアプリ』に組み込まれた決済サービスである。

アカウント管理は7&iグループ共通の会員アカウント「7iD（セブンアイディ）」により行われ、利用には7iDの取得が必要になる。

チャージはnanacoポイント、クレジットカード（セブンカードおよびJCB・Visa・MasterCard）、デビットカード、セブン銀行ATM（現金チャージに限る）、レジでの現金チャージに対応する。

なお、7&iグループ独自のICカード型非接触式電子マネー「nanaco」とは直接の互換性がなく、nanacoのチャージ残高を7payに移行することはできない。なお、nanacoの利用で貯めたnanacoポイントは7payアプリ経由で7pay残高にチャージすることはできる。

決済音はヒャダイン（前山田健一）が作曲したオリジナル^:3。サービス開始時のプレスリリースにて「毎日聞くものだからこそシンプルでかつハッピーに。ぜひ永く愛される決済音になってほしいと願っております」とコメントしていた^:3。

不正利用事件

サービスイン翌日の2019年7月2日、7pay利用者より「身に覚えのない取引が計上されている」と問い合わせがあり、7月3日に社内調査を行ったところ不正利用が発覚した。同時にセブン・ペイではクレジットカードやデビットカードからのチャージを一時停止した。7月4日18時5分からはサービスの新規登録も一時停止となり、同日にはすべてのチャージを一時停止した。

7月12日東京都千代田区内のセブン-イレブン店舗に勤務する中国人アルバイト従業員の女が、7payを不正に取得し決済したとして窃盗の容疑で警視庁の組織犯罪対策特別捜査隊に逮捕された。被害額は7月31日現在で808人のアカウント、38,615,473円に上り、これらの被害額についてはセブン＆アイ・ホールディングスが全額補償する。

セブン・ペイ側は、7月4日の緊急記者会見で「事前にセキュリティー審査を繰り返し、脆弱性は指摘されなかった」と説明していたが、この時点で「7iD」に2段階認証やパスワード変更の通知機能が導入されていないことなど、認証システムに問題があると指摘されており、記者から2段階認証に関する質問を受けた際にも、それに社長は答えられなかった。また、経済産業省も一般社団法人キャッシュレス推進協議会が策定した『不正利用防止のためのガイドライン』が守られていなかったことを指摘した。

その後の調査で「7iD」が、外部IDでログインしている他人のアカウントにパスワードなしでログインして、なりすますことができたことが明らかになった。OpenID Connectなどの認証連携プロトコルで定めている、なりすましを防ぐためのチェック手順が実装されていなかったと推察されている。また「7iD」にログインした後に認証システムから取得できるユーザーデータの設計にも問題があり、ハッシュ化されたパスワードを含む広範な個人データを取得できたという。

事件後の対応

セブン&アイ・ホールディングスは7月11日17時、7payのほかセブンネットショッピングなど7iD経由でアクセスする全てのサービスについてFacebook・Twitter・Google・Yahoo!・LINEの5つの外部IDによるログインを遮断した。

セブン&アイ・ホールディングスは8月1日、今回のトラブルの原因について「7payに関わるシステム上の認証レベルの問題」「7payの開発体制の問題」「7payにおけるシステムリスク管理体制の問題」とした上で、「現在の7payのサービススキームに基づきサービス提供を継続することは困難である」として、9月30日24時を以て7payのサービスを廃止すると発表した。

今後のキャッシュレス決済導入について、7pay廃止に伴うニュースリリースでは「グループ外で提供されるキャッシュレス決済の導入を進めることとしている」としつつも、同日行われた記者会見ではセブン&アイ・ホールディングスの後藤克弘副社長が「時期や内容は白紙」としながらも「当社は引き続きキャッシュレスサービスの可能性を探るとともに、快適に買い物ができる環境を整えていく」と述べるなど、独自のキャッシュレス決済再導入の可能性を否定しなかった。また、トラブルの要因の一つとなった 7iD についても「（外部IDログインの停止やパスワード強制リセットによるリスクの極小化により）7pay以外のサービスの利用では十分な（セキュリティ）レベルであることが確認できた」として使用を継続することを表明している。

この問題の責任を取る形で、同年10月10日に、セブン・ペイ社長小林強が退任し（後任者は水落辰也）、セブン&アイ・ホールディングスの社長井阪隆一と副社長後藤克弘が役員報酬を一部返上した。

セブン・ペイはサービス停止後、2020年1月10日まで、残高を残しているユーザーに対して払戻しを行った。払い戻しの申請完了にはおよそ16ステップ必要であることなどが指摘された。この終了時点で払い戻しを受けていないユーザーは約25万人、未払い残高は約7000万円に上った。

その後、2020年8月にPayPayと提携し、セブン-イレブンアプリにPayPayによるキャッシュレス決済機能を組み込むことを発表、2021年2月25日よりサービスを開始した。これにより本来は7payで担う予定だったキャッシュレス決済及びセブン-イレブンアプリの会員コード読み取りのワンストップサービスが再び可能となった。