「脆弱性は見つからなかった」　セブン・ペイ緊急会見の“甘すぎる認識” (1/2)
https://www.itmedia.co.jp/news/articles/1907/04/news113.html

「脆弱性は見つからなかった」

セブン・ペイの小林強社長
　不正アクセスの原因について、記者から「パスワードリスト攻撃ではないか」と指摘されると、
小林社長は「その可能性も含めて調査中である」と答えた。

　今回の事件で特に問題視されているのが、「パスワードリセットの仕様」だ。
7payは「セブン-イレブン」アプリに実装された決済機能。「生年月日」「電話番号」
「会員ID（メールアドレス）」の情報があれば第三者がパスワードを変更できる状態で、
SMS認証など二段階認証も設定されていなかった。また、パスワードリセットのメールは、
登録時とは別のアドレスに送信できる仕様だった。

　ネットでは「あまりにお粗末」「致命的な弱点」など批判が相次いだ。
これに対し、セブン＆アイの清水健執行役員は「あらゆるサービスについて、
事前にセキュリティ審査をやっている。7payもきちんと確認したが、
脆弱性（ぜいじゃくせい）はなかった」と繰り返し強調した。