# 法学
## 7pay被害
- 被害金額は、約3240万円
- 被害人数は、1574人
- 7pay開発費142億円
- 7pay払い戻ししてないのは25万人

## 7pay時系列
- 7月 1日（月）　サービス開始（セブン‐イレブンアプリ上に搭載）
- 7月 2日（火）　お客様より「身に覚えのない取引があった」旨のお問合せをいただく
- 7月 3日（水）
- 各社ホームページへ「重要なお知らせ」を掲
- 海外IPからのアクセスを遮断
- クレジット／デビットカードからのチャージ利用を停止
- 7月 4日（木）
- 店舗レジ／ATMからの現金チャージ利用を停止
- 新規会員登録を停止
- 7月 5日（金）　「セキュリティ対策プロジェクト」の設置
- 7月 6日（土）　モニタリング体制の強化
- 7月11日（木）　外部IDによるログイン停止
- 7月30日（火）　7iDのパスワードリセットの実施
- 8月１日（木）　サービス廃止を決定
- 9月30日（月）　サービス廃止
- 2020年１月10日(金) 払い戻し終了

## 不正アクセスとは？
本来アクセス権限のない第三者がコンピューターネットワークを通じてサーバやSNSなどの情報システムの内部に侵入する行為を指す。

## 主な手口
- ブラウザやWebサイト、メールソフトの脆弱性を狙った手口
> ブラウザ、Webサイト、メールソフト、アプリケーション、OSなどのセキュリティ上の不備を意図的に利用することでデータベースなどを不正に操作したり、暗号化されているデータを含む情報を盗み見たり、サイト利用者に罠を仕掛けたりする手口。
- ウイルス添付メールによる手口
> メールに添付したファイルに不正プログラムなどを混入させ、添付ファイルを開くとシステムに侵入するなどして情報を抜き取るといった手口。
- フィッシングサイトを利用した手口
> 実在するWebサイトに偽装したサイトを使ってユーザーを騙し、IDやパスワードなどのアカウント情報、個人情報を盗みとる手口。
- 不正ログインによる手口
> 管理や設定の甘いパスワードを盗み出したり、流出したアカウント情報を使用したりしてシステムやサービスに個人になりすましてログインする手口。

## 主な事例
- ネットバンキングからの不正送金
> 口座の情報が盗まれ、預貯金の引き出し・送金などがおこなわれてしまう。
- SNSの乗っ取り、なりすまし
>アカウントを乗っ取られ、勝手にコメント・宣伝記事を投稿される。
- ネットショッピングでの不正購入
> 正規のユーザーになりすまして商品を購入、支払いは正規のユーザーに回すという手口で商品を窃取する。
- 機密データの窃取
>個人情報や企業の機密データが盗まれる。盗まれた情報は金銭的な目的に使用されることが多い。
- さらなる攻撃のための踏み台、加害者にされる
> 不正ログインによって、被害者のアカウントやネットワークを攻撃者が操作できるようにした上で、犯罪行為を行われる。攻撃者は被害者のアカウントを使って、外部の組織に対して大規模なDDoS攻撃を行ったり、スパムメールを送信したりする。この手口によって誤認逮捕された事例も発生している。

## ７Payの問題点
### 登録メールアドレス
> 会員登録時にIDとしてメールアドレスを登録するときに、認証メールなどの本人確認をしていないため、「他人のメールアドレス」でも登録できた。問題発生時に、メールが届かず、被害の確認が、遅れる可能性がある。

### 利用端末に関する本人確認
> 一般的には、携帯番号を入力させてSMSを送る「SMS認証」を行い、アカウントと電話番号を紐づけさせ、別端末に移行するときに本人認証が行えるようにする。この機能がなかったため、別端末からでも、IDとパスワードさえわかればログインできてしまう。
### パスワードリセット
> パスワードリセットは通常、登録アドレスに対して送信する。本来はメールアドレスの有効性を確認しているので特に問題はないが、上記の通り確認していないので問題がある。しかも、7Payでは、ほかのアドレスを指定することができた。
> パスワードリセットの本人確認として生年月日を用いたのはとても危険性が高い。
> 生年月日は、セキュリティ業界では、秘匿情報とはみなされないことが多い。
> さらに会員登録の時に生年月日を登録していないと、デフォルト設定になってしまう。
> 生年月日を設定しないと、メールアドレスのみ分かれば、パスワードを変更できてしまう。
- 質問　ほかのアドレスで指定できることの何がまずい？
> 本人が登録したメールアドレスのメールを見ることができなくても、パスワードリセットをできてしまうため。）

## 法律的にどのような処理が行われたか
1. セブン側
2. 不正アクセス側
***
1. 会見の冒頭では、セブン・ペイの小林強社長らが「多大なるご迷惑をおかけしましたこと深くお詫びいたします」と謝罪。被害者数は4日朝6時時点の概算で約900名、被害額は約5500万円に達するとしたうえで、その全額を補償する考えを示した。しかしこれは裁判などを通した法的措置ではなく会社の方針のようなもの。
2. 犯行グループはまだ全然捕まってすらいない状況で罪状どころの話ではない状況。すでに逮捕されているのは実行犯の一部であり頭目は尻尾すら掴まれていない。強いてあげるのであれば、該当する罪状は”詐欺罪”であると考えられる。人を欺いて財物を交付させた者は、十年以下の懲役に処する。

- 前項の方法により、財産上不法の利益を得、又は他人にこれを得させた者も、同項と同様とする。

## 現状の法律の問題点と改善案
### 問題点
不正アクセスされた側は法律に触れない
> 7ペイのように杜撰な管理だろうが、罰則はゼロ (しいて上げるなら企業イメージの低下くらい) 犯人の逮捕が難しい
グループで計画的な犯行の場合犯人を全員特定することは難しい

### 解決策
不正アクセスによる情報漏洩を発見した場合、即座の報告を義務付ける
- 早期に対処が出来るうえ、同じような事案が起きないように注意喚起にもなる
- 二段階以上の認証を義務付ける
- 将来的には指紋や虹彩での認証をつける
> 現状法律で義務付けられるほど普及していないが、指紋や虹彩は同一のものがほとんどなくパスワードのように見られる心配もない最大の秘匿情報になる可能性は高い

## 参考文献
- https://news.yahoo.co.jp/pickup/6347759
- https://www.7andi.com/company/news/release/201908011500.html
- https://www.smallbird.work/entry/2019/08/02/070000
- https://piyolog.hatenadiary.jp/entry/2019/07/04/065925

***

- https://cybersecurity-jp.com/laws/22754
- https://japan.norton.com/unauthorized-access-9603
- https://www.hitachi-solutions-create.co.jp/column/security/unauthorized-access.html

***

- https://www.businessinsider.jp/post-194071

***