セブンイレブンの7ペイ。システム上のセキュリティミスを防げなかった理由は？

セブンイレブンの7ペイでシステム上のセキュリティミスが問題になっています。
なぜ「二段階承認の未導入」などというミスを犯したのでしょうか？

システム開発の際、レベルの低いSEとレベルの低いプログラマの組み合わせで
システム上の抜け穴やバグを防げなかった理由に
SE「なぜこんな単純なロジックの矛盾を見逃したんだ！ 見落とした君が悪い！」
プログラマ「ええ、仕様書通りにプログラムを組むとエラーになることはわかってましたよ」
SE「ではなぜそれを直さなんだ？」
プログラマ「仕様書に書いてないことはコードにしません。
エラー回避の分岐処理が未記載でしたのでその通りにコーディングしました。
仕様書通りにコーディングして、エラーが出たら、それは仕様書が悪いんです。
これが我々プログラマの考え方ですが、何か？」
という間抜けはなしがありますが、こういうように
「重大な見落としがあるのは知っていたが、それを直すのは自分の仕事じゃないから」
ということで見逃してしまったのでしょうか。

No.7 回答者： wellow 回答日時： 2019/07/11 00:30

１．セキュリティを求められないシステムをベースに、それに手を入れることなく電子決済と結び付けてしまった。

　最初はクーポンと会員を紐付けるだけのIDだったんだけど、バーコード決済に乗り遅れたくないがために、ID管理が雑なままにカード決済と紐付けてしまった。
　雑なID管理だったので、総当たり戦を簡単に許容する仕様で、それを補完（二段階認証とか）する仕組みも無かった。
２．ターニングポイントは電子決済との結び付きをすると決めたとき。
　他社がバーコード決済を続々と出していたので、遅れまいと焦った。
　外注のソフト屋や社内のエンジニアは気付いていたはずだが、セキュリティを追加することを費用、納期要件が上回ってしまった（経営陣、管理職の責任）。
　技術陣の声が届かなかったか、自分の分担だけやりゃいいと思っていたのか、進言したのに責任者は全く理解できていない、そのどれか。

＞「重大な見落としがあるのは知っていたが、それを直すのは自分の仕事じゃないから」

セブンアンドアイの金融関連で、さすがにそれはないでしょう。直すのは自分じゃないにしても、仕様を補完してもらえるようにするよう、進言する義務はありますからね。もちろん、報告を受けた側は期日に影響を与えないように、仕様の穴を塞ぐ義務があります。プログラマが仕様を逸脱したコードを書けば、後々の責任は免れません。納期、予算の縛りもありますから、どこでどうリスクヘッジするかは基本的に依頼元の責任です。もちろん誰も気付けなかった考慮不足というものもあります。これに起因する損害の責を負うのは経営階層です。だって、「誰もわからない」のですからわかりようがないし、そこから帰結する結果は損失、それを担保できるのは経営側だけですからね。とはいえ、今回の例で言えば「誰もわからない」はありえません。そんな難しい仕様上の制限というものはありません。というか、少し考えればわかる筈。

この回答へのお礼

ご回答ありがとうございます。

>総当たり戦を簡単に許容する仕様で、それを補完（二段階認証とか）する仕組みも無かった。

総当り攻撃を許すことがなんともおまぬけですよね。普通、真っ先に潰すアナだとおもうんですけどね。

ところで今日、セブンイレブンは沖縄初出店だそうです。
沖縄の人はこんなおまぬけなセブンイレブンを受け入れてくれるんでしょうか？

ご回答ありがとうございました。

お礼日時：2019/07/11 04:01

No.6 回答者： て2くん 回答日時： 2019/07/08 20:44

責任者が、二段階認証について、理解が乏しいと思える対応をとっていた。

簡単に便利にってことで、二段階認証を廃止した可能性もありますね。

あと、責任者を含めての危機意識の欠如
開発を外部に委託しているけども、そのからの意見を受け付けない社内体制があったって可能性もありますし、あがってきても、それを上司が握りつぶす体質の可能性もありますね。
外部に委託しているなら、外部の業者は、指摘しているはずですからね。

再設定したパスワードを任意のところに送れるとか、生年月日未登録の場合は、2019年1月1日とか、設計上の重大な脆弱性をわざと作っていたとしか思えませんからね。
拡大させたのも、1日に分かっていて、クレジットカード等のチャージを3日まで停止しないで放置したものも被害を拡大させた原因ですからね。

ファミリーマートに対抗意識をつけて、7月に開始の可能性もありますね。
7月11日（セブンイレブンの日）に無理矢理にでも間に合わせようとしていたとも・・・

この回答へのお礼

ご回答ありがとうございます

>簡単に便利にってことで、二段階認証を廃止した可能性もありますね。

簡単にしちゃったんですね。

>開発を外部に委託しているけども、そのからの意見を受け付けない社内体制があったって可能性もありますし、あがってきても、それを上司が握りつぶす体質の可能性もありますね。

誰も責任を取らない体質だったのでしょうか？

>再設定したパスワードを任意のところに送れるとか、生年月日未登録の場合は、2019年1月1日とか、設計上の重大な脆弱性をわざと作っていたとしか思えませんからね。

これ、バカな設定ですよね。
パスワードリマインドの送信先を、もともと本人確認のために設定していたメールアドレスとは別のメルアドに設定できるのであれば、容易に他人が勝手にパスワード変更することが可能になってしまいます。この間違いになぜ誰も気づかなかったのだろうか、とおもいます。
昔、軍需工場では戦争に対する良心の呵責を生じさせないために工程を細分化して
「まさか自分が作っている機械や部品が大量殺人兵器だなんてちっともおもわない」
という状態にしていたそうですが、もしかして7Payのコンピュータシステム構築も細分化して
「まさかこれを全部組み立てると、初心者でも容易に乗っ取りが可能な、超オバカなセキュリティホールが残った状態になる」
なんておもわないようになっちゃったのかも知れませんね。

>ファミリーマートに対抗意識をつけて、7月に開始の可能性もありますね。
7月11日（セブンイレブンの日）に無理矢理にでも間に合わせようとしていたとも・・・

まあ、あの記者会見をしていたオヤジたちの顔ぶれをみると、そういう駄洒落で目標設定をしていた可能性がなきにしもあらず、という感じが・・・


ご回答ありがとうございました

お礼日時：2019/07/08 21:08

No.5 回答者： スリープ 回答日時： 2019/07/08 14:21

ファミリーマートが7月からファミペイを始めましたので、それへの対抗意識で7月開業を焦ったのでしょうね

この回答へのお礼

ご回答ありがとうございます

>ファミリーマートが7月からファミペイを始めましたので、それへの対抗意識で7月開業を焦ったのでしょうね

ファミマに客をとられるのが嫌だったんですね。
コンビニの王者らしく、鷹揚に構えて、万全を期してから運用開始すればよかったのに、あせってこんなことになってみっともないですね。
もう後の祭りですがね。

ご回答ありがとうございました

お礼日時：2019/07/08 15:19

No.4 回答者： ナット1950 回答日時： 2019/07/08 14:03

下記のページが参考になると思います。

https://headlines.yahoo.co.jp/hl?a=20190705-0001 …

この回答へのお礼

ご回答ありがとうございます

ご提示のサイト拝見しましたが、
「簡単に乗っ取りが行なえるシステムだった」
旨の記述がありました。
これが本当ならもともとセキュリティホールとかシステムの脆弱性とか抜け道については
一切無頓着でシステム設計しているのでは？　とも思えますね。
どこのIT会社に発注したんでしょうね？

ご回答ありがとうございました

お礼日時：2019/07/08 15:18

No.3 回答者： zab_28258 回答日時： 2019/07/08 13:13

リスク管理で、もし～の場合は大丈夫？　って事をテストで実証するとおもうが、今回のケースをテスト項目として上げてなかったんでしょうね

この回答へのお礼

ご回答ありがとうございます

>今回のケースをテスト項目として上げてなかったんでしょうね

おっしゃるとおり、テスト項目が足りなかったのでしょうね。
コンピュータのプログラム構築に限らず、分担して物事を運営していると
「万一、間違った指令が届いた場合、どのようにして進行停止、回避、差し戻し、通常復旧を行なうか？」
というチェックが抜け落ちて
「私の分担項目まで回ってきた命令を内容にはミスはないはず。　
　だから私の工程はノーミス前提で運用を行なうし、トラブル回避、エラー回避については一切処理を考えない」
という運用の仕方をする場合がありますが、これはとんでもないことですね。

ご回答ありがとうございました

お礼日時：2019/07/08 15:15

No.2 回答者： angkor_h 回答日時： 2019/07/08 13:00

> なぜ「二段階承認の未導入」などというミスを犯したのでしょうか？

記者会見で責任者の態度は、「二段階承認？何それ？」と言う感じでした。
責任者さえ知らなかった、という事のようです。

> という間抜けはなしがありますが、
この方は、ただのコーディング担当であり、プログラム設計者ではありません。
コーディング担当には、仕様書に反するコーディングをする権利はありません。
コーディング担当は、プrグラマーの中では最下位技術者なのです。

この回答へのお礼

ご回答ありがとうございます

>記者会見で責任者の態度は、「二段階承認？何それ？」と言う感じでした。
責任者さえ知らなかった、という事のようです。

まあ、経営陣の中の最高責任者が必ずしも現場レベルの経験があるとは限りませんから、詳細な技術の細かいテクニックまで知っている必要はありませんが、せめて
「今回のセキュリティミスは何が原因だったのか？」
に対する概要とそれに対する想定問答は頭に叩き込んでから記者会見に臨んでほしかったですね。

>コーディング担当には、仕様書に反するコーディングをする権利はありません。

おっしゃるとおりですね、コーディング担当はいわれるままにコードを組めばよい、という立場かもしれませんね。
質問文に記載した例題はあくまで
「上からの指令に重大なミス、間違いが含まれていることははっきりと認識しているが、それを咎めるのは私の仕事ではない、ミスを内包した指示を出した側が悪い、という気分が蔓延していたのではないか？
また上役は上役で、下の者は俺様のミスをフォローバックアップするのが当然であって、ミスを知りえながら放置することは部下にあるまじき行為である、と過信していたのではないか？」
ということの提示として記述したものであります。
すこし言葉足らずなところがありましたね。

ご回答ありがとうございました

お礼日時：2019/07/08 15:10

No.1 回答者： mapascal 回答日時： 2019/07/08 12:58

焦りと慢心でしょう。

この回答へのお礼

ご回答ありがとうございます

おっしゃるとおり、あせりと慢心から招いた事故なのでしょうね。

ご回答ありがとうございました

お礼日時：2019/07/08 15:03