密碼重設功能不嚴謹，缺乏驗證，日本7Pay用戶遭竄改密碼並盜刷

關於日本7-Eleven「7Pay」的重設密碼功能，因其身分驗證機制不夠嚴謹，導致已有數百用戶帳戶讓人盜用進而盜刷的事件，日前7&i控股（Seven & I Holding）與7pay均已在官方網站已發出公告，並表示從7Pay上線後隔日，就陸續收到用戶反應遭人盜刷的狀況。到底7pay App的身分認證與密碼重設機制，出現了那些嚴重的問題？各界都很關心。

對於實際操作過程的弱點，已經有許多日本民眾在網路上討論。例如，在7月3日，日本一名研究員高木浩光（Hiromitsu Takagi）在Twitter上，就指出了7iD會員登入的相關問題。根據他的貼文，在iOS系統開啟7pay App要註冊7iD會員時，一開始的介面上會有7iD（電子郵件信箱）、居住地區、生日與性別的欄位，但是，用戶只要輸入第一項的電子郵件信箱，在沒有輸入生日等選項的情形下，依然可以執行下一步。

同時，系統還會自動預設以2019年1月1日作為生日，而這樣的機制，居然在App上的會員資料介面也有說明。

另外，在該App的「忘記密碼」的申請介面上，僅要求輸入生日與7iD，並可輸入任意的電子郵件信箱，來接受寄送重設密碼信。也因為上述原因，最後他退出了7iD會員，並在原因一欄指出安全弱點的問題。

對此貼文內容，另一推特帳號@j416dy的網友則回應，在7pay的Android版註冊時，用戶必須要設定居住地區、生日與性別，但iOS版並未設限。

從上述過程來看，7pay密碼遭人竄改的事件，基本上，有兩個明顯的問題，包括註冊時的用戶生日輸入，以及重設時的電子郵件信箱輸入。

舉例來說，為了確保用戶帳號安全，現行的網站在會員密碼變更或重設上，應該都有相應的機制，來確保是否為本人操作。但從7pay用戶的實際經驗來看，機制設計相當不嚴謹。例如，該系統竟未比對輸入的電子郵件，與7iD會員帳號的電子郵件是否相同；這種預設生日的機制，其實也降低了他人猜測的難度。更具爭議的是，重設會員密碼或註冊的過程，沒有搭配兩階段驗證的機制，當重設輸入不同電子郵件信箱時，也沒有額外的驗證。

而且，系統上線前是否沒有經過測試，也引發外界質疑。這種第三人可以輕易重設密碼的問題，通常在測試階段就能發現，更何況這還是發生在一個提供支付交易的App上。

在7月3日，日本研究員Hiromitsu Takagi在Twitter上，指出iOS版7Pay App的問題，包括註冊時只要輸入電子信箱，而生日、性別與居住地等項目可以不用輸入，在進入7iD會員資料介面時，則會看到用戶未輸入生日資訊，將會預設為2019年1月1日，另外，在設定寄送重設密碼信的電子信箱時，可以不同於7iD帳戶的電子信箱，而且沒有額外的驗證機制，他並實作了整個流程。（圖片來源：擷取自Hiromitsu Takagi's Twitter）

對於7Pay App的註冊流程，另一@j416dy網友也回應，指出用戶設定居住地區、生日與性別，在Android版是必須的，但iOS版卻是任意的。

若從網站的密碼重設機制來看，在7&i的OMNI7網站上，提供了用戶在忘記ID密碼時的因應方式，這裡其實分成兩種情境，一種是忘記會員ID，另一種是忘記密碼。例如，前者需要輸入會員的出生年月日、電話號碼與電子郵件信箱，就可以重新設定會員的密碼。若是忘記密碼，這裡也依照兩種登入方式而有不同，一種會要求出生年月日、電話、會員ID，另一種則要求出生年月日、7iD帳號。

7&i控股已經對外發出重大公告，揭露近千7Pay會員遭盜刷

基本上，7Pay屬於「第三方支付」的電子錢包，使用前需要先加值，例如可用綁定的信用卡或Debit Card來儲值。但隨著7pay帳戶被盜用的事件傳開，讓用戶產生安全危機，因此，7&i控股也在7月4日向外界說明，並在官方網站上公布事件發生經過，以及預估的事件影響範圍。只是，對於7pay這幾日的事件應變過程，其實也引發了外界相當大的爭議。

根據7&i控股的說明，其實在7月2日，也就是7pay上線的隔天，就接到關於此事件的第一次回報。在7月3日公司進行內部調查，確認發現異常行後，因此設置緊急客服中心，並在7pay主頁上發出公告，呼籲用戶注意帳號密碼的管理，同時，他們也立即停止了信用卡或Debit Card的轉帳儲值。

到了7月4日，在提供服務的7pay公司召開記者會後，也讓外界得知事件的更多資訊，包括：他們凍結疑似遭盜用的7pay帳號，並暫停App會員從綁定信用卡或Debit Card的轉帳儲值，以及各式儲值方式；在3日上午10點，也禁止海外IP位址登入7pay，因為他們最初發現的會員遭盜刷案例，都是在中國等海外。

同時，他們也揭露了事件影響範圍，在4日早上6點為止，估計遭到濫用的帳號數約900個，損失金額約5,500萬日圓（約新台幣1,600萬元）。至於用戶權益損害賠償的處理，他們承諾將會補償所有受害用戶的損失。

關於引起外界質疑的部分，例如，該公司在3日只是提醒用戶小心保管帳號密碼避免外洩，顯然還不太清楚狀況；對於未導入兩階段驗證的質疑，該公司當時也無法回覆，後續僅指出7pay的設計導向，是以用戶體驗為優先。

由於這起事件，已經嚴重影響廣大民眾支付安全，當地行政機關日本經濟產業省，也對7pay沒有遵守相關方針感到不滿，7月5日在官方網站發出公告，嚴厲要求這類業者應遵守相關準則，防止不當濫用的行為，避免類似事件的再次發生。對此，7&i控股也在當天發布消息，宣布將導入兩階段驗證，並修改儲值上限。

對於7pay這次離譜的表現，外界普遍認為該公司可能為了市場競爭，急於將服務推出上線，卻導致基本的安全機制設計都疏忽。但這不僅造成了實質損失，引起軒然大波，並讓消費者對他們失去信心，對於全球支付業者而言，更應引以為戒。

無論如何，關於這次事件在短短兩三天內，就傳出數百起受害案例，這也再次提醒大眾，由於近年個資外洩的情況相當嚴重，而這些外洩的資訊可能就包含用戶的生日、電話與電子郵件，也就是說，駭客集團要取得這些資訊其實並不難。

在7月4日，7&i控股（Seven & I Holding）已在官方網站發出對此事件的公告，公布事件發生經過與處置動作，以及預估的事件影響範圍。

在7月5日，日本經濟產業省也對這次7pay沒有遵守相關方針感到不滿，於7月5日在官方網站發出公告，嚴厲要求這類業者應遵守相關準則，防止不當濫用的行為，避免類似事件的再次發生。