7pay事件前夜のセブン執行役が語った個人データ｢統合｣。店舗の1日利用者2400万人

不正アクセスによる多額の被害が明らかになり、サービス開始から4日で新規登録の停止に追い込まれたスマホ決済｢7pay（セブンペイ）｣。

親会社にあたるセブン&アイ・ホールディングス（セブン）は、セブンイレブンをはじめとしたリアル店舗を抱え、国内だけで1日に2400万人の来店客を誇る。セブンは、4年ほど前から、個人データを統合的に利用する体制の構築を進めている。

セブンがグループ内に抱える膨大な個人データが、統合的に運用されれば、利用者たちの消費行動に関するかなりの情報が集まるはずだ。7payによる個人の購買情報もその一つに挙げられている。

しかし、7payの不正アクセス事件が発覚して以降、認証プロセスに穴が存在した可能性が高まっている。

膨大な個人データを保有するだけに、個人情報が漏えいすれば、その被害も確実に大きなものになる。セブンが進める個人データの統合は、リスクの大きさと背中合わせだ。

｢生き残り・再生に向けてデータの利活用は不可欠｣

｢ネット系の企業に侵食されつつある我々リアルの小売としては、生き残り・再生に向けてデータの利活用は不可欠ということで、いま本腰を入れ始めている｣

2019年5月30日、東京都内のホテルで開かれた｢アジア太平洋プライバシー機関フォーラム｣。

世界各国の個人情報保護当局のトップらがそろう会合で、日本企業の代表として講演したのが、セブン&アイ・ホールディングスの清水健・執行役員だった。

日々、セブンに入ってくる消費者の情報は膨大だ。

傘下にある主な小売店は、セブンイレブン、イトーヨーカ堂、そごう・西武、ロフトなど。

セブンが2019年6月に公表した｢経営レポート｣によれば、日本国内で1日の来店客数は平均2400万人に達する。世界全体でみると、1日平均の来店客は6400万人になる。

清水氏は、講演の中で、次のように述べている。

｢実際、データはたくさんあります。ただ、これまで、うまく利活用できなかったというのは、なにがいくら売れた、みたいなPOSデータがありますが、これは名前がついていないデータです｣（清水氏）

セブン銀行や、クレジットカード、デパートの会員などのデータもあるが、これまで、こうしたデータはグループ内の各企業がそれぞれ保有していたという。

清水氏は｢セブン銀行で口座を持っている清水という人と、百貨店の会員である清水という人は、われわれのデータ上は別人になってしまう。数としてはデータをたくさん持っているが、いろんな制約があってうまく活用できなかったのが、これまでだった｣と述べている。

こうした課題に対して、セブンが4年ほど前から進めているのが、｢7iD（セブンアイディ）｣へのデータの統合だ。

経営レポートによれば、2019年2月末現在で、7iDの登録者数は1280万人にのぼる。

単一のIDに、個人の情報を統合していけば、個人の消費行動が、かなりのレベルで把握できる。

たとえば、1人のID保有者が、金曜にセブンイレブンでジュースを買い、土曜にイトーヨーカ堂で野菜や肉を買い、日曜には西武でジャケットを買ったといった情報を、グループとして集めることができる。

さらに、金融関連の情報についても7iDへの統合を進めるうえで、グループが重要視していたのが、7payだった。

清水氏の講演によれば、セブンは、セブンイレブンだけでなく、外部のパートナー企業との連携で、さまざまな店で7payを利用できるよう経済圏を広げていく構想を持っている。

世界各地から集まった個人情報保護当局の幹部たちを前に、清水氏は｢顧客との信頼｣を強調した。

｢一般の方からすると、漏えいとか、なんとなく怖いとか、ネガティブな要素にとらわれがちです。だれがデータを持っているのか、だれが活用しようとしているのか。どこまで私のことを知っているのか、ということが見えていないことが原因だと思う。有人の店舗をメインにしているので、接客を通じて、お客さんと我々の間には、顔が見えないという不安感がない。一定の信頼感が確立されている｣（清水氏）

アジア太平洋プライバシー機関フォーラムの約1ヶ月後、7payへの不正アクセスで、少なくとも約900人、約5500万円の被害が判明した。セブンが個人データの｢利用｣の前に、その｢保護｣に大きな課題を抱えていることが、徐々に浮き彫りになっている。

もっと知る

狙われた7pay｢外部ID連携｣の脆弱性の全貌。急遽“遮断”した理由

（文・小島寛明）