迫る7pay不正利用の引き落とし期限。被害者補償はどうなる。クレジットカード各社対応は？

7月4日にセブン＆アイ・ホールディングス（HD）、セブンイレブン・ジャパン、セブン・ペイの3社合同で行われた｢7pay｣の不正利用問題に関する記者会見。以降、サービスへの新規登録やチャージが停止された状態のまま、3週間を経ても事件の全容はいまだ明らかになっていない。

一方で、7月3日に集中した不正利用被害では、被害者への請求金額が確定して引き落としのタイミングが刻一刻と迫っている。

全貌解明の前に、至急の補償対応が求められる状況にある。

被害者への補償対応はどの程度進んだのか

同件についてセブン＆アイHD広報に被害者への補償対応や進捗状況について尋ねてみたところ、｢被害者の方々にお詫びするとともに、補償対応をさせていただきます｣の回答。

とはいえ、実際にどのような形でどのようなタイミングに補償が行われるかなど、個別の詳細についてはコメントが得られなかった。

一方で、7月も半ばに差し掛かると、TwitterなどSNS上で、｢その後の被害補償の対応状況｣についての情報共有が散見されるようになってきた。カード会社各社が請求金額の取り消し対応を進めている姿が見えてきた。

だが、複数のメディアでも紹介している30万円の不正利用被害にあった筆者の知り合いのケースでは、困った状況も発生していた。

毎月10日の締め日が過ぎて請求金額が確定してしまったのだ。その旨をカードを発行するクレディセゾンに問い合わせても、当初は｢セブン・ペイに問い合わせてほしい｣の一点張りで、補償対応に関する言及がなかったという。

こうした状況を受けて、筆者が各クレジットカード会社に対応状況を紹介したのが以下だ。

幸い、7payはサービス開始段階でチャージ用に登録可能なカードの種類が非常に限定される。実質的に対象となるクレジットカード会社（イシュアと呼ぶ）は下記の6社のみ。そしてアンケートの結果から、当初の想定とは異なる補償対応の姿が見えてきた。

• JCB
• 三菱UFJニコス
• 三井住友カード
• クレディセゾン
• セブン・カードサービス
• セブンCSカードサービス

各社ごとに異なる補償対応が進んでいた

アンケートの質問内容は、

1. イシュア（クレジットカード会社）各社の被害状況
2. すでに行った対応、あるいは対応予定のもの
3. セブン側が起こしたアクション

の3点。今回6社のうち、アンケート期限内に関係者に接触できなかったのは、セブンCSカードサービスのみだ。

ただこれは後に、セブン・カードサービスからの説明で｢セブン＆アイのグループ企業では『7pay案件に関してセブン＆アイHDが一括して対応を取り扱う』という事情により、回答できない｣旨の連絡があったため、この2社については冒頭に書いた｢被害者に補償させていただきます｣というHD側の回答が、一律対応ということになる。

残り4社の回答も｢1. イシュア各社の被害状況｣については｢個別事案のためお答えできない｣｢最終的な被害額が確定していないため、現時点での公表は差し控えたい｣などの理由で回答拒否された点で共通だった。

興味深いのは｢2. すでに行った対応あるいは対応予定のもの｣｢3. セブン側が起こしたアクション｣の部分だ。各社各様ながらも｢セブン側との協力で個別対応を進めている｣という話が出てきた。各社の反応は下記の通りだ。

クレディセゾンのみセブン側との連携に触れていないが、基本的にはセブン（セブン・ペイ）から必要な連絡は受けており、随時個別に対応しているようだ。

前出の｢30万円の被害者｣は、決済業界に精通している人物だ。筆者と同様に7pay問題の被害に対する補償対応も独自調査を進めている（ツイートの掲載は本人の承諾を得ておこなっている）。

その結果でも筆者の調査と同様に、JCBカード、三菱UFJニコス系カード（MUFGカード、DCカード、ニコスカード、UFJカード）、三井住友カードについては、すでに請求の取り消しも含む対応が進んでいることが確認できた。

気になる｢セゾンカードの7payに対する補償｣は内部でどのように進んでいるのか。

｢30万円の被害者｣は、セゾンでは取引の消し込みに必要な突き合わせデータがセブン側から届いておらず、少なくとも7月20日時点では身動きできない状況にあると思われる、とコメントする。

7月11日時点でセブン＆アイHDが把握している被害人数の合計が1574人なので、この数字は｢ユーザーからの自己申告を調査したうえでの被害｣｢セブン・ペイならびにイシュア各社が独自のスクリーニング調査により被害と認定したもの｣の両者を合算したものとみられる。

その後増減がある可能性もあるが、被害者に電話連絡などでチェックしていったと考えれば、被害発生から2〜3週間の対応進捗としては、被害者全員に行き届いていなくても致し方のない部分はある。

7payの｢補償対応｣は比較的迅速

まとめると、

• 全体としては｢7pay側が比較的迅速に動いてイシュア各社との連携を始めている｣様子がうかがえる
• 被害者によって補償対応に差があるケースは、主にイシュアごと側の独自対応の有無による差（Twitterの被害者投稿などから分析）

という状況が見える。

7payをめぐる不正使用事件では、サービス提供者としてセキュリティーの設計に不備があるままサービスインし、結果的に1500人以上の被害を出してしまった点は、大きな問題だ。一方、被害者への補償という部分ではセブン側はきちんと対応を進めており、この点は改めて評価したい。

なお、前出の30万円の被害にあい、一時請求金額が確定してしまった知人は、この記事の締め切り直前に状況に変化があった。クレディセゾン側から電話で連絡があり、｢このままでは不正利用被害と思われる金額の引き落としがそのまま行われるため、請求金額から30万円を引いた金額を、8月5日に指定の銀行口座から引き落とす｣ことになったという。

一方で、連絡後もWebで確認できる明細に記された請求金額自体は30万円以上の表示のままのため、｢念のため元の請求金額以上のお金を口座に残しておく｣と話している。

もっと知る

【更新】7pay問題でオムニ7アプリのソースコードに漏洩の疑い。｢GitHub｣上で誰でも入手可能だったか

（文・鈴木淳也）