セブンイレブンの7pay（セブンペイ/Seven pay）不正利用から考えるアプリ運用
7iDのパスワード再発行がセキュリティ的に最悪な件：パスワード変更しても無意味な状況
https://www.kaesakura.com/2019/07/omni7-7id-password/
日々、顧客争奪戦を繰り広げるペイペイ(paypay)、メルペイ、LINE Pay、楽天ペイ、Origami Pay、ファミペイなどのスマホオンライン決済サービスに続けと、日本の流通小売りの雄、セブン＆アイグループが令和元年の今年7月1日から鳴り物入りで始めたスマホバーコード決済サービス「7pay（セブンペイ/Seven pay）」が大きく話題となっています。
良い意味で話題になっていれば良いのですが、まずこういうサービスでありがちな開始当初のアクセス集中による障害に加えて、7payのアカウントを乗っ取られて高額のチャージをされた上に、それをすべて使われてしまうという不正利用の被害が発生し、大きな話題になっています。
被害を訴えるTwitterユーザー
７payアカウント乗っ取り被害に会いました。
-- Tack C. Mizoguchi (@ttack1122) July 3, 2019
昨日利用登録及び決済クレジットカード情報登録した後５０００円チャージした「７pay」で、今朝８時０１分から０８時４０分の間に、合計６回、１９万円のクレジットカードからの不正チャージと、直後に東京都内で合計２回の高額決済が行われた。
7payで不正利用発生！
-- ぬのびき@2019年はJGCプレミア！ (@nuno_chann) July 3, 2019
クレジットで計18万円チャージされ
内、９万円がセブンイレブンJR錦糸町駅前店で使われる！
クレジット会社への連絡→済。担当者からの折り返し待ち
7payのパスワード変更→済。
クレジットカードの紐付け解除→済。
7pay運営への電話→つながらず。メール送信済み。
手口としては、単純に7pay会員登録とクレジットカード（デビッドカード）でのチャージ登録設定をした7iDアカウントを攻撃者が不正に入手し、それを使って別の端末でログインし犯行に及んだのではないかと一部では言われていますが、なぜ、こんなにも多くの被害が発生してしまったのでしょうか。
私は、セブンイレブンのこれまでのアプリ運用の姿勢も今回の被害が広がった一因ではないかと考えています。
そもそも、今回の7payの不正利用で使われたアプリは、セブン-イレブンの公式アプリ「セブン-イレブンアプリ」ですが、こちらのアプリは今回のセブンペイ専用のアプリではありません。
こちらのセブン-イレブン公式アプリは2015年10月にセブンイレブンの店舗で使える無料Wi-Fiに接続するためのアプリとして初めてリリースされました。その後、2018年6月に商品カテゴリ毎に購入数に応じたバッジを用意するなどのロイヤリティプログラムを軸としたリニューアルを行い、今回、そのアプリに2019年7月1日に7payを追加した形になります。App StoreやGoogle Playを見ていただければわかると思いますが、それぞれダウンロード数や評価数、レビュー数はとても多いですが、評価はApp Storeが2.5、Google Playが3.5でお世辞にも良いとはいえません。最近のレビューを見ても評価★１を付けて辛辣なコメントを長文で入力しているような超辛口なレビューも目立ちます。
「セブン‐イレブンアプリ」をApp Storeで - Apple
セブン-イレブンアプリ - Google Play のアプリ
https://play.google.com/store/apps/details?id=jp.co.sej.app&hl=ja
そもそも、私が解せないのはセブンイレブンはなぜこんな低評価な4年も前にリリースをしたアプリに無理くりリニューアルしたり、機能を追加してきたのでしょうか。正直、7payが導入されるまでセブンイレブンの店頭でスマホでこのアプリをレジで提示しているお客さんを私は見たことがありません。セブンアイHDのお膝元である麹町のセブンイレブンで10分くらいレジを見ていたこともありますが、本当に皆無でした。
セブンアイグループはイオンと並んで日本の小売流通業界の雄ですが、売上額ではイオンの方が高く、WAONのような電子マネーの決済額でもセブンアイHDのnanacoは後塵を拝していました。ただ、nanacoは決済数はイオンのWAONを超えて日本トップの数で、セブンアイグループの各店頭での利用率も非常に高いと聞いたことがあります。ただ、おさいふケータイ、つまりAndroidスマホへの対応は早かったものの、日本ではほぼ過半数の人が使っているiPhoneへの対応はまだしておらず、アプリのレビューで低評価をつけているユーザーの中には、セブンアイグループの電子マネーであるnanaco（ななこ/ナナコ）がiPhoneで使えたら便利なのに全然搭載をする気配がないと言うことでアプリに低評価をつけているユーザーも多くいました。そんな電子マネーで日本有数の実績を持つセブンアイグループがnanacoのiPhone対応をスルーして始めたスマホQRコード決済サービス7payですが、出足で大きく躓きました。
アプリの運用の問題に話を戻すと、セブン-イレブンのアプリ担当者がなぜこの低評価の糞アプリを更新し続けるかといえば、
「累計ダウンロード797万件達成！」
とか
「累計ダウンロード1000万件突破！」
って、言いたいだけなんですねー。。
そのために、お茶のペットボトルを1本プレゼントとか、おにぎり1個プレゼントとかのインセンティブをつけて、それを人気のタレント使って大々的にTVCMとかキャンペーン打ってダウンロードさせてほぼインセンティブ目当ての初回起動だけなんですねー。。
私もそのキャンペーンを見てダウンロードしたクチですが、App Storeの最初に表示されていたレビュー（つまり最も参考になったレビュー）が★１でタイトルが「詐欺アプリかと思いました」というレビューだったのを見て、プロモーション担当者は莫大な広告宣伝費を使ってネガキャンをやっているのではないかと思ったくらいでした。
そんなこんなで、nanacoに比べたアプリの店頭提示率は本当に低空飛行だったようです。
（コメントでnanacoと紐づけてそのnanacoで決済すればレジでのアプリ提示＆バーコードスキャンは不要との情報をいただきましたが、それにしても低いと思います。。）
おそらく、アプリの担当者も累計ダウンロード数だけでなく、MAUやDAUも見ているとは思いますがそもそも1か月に一回、バグフィックスのような更新しかしていないようなアプリでは全然PDCA回りませんよね。。
さて、今回の7payの不正利用ですが、そんな糞アプリの糞リニューアルを繰り返し、機能を建て増ししてきたツケではないかと考えています。
そもそも、そんな糞アプリだけを使うのにセキュリティに気を使ったIDやパスワードは登録しないでしょうし、そもそも今回の糞アプリへの7payの機能実装が糞だった可能性が高いです。※まだ詳しくは見れていませんし、セキュリティに気を使っていた人が被害にあったという情報もありますが。。それこそ致命的なセキュリティホールがあったのかは現時点では不明です。
では、理想のアプリ運用とは何か。
結局は、ダウンロード数だけを追っていくのではなく、しっかりDAU／MAUを追ってリテンションレート（RR）をあげていく。チャーンレートが高いセグメントの定量、定性調査やユーザーレビューの確認はもちろんのこと、アンケート、ユーザーインタビューなどの定量／定性調査を行って、UI/UXの改善PDCAを高速にやっていくしかないんですよね。店頭だったら窓にハエの死骸がついている！っていうクレームのお手紙がお客様の声コーナーに貼られていたら、すぐにでもお掃除しますよね？でも、アプリの場合は何故かハエの死骸をつけたまま1か月、2か月放置してしまうんです。その理由は予算が取れていないからとか開発会社との契約ができていないからなんていう理由。
セブン-イレブンの社是の最初の1行は、
「私たちは、お客様に信頼される誠実な企業でありたい。」
です。
アプリだから仕方がない、予算がないから仕方がない、目標がダウンロード数なんだ、
とかではなく、アプリをダウンロードしてくれたお客様の信頼を損なわないようにしっかりとアプリ改善と運用をしてもらいたいと思います。
ちなみに、Amazonの動画視聴サービス「Amazon プライム・ビデオ」ですが、昨年App Storeに同名のアプリが二つあることが話題になりました（今は旧アプリは消えたようですが）。新旧二つのアプリがストアに掲載され、旧アプリの紹介文には「ダウンロードしないでください」と書いてあり新しいアプリのダウンロードを促していました。何が絶対に正しいとは言えませんが、アプリをアップデートする、新しく作る、分ける、統合するなんていうこともゼロからお客様の利便性を考えて検討すべきかなと思います。
さらに余談ですが、、
昨日、セブン-イレブンのイートインコーナーで無料WiFiのセブンスポットを使おうと思い、Facebookアカウントでの認証をしたのですが、『このURLはブロックされています。「https://register.7spot.jp/sns_auth/facebook」はFacebookでブロックされています。』というエラーが出てFacebookアプリ認証が出来ませんでした。
おそらく、Facebook認証のリダイレクト元のURLをホワイトリストに加えていないだけかと思いますが、アクセス解析とかログをまーったく見ていないんだなあ、と
セブンアイの偉い人？がオムニチャネルだ、デジタルマーケティングだ、データドリブンマーケティングだ、デジタルトランスフォーメーションだとかアド●ックとか展示会・セミナーで（金持っている広告主枠で）登壇されて話されているのを見て、ああ、ビジョンとか高尚なことも大事だけどもやはり半歩を現場現実に置いて地に足のついた改善をしていくことも大事だなあと思った次第です。
あ、いろいろ申し上げましたがセブン-イレブン好きですよ。
好きだからこそ、もっと頑張ってほしいなーってそんな感じです。
ではではー。