セブン＆アイ・ホールディングスは10月10日、今年7月1日にサービスを開始し、外部からの不正アクセスでセキュリティの脆弱性が露呈し、わずか4日で新規会員登録の停止、9月30日に廃止となったスマートフォン（スマホ）決済サービス「7pay（セブンペイ）」の一連の騒動について、同社の井坂隆一社長を含む役員報酬の減額を発表した。合わせて、再発防止策と子会社セブン・ペイの小林強社長が同日付で取締役に退任する人事を発表した。


　役員報酬の減額では、セブン＆アイ・ホールディングスの井坂社長と後藤克弘副社長兼デジタル戦略推進本部長が3カ月間30％の減額のほか、セブン-イレブン・ジャパンの粟飯原勝胤執行役員システム本部長が3カ月間10％の減額となる。セブン・ペイの社長には、水落辰也取締役が就任する。

　7payで不正アクセスが発生した原因について、外部情報セキュリティ会社と連携した「セキュリティ対策プロジェクト」の調査の結果、攻撃者が不正に入手したID・パスワードのリストを使って、7payユーザーになりすまして不正アクセスを試みる「リスト型アカウントハッキング」である可能性が高いとの結論に至った。

　また、弁護士を中心とする検証チームによる検証を踏まえて、不正アクセスを防ぐことができなかった理由として二つの要因を上げた。一つは、7pay独自の認証システムや不正検知・防止対策が必ずしも万全ではなかったこと。

　もう一つは、開発体制のセキュリティ水準で厳格なポリシーが徹底されてなく、また複雑なシステム開発でセキュリティを統括的に管理するプロジェクト・マネジメント機能や、システムリスクを指摘すべきリスク管理機能が十分に働かなかったことがあった。

　再発防止策では四つの施策を講じる。（1）7＆i グループのセキュリティ施策を統括的に所管する専門組織の設置、（2）7＆i グループで横断的に適用されるセキュリティに関するポリシー・ガイドライン、およびシステム開発に関するポリシー・ガイドラインの再整備、運用を徹底、（3）システム開発のプロジェクト・マネジメントとセキュリティについて専門性を有する人材の拡充、（4）セキュリティへの高い意識をグループ内に浸透させるための社内教育と意識醸成に向けた取り組み、となる。

　7payを巡っては事後の払い戻し業務などが継続中で、まだ完全な幕引きに至っていない。コンビニ業界トップを走るセブン＆アイ・ホールディングスにとって、ブランドや信頼の喪失など、払った代償は大きなものとなった。