なぜ7payは失敗したのか？AIで爆速開発する時こそ見直したい『認証フロー』の落とし穴

2019年、鳴り物入りでスタートしたスマホ決済サービス「7pay」が、不正アクセス多発によりわずか3ヶ月でサービス終了に追い込まれた事件を覚えているでしょうか？

何が起きたのか？

サービス開始直後から、他人のアカウントに勝手にチャージされる、乗っ取られるという被害が相次ぎました。 原因は「2段階認証の実装漏れ」や「パスワードリセットの仕様不備（生年月日などで誰でもリセット可能だった）」など、基本的な認証設計の欠如でした。

AI開発における教訓

AIに「ログイン機能を作って」と指示すると、確かに動くコードは返ってきます。しかし、細かい（けれど重要な）セキュリティ仕様までは提案してくれません。

• 「パスワードリセットURLの有効期限」
• 「メールアドレス変更時の確認フロー」
• 「総当たり攻撃（ブルートフォース）への対策」

これらが抜けたまま「ログインできたからヨシ！」としてリリースするのは、穴の空いた金庫にお金を入れるようなものです。

本番公開の最低ライン

MVPであっても、以下の認証機能は必須です。

1. Email確認: 実在するメアドか確認する（捨てアド対策）。
2. パスワード強度チェック: "123456" などを登録させない。
3. 適切なセッション管理: ログアウトしたらトークンを無効化する。

認証機能の不備は、ユーザーの財産やプライバシーに直結し、一度のミスでサービス（最悪、会社ごと）が終了します。 「認証だけはClerkなどの専門SaaSを使う」か、プロのエンジニアによるセキュリティチェックを受けることを強くお勧めします。