7-Eleven 日本的支付服务“7pay”被盗刷 5500 万日元 居然是这样远古的代码

[mystrylw]

日本手机支付服务刚运营两天就出问题 900 人手机或被盗刷

1 日，7-Eleven 日本公司开始提供通过智能手机条形码来购物的支付服务“ 7pay ”，但刚运营三天，该服务就出现问题。4 日，该公司召开紧急记者会，宣布可能有 900 名用户的手机被盗刷，累计金额达 5500 万日元（约人民币 350 万），该公司社长公开道歉，承诺将全额补偿被盗刷的用户。目前，7pay 的充值和新用户注册服务均已停止。

引用「 Yuee 」的解释：

被盗刷的原因是这样的

1.这个系统用邮箱作为账号

2.找回密码只需要使用「生日」

3.生日可以不填，默认为 2019 年 1 月 1 日

4.找回密码时，填错后，没有次数限制

5.找回的密码，可以单独填写一个邮箱接收

只要拿邮箱，用 2019 年 1 月 1 日当生日，找回密码，总有人不改生日，于是就可以改密码了

问题是即使碰撞了邮箱和生日也没那么容易破解用户的邮箱拿到重置邮件啊，好奇一下搜了一下，原来自己关注的推友已经转发了解释，看了让人瞠目结舌：

引用「 @o_lll 」推文：

https://twitter.com/o_lll/status/1146616043181187072

7pay 重置密码时可以选择登录邮箱以外的邮箱接收密码重置链接，也就是只要知道邮箱电话和生日，这个账号就是你的了

另外密码要求是半角小写字母加数字，并且据称重试次数无限制

711 迅速的用 display:none 的方式修复了可以发送密码重置链接去第三方邮箱的 bug #日本 IT 令人堪忧

被隐藏的 field 里填了别的邮箱依旧可以收到密码重置 token，7pay 这事儿可以写进教科书了

然后还有后续精彩：

记者会上

记者问：“为什么 7pay 没有二次验证？”

社长答：“二次验证是什么？”

快要笑到窒息了…

不过不好的是，后来逮捕了两位嫌疑人，中国籍。

1. 希望不要做过多推测和展开，我陈述的均是有据可循的事实，至于日本 IT 水平，中国国籍等细节问题，没有更进一步信息前也不好评价

2. 关于很多人说的日本 IT 公司死板、流程僵硬、客户至上，推荐可以 1.5 倍速快进看一看上一季的日剧「准点下班回家」，虽然感情线一如既往的日式白开水莫名其妙，但 IT 外包公司的工作和客户关系，加班态度等等还是很有代表性的。

[Sunmao]

介个。。不评价了吧
有些钱，放在那，也是不能拿的

[misaka19000]

嫌疑人逮到了了钱能要回来吗？

[mystrylw]

@misaka19000 本社社长承诺兜底了还好吧，都抓了肯定后续会有审判的咯

[reus]

这么快破案，罪犯看来也心大……

[dot2017]

生日作为唯一找回条件，然后还不是必填项……咋想的？

[mystrylw]

@dot2017 我觉得那个居然还能改找回邮箱，被发现漏洞之后不是赶紧修而是在 html 里面隐藏起来的操作真是 6 到不行。。。

[mystrylw]

@reus 没有破案吧，盗刷额 5500 万，只抓到了 20 万的俩人

[gam2046]

中国籍...可以狭隘的理解成中国人嘛？

请问各位德华、彦祖，如果是中国人在中国作案，会被引渡到日本喝几年茶再送回来么？折合人民币三百多万，放在国内法律，也是 10 年到无期的刑事处罚了。

[mystrylw]

@gam2046 这俩人只涉案 20 万

[xy90321]

是的，日本国内的 IT 就是那么弱，外包给中国做的说实话可能还好一点…

[netlous]

日本程序员的水平真的是培训班水平，不要抱有太大的幻想，从平时玩的日系手游就能看出来了，各种窒息操作，和东大的研究生共事过，差不多也就是那样……

[hoyixi]

日本好像很多公司的 IT 业务都是外包的， 而且存在层层转包。

在外包公司，不少管理人员和有权利的中层，恐怕都是管人和搞关系的，没几个懂技术，甚至不懂业务。最拿手的就是派活和听汇报吧，下面干活的，多一事不如少一事，就算知道有 bug，照做自己不用担责，擅自做主可能会担责，所以，换成我，我也做完分配的任务拉倒~

[laozhoubuluo]

这软件设计...... 无语了......
这种重置密码设计是怎么通过审核的，还是在以流程著称的日企......

[wengjin456123]

v2 一堆日本猎头招的程序员不是挺强的吗？

[weixiangzhe]

日系游戏难道都不是日本人写的吗？一直觉得日本 it 不差的

[CdR48cafe]

不用一竿子全打翻。日本现在有十来种 XXpay，也就 7-11 闹出这麽大的笑话。日媒推断是不懂 IT 只懂行销的高层为了以 7 月 11 日为中心的大型促销活动，指示一定要在 7 月 1 日推出，下面死亡强行军的後果。

[wenzhoou]

我做了多年金融项目。我是上次日本罗森某卡被盗事件善后者。那个项目之前出了三次要上报金融厅基本的问题我也是都参与了。N 社的信用卡认证系统我也做了（和这次的事件无关的项目）。说实话这种事情真不赖程序员。为什么？
因为日本人傲慢。


弱小和无知不是生存的障碍 傲慢才是



任你怎么告诉他这样有问题，他就一句话，你就照这个做就好了，意思是我给钱叫你做什么你就做什么别瞎 bb。日本人管这个叫做式样通り。

式样大部分是日本人写的，编码工作只占总流程的 10 分之一，单体测试占总流程的 10 分之一。大部分中国公司只能拿到这些菜。

[2oTp]

"大部分中国公司只能拿到这些菜。 "

"菜"是指什么意思

[wenzhoou]

指的是难啃的骨头，鸡肋，残羹冷炙。

[JCZ2MkKb5S8ZX9pq]

@wenzhoou 对对对，死认仕样，怕担责任。

[russian]

我以前也因为工作的原因接触过当年丰田刹车门的报告文件，感觉日本的 IT 水平真的不高。控制器代码真的有几百行的函数。。。当然后来给美国爸爸罚了很多钱，也是活该把

[6uIKZF]

这不稀奇。我给你补充一个例子： https://docs.google.com/forms/d/e/1FAIpQLSfkBLe4UpKp69_au9ESnwOP8xHy8AFs4XsRypxJB-ZVmRXfAA/viewform
Fantia 的海外用户提款表。我看了都傻了。9102 年了还有这样提款的？
日本人就是这样。觉得自己不会骗人，所以全世界人都不会骗人。

[6uIKZF]

发错了发成日本国内的了，海外用户 PayPal 提款是这张表： https://docs.google.com/forms/d/e/1FAIpQLSdWazm297fkJyyLHGFRNZWFJIIPgT8AZy6IEqE6J4rwbp-2Aw/viewform
总之就是写上用户主页网址，要提多少钱和 PayPal 账号就可以了

[6uIKZF]

Fantia 验证本人的方法是填登录邮箱。也就是说只要知道某个用户的登录邮箱，你就可以直接把他的钱提到你的 PayPal 上

[scnace]

日本 IT 不菜啊 我推上关注了好几个日本的大牛了 每年也有 GopherCon JP （还有 line 的技术哪里差了？楼上不要轻易地图炮 打标签啊

[charlie21]

傲慢就是闭眼写的意思吗

[KasuganoSoras]

コードは蔡徐坤のようです

[c6h6benzene]

被抓的两个中国人应该只是变现的跑腿工，被抓住了也是说“别人让他来买的”

[exip]

最后一句才是重点吧

[haaro]

不能一杆子打死，用过看过不少日本人在 GitHub 上发布的开源库，代码质量架构设计都很优秀

[wenzhoou]

日本有大牛，但是不代表日本的平均 IT 水平。

日本的傲慢体现在以下几个方面：
1. 重管理轻技术。同样很聪明的毕业的新人，到了岗位，一个人会技术能编码，一个人不会技术编不了代码。最终结果，会编码的一直在一线战斗，不会编码的人，管管式样管管人，步步高升。
2. 重流程轻结果。一套瀑布式开发走到黑。其实原型开发是非常好的手段，但是日本人觉得不便于管理弃而不用。不做可行性论证，不做技术调查。认为只要我按书上写的走了流程，结果就应该是对的。
3. 客户至上导致式样扭曲。客户说一不二，假需求错误的需求也不管。有的客户那是真的不懂啊。
4. 运用手腕把作业隔离得太细。一个项目分很多模块，不同的模块不同的人做，review 和测试又是不同的人，维护又是不同的人。每个人的眼界都非常狭窄，而且不愿意插手别人的事情。

还有很多问题，大家可以看出来日本 IT 其实还是传统企业管理的理念。家长式管理导致每个人工作积极性不高。拒绝改进拒绝接受新的做法。

当然这次的问题就体现了这样的一个弊端，软件不是代表一个人的结果，而是一个团体的结果。一个诺大的团队，竟然没有一个人能指出来设计上有这样重大的缺陷，竟然没有一个人和社长提过 2 阶段认证。充分说明这是体制僵化的结果，不是个别人的问题。

和国内的 zz 环境一样，一群思想僵化的老年人想要带领年轻人，只能靠着愚化教育。给年轻人灌输，不要耍聪明，只要老老实实按我说的去做就行了。这才是问题的源头。

[des]

@wenzhoou 让我想起了 ACI 里边有关韩国的那一集，都是形式主义害死人

[fangjinmin]

我的感觉是事情没那么简单。在事件没有调查出结果前，过分猜测是不好的。

[shakoon]

@wenzhoou #31 那中国的软件商在这种情况下大举进入日本市场是否存在可行性呢？感觉商机很多呢

[deorth]

每次看这些霓虹不行了的新闻，我都担心 20 年后的兲朝

[wenzhoou]

@shakoon 可以进。但是现在不是时机。可以观望。因为日本的市场很封闭，一般打不进去，打进去也不讨好。只有当日本做烂了。国内水平超过很多了，他们才会心甘情愿放下姿态跟你走。

[agagega]

@deorth 老龄化社会的问题不光是社会保障。随着老年人比例的增大，整个社会环境都会趋向僵化保守

[mystrylw]

@wenzhoou 就跟智能机在美国中国都火了若干年了，日本 sharp 的「智障翻盖机」还特别热销一样。无现金化也是，7-11 是走的最慢的一个。「 2019 年七月起，7-ELEVEN 的全日本 2 万家门店将全面接受支付宝。至此，日本三大便利店 5 万多家门店都可以支付宝。」技术力可见一斑。

都说是日本人守旧不肯改变，其实更大原因我觉得是既有利益集团不肯变革，既然几十年的老方法能挣钱，为什么要冒风险？源动力都没有就不要推给国民和民族性了吧

[nellace]

出了 bug 立即修复的操作是隐藏它。。。。。。惊了！！

[wenzhoou]

@mystrylw 是啊。你说的很有道理。能过且过是大多数人和团体的切实追求。但是明显这样是落后的根源。人类必须自己刺激自己去改进才行，才能跳出这个坑。不然确实如#35 #37 所说下一个昙花一现的可能是中国。等再过十几年年，你们都成为公司领导者了，你们会给年轻人什么样的福报呢。

[passerbytiny]

做过一小段时间对日外包，日本人重过程到变态，比如代码要逐行评审，比如单元测试把每一个步骤都截图出来供人评审。然而他们却不知道（也有可能是刻意忽略）过程的目的是控制成本和保证结果，所以导致成本暴涨（当然要是没有这个原因也不会有中国的对日外包行业）、过程僵化、结果严重偏离……。

[wenzhoou]

@nellace 是啊。这个操作也太骚了吧。我们之前出问题了，一条 SQL 语句把所有人转账权限都去掉了，然后慢慢搞。隐藏界面这个操作，感觉不是技术人员出的主意啊。

[xsown]

跟 Play Station 的会员系统一样，让人无法理解的、死板而幼稚的逻辑，仿佛能看到背后的公司社员一层又一层的传达指令却无人真正为此系统负责的协作面貌

[wenzhoou]

@passerbytiny 恩。他们把代码评审的活交给第三方。第三方不懂业务，来了很懵比的指摘格式错误，单词拼写错误，文档打印设定错误等等。然后甲方对这个结果很满意。。。

[shooter556]

1 日本人在 IT 行业方面落后的地方有很多，原因是他们不愿意用新的东西，除非出了事情，VB6 照样有用的
2 日本人在处理很多事情的的思路前提是“默认你是好人”，不止是 IT 行业，前提不一样，所以设计的流程风格就不一样
3 关于新闻里出现的中国人不评论，你们都懂的
4 日本人有时为了处理一些流程风险，故意把流程做的很麻烦，但实际并没有消除风险
5 日本人设计的流程很多时候是防君子不防小人

[weer0026]

刚毕业在 IT 日企工作过，后来走就是因为工作太神奇，php,java,ruby,vb 都有，来者不拒啊，不会这个语言怎么办，边学边写，好了磕磕绊绊做完，下个项目又换一个语言。

[jydeng]

重置密码可以发送到新邮箱，这个设计太神奇了，比较好奇怎么通过评审的？

[nanau2016]

呵呵，日本 IT 菜？ Ruby 语言谁写的来着？哦 不对我们也有易语言

[murmur]

日本 IT 技术怎么样不好说，只有日本的手游还在用引继码这种垃圾东西

[murmur]

@weixiangzhe 日本人似乎把开发天赋都点到用特制平台定制的东西上了，典型就是那套电玩游戏级，各种控制板，还有 fpga 貌似

[no1xsyzy]

@wenzhoou #31 > 认为只要我按书上写的走了流程，结果就应该是对的。
我想起了好多产品的宣传说自己符合 ISO 9001 …… 比如电视上羊奶粉广告。
然而 符合 ISO 9001 ≠ 质量好

[lastpass]

日本人确实有些傲慢和不思进取。
我一个朋友在日本外企工作。
突然有一天他跑过来问我 JSP 怎么写。
没错，他们企业强制要求使用 JSP，
是在 jsp 页面里直接嵌入 java 代码那种。
令人窒息。

[FireKey]

这好像和技术没关系,项目完全按照文档执行,没有出 bug.只能怪他们的产品不行

[season4675]

日本的 IT 水平确实不行，至少从同事引述日本同事的话说，水平比不上中国……可能是因为日本 IT 员工地位不高吧~

[KuroNekoFan]

看起来是业务逻辑有问题，最后找俩中国人背锅

[KuroNekoFan]

咦，理解错，看来是两个中国人疯狂撸羊毛被抓了

[eslizn]

你用过日本“最好”的查线路 app 《换乘案内》就知道他们的技术水平如何了

[Jirajine]

楼上几位又开始了？我寻思中国黑产全世界最发达，中国人全世界最“聪明”也是客观事实，是中国人干的也算情理之中，普普通通的一件事，乳到你们的民族荣誉感了？

[jaylee77]

@eslizn 其实用用 line 就知道了，体验差得一批

[loveour]

@weixiangzhe #15 见过日本人写的游戏代码，特别严谨，注释清晰，代码风格统一，不过要说技术多强，那还真未必。

[weixiangzhe]

还是不能同意日本 it 差的说法 难道任天堂 卡普空 科乐美都不是日本人开发吗

[shaojz2005]

《我要准时下班》这部日剧应该比较准确反映了日本 IT 企业的特点，做事特别认真，揪细节，但是比较保守，不会使用太多新技术。

像剧中是以日本第二还是第三大的 IT 外包企业为背景的，从里面少量的工作场景可以看到，他们后端主要使用 wordpress 来进行功能开发，前端倒是很激进，为了动态效果，WebGL 都用上了。然后代码管理用 GIT，也有使用 NPM 工具进行前端工程化，而测试则完全是手工测试。

[a752252255]

@scnace 如果你用过 line 聊天的话。
你会被 line 傻逼逻辑给惊到，先提个典型的：删好友。

[hatsuyuki]

@weixiangzhe 游戏产品和互联网产品是很不一样的

[fox]

在 V2EX 看到哦啦啦啦的推文。。。拜一下

[netlous]

@weixiangzhe 3DS，PSP，switch 不都是像孙子一样的被破解吗，尤其是 switch 短接直接进工程模式简直是匪夷所思……你说的那些公司好，是产品力好，游戏设计好，不代表程序员水平高

[IsaacYoung]

那么 问题来了 有人去日本搞 IT 吗 机遇哟

[strcmp]

没想到文明程度过高也会制约技术发展，
朝鲜指纹识别天朝人脸识别技术牛逼是有原因的

[judeng]

这种服务简直是诱人犯罪啊！

[AndroidEngineer]

说的好像中国没有盗刷一样，你去问问 ZFB 和 VX 的风控部门

[snw]

Line 的体验和微信差不多糟糕。

[Abbeyok]

@AndroidEngineer 典型不看内容就开喷

[so898]

这个帖子没有看到喵神出来讲讲很奇怪，关注一下，期待喵神出现

[VD]

@Jirajine 事实，逻辑，依据

我寻思着很多人都有，就你没有，酸不酸~~

[nikolai]

有点以偏概全了，首先 7-11 在传统行业，不是互联网，办事风格保守很正常，然后笑社长那个，人家不是技术出身没听过也是正常，看看 V 站招聘贴有几个 HR 能说出 H5 全称？

[killerv]

这个问题本质上来说是产品设计问题，并不是程序本身有问题。

[uptime]

JapanURL.com 出售中，你们要组队外包最佳域名了

[alsas]

不开玩笑 日本 IT 就是这么弱

[Dex7er]

很早期很早期的时候，
貌似国内某些网站找回密码也是可以更换邮箱的，
很方便也很弱智。
然后，逐步地一点一点地加难度，
直到今天，
世界上最大的一群 IT 免费 bug 测试群体，
羊毛党成立了。。。

我想也确实是这样，
民众的文明程度严重制约了日本 IT 领域的防御科技的普遍进度。。。

[araragi2222]

V 站上居然有这么多对日企如此了如指掌的朋友。。
突然感觉我们可以搞一个在日程序猿 discord 群啥的，平时互相吐槽一起跳槽。。

[danjk159]

看来没有多少人知道日本软件时世界 it 界的奇葩,属于层层外包,就是网传的千万级项目到毕业生手里几钱块钱类似,不过他们有负责的协议,基本除了负责设计框架和要求给外包,实际不咋干活,当然出问题也要负责

[sujin190]

@shakoon #34 难道不是恰恰相反么，商业成功并不只是技术管理羸弱就是机遇的，恰恰相反，技术管理羸弱恐怕说明的是保守思想盛行，既得利益强大，发展僵化，裙带关系才是保护自己获取利益的最佳方法，所以除非恰巧是变革前曙光这样的时间，否则这样的市场怎么会有机遇，以现在来看，日本还远没到变革的时间吧

[wagsoft]

难道不该感慨信用社会对人的基本信任程度高吗？去过国外的同学大概都有这个感觉，觉得外国人太傻，好多可以钻空子占便宜的地方，就是没人去做。
英国伦敦出国爆炸袭击，按咱们的思路肯定地铁啥的安检要上设备上人马了，但还真没有。也许就是美人稀的原因之一，但那种愿意相信身边的人，愿意以最大的善意来推测人的环境，真的好啊。

[yvescheung]

@wagsoft 有关于钱的东西怎么可能靠对人的信任

[HuasLeung]

display：none 的操作笑死我了

[danmu17]

这件事情的实质是语言作为技术壁垒还是很厉害的，
要不是中国留学生实在太多犯罪率又超高(定罪率并不高)的话，
这样子的漏洞又乖又死脑筋的日本人是永远也不能损失那么惨重的。
个人估计现实中的罪案大概中国人做的比率还是比较低的，毕竟中国人比例还是不高。
但是网络领域的罪案按照我的了解至少 8/9 成都是中国人干的.。。

[StanLx]

神操作

[mystrylw]

@Livid 看了 @danmu17 的回帖和回帖记录，我觉得有必要举报一下。

[Heanes]

@wenzhoou “弱小和无知不是生存的障碍 傲慢才是”，学到了

[nicoljiang]

可能体现出来的问题是，日本做 it 的很少有应付「钻空子的人」的经验？

[tutustream]

友情提醒，看 @danmu17 #86 的过往发言

[sobigfish]

@murmur #49 引继码 不是街机时代的产物么？还在用啊-。-

[momocraft]

日本不少企业是在没网络的时代成长起来的，CEO 可能还在用翻盖手机。软件开发又贵又没人懂，让这样的企业长出个团队来自己开发... 从成本和企业文化上都不现实。

于是外包给大的外包商，然后层层转包，每多一层钱 / 责任 / 信息都少一点，最后实际写的人可能半年前才开始学编程。

日本的另一个传统，说别人（尤其是甲方）不想听的话是一种冒犯。 所以从 711 到最后一层外包可能大家都和和气气，只是做的东西不能用。

不过这次真的烂得比较新奇，肯定不会是最后一例不过...希望有人能吸取教训吧

[WordTian]

大波黑客 50s 后抵达战场

[EIJAM]

@mystrylw 举报啥？凭我曾经在东京工作过三四年的经历，“中国人”确实没有留下什么好名声。刷爆信用卡跑回国的，把租的房子弄的一塌糊涂欠一笔房租跑回国的，都是同胞。直接导致后来者办不下信用卡，租房难。甚至有“最坑中国人的都是中国人”这样的一次次应验的忠告。伤到你们可怜的自尊心了么？

[murmur]

@sobigfish fgo 就是引继码

[feast]

@EIJAM 留学生基本流传的就是陌生国人实际上是最危险的

[lsylsy2]

@feast
@EIJAM
（以下为未证实传言）
有人曾经在各种群内发布“寻找在日留学生代购，给 7pay 的账号密码让代买商品”
据称被抓两人就是这么被坑的，正在尝试寻找上游，但真实性存疑。

[netlous]

不过 5500 万日元看起来大，折合人民币 350 万，相对于 7-11 这么个体量，基本就是薅根毛买教训了

[mystrylw]

@EIJAM 有部分人渣和“中国留学生犯罪率高”以及“网络罪案 8/9 都是中国人”有因果关系吗？结合这两个明显过于主观与无事实依据的暴言，和 po 主其他回复中的发言，我觉得这是一个不友善的讨论者。顺便他后来找到我的 telegram 给我拨了视频电话，可我不是妹子啊摊手