無印良品ネットストア、11月9日に再開を延期　不正ログインで約27万件の情報流出の可能性

良品計画は11月9日、一時停止している「無印良品ネットストア」の再開を延期しました。外部で入手されたIDとパスワードを使う「リスト型攻撃」による不正ログインがあり、約27万件の顧客情報が、購入履歴やポイント情報を含めて流出した可能性が判明しました。再開時期は、必要な対策と確認を終えた後に改めて告知する予定です。

購入履歴・ポイント情報にも流出の可能性

リスト型攻撃は、第三者が入手したIDとパスワードの組み合わせを使い、別のサービスへのログインを試みる手口です。今回は、良品計画以外から入手されたメールアドレスとパスワードが、ネットストアへの不正ログインに使われました。

約27万件について流出した可能性があるのは、メールアドレス、生年月日、性別、会員ID、氏名、住所、電話番号に加え、購入履歴とポイント情報です。また、2020年1月2日から2025年2月10日までに店舗とネットストアで受注した代金引換配送についても、約44万件の配送先氏名と配送先郵便番号に不正アクセスがありました。この配送先情報には、依頼主の情報は含まれていません。

これまでに流出の可能性があるとされた「MUJIアプリ」とネットストアの利用者情報は、退会者を含め最大約2,726万件です。対象の情報には、メールアドレス、生年月日、性別、会員IDが含まれています。

11月10日から個別連絡、再開時は全顧客がパスワード再設定

良品計画は10月30日、を公表しました。11月4日には対象がネットストア会員やクレジットカード「MUJI Card」にも広がり、11月6日にネットストアを一時停止しました。

停止当初は1〜2日以内の再開を見込んでいましたが、さらなる不正アクセスの判明を受け、セキュリティー強化の方針を見直します。対象者には11月10日から、良品計画とカード発行会社のクレディセゾンがメールまたは郵送で順次連絡する予定です。

ネットストアの再開時には、全顧客にパスワードの再設定を求めます。良品計画は、他社サービスとは異なるパスワードの設定を求めています。11月9日時点で、流出した可能性のある情報を悪用した被害は確認されておらず、ネットストアの一時停止に伴う業績への影響は精査中です。

MUJI Cardの全桁のカード番号も対象

11月4日時点では、2021年7月までにMUJI Cardへ入会した顧客について、全桁のカード番号、MUJI Card ID、生年月日に外部からアクセスされた可能性が判明していました。対象は約109万件で、このうち当時有効だったカードは約34.5万件、残りは失効または解約済みのカードでした。

この情報にカード名義、有効期限、セキュリティコードは含まれていません。このほか、MUJIアプリやネットストアでカード情報を登録した顧客の約120件については、カード番号の先頭6桁と下2桁、カード名義に外部からアクセスされた可能性がありました。

良品計画は、2021年7月以前に独自の特典を付与するため取得していたMUJI Cardのカード番号などが、社内システムに残っていたことを確認しました。クレディセゾンは、MUJI Cardの不正利用に関する監視を強化しています。

パスワードの使い分けと追加認証で異なる防御

再開時に求められるパスワードの使い分けは、リスト型攻撃への対策です。サービスごとに異なるパスワードを設定すると、他のサービスから流出したIDとパスワードの組み合わせによる不正ログインの防止につながります。実際に使われていた認証情報を利用する攻撃のため、パスワードを複雑にするだけでは、使い回しによる攻撃を防げません。

多要素認証は、パスワードなどの知識に、端末などの持ち物や指紋などの身体的特徴という異なる種類の要素を組み合わせる仕組みです。追加の認証要素を求めることで、攻撃者が入手したIDとパスワードだけによるログインを防ぎます。パスキーはパスワードを使わない認証方式で、リスト型攻撃や、偽のサイトへ誘導して認証情報を盗むフィッシングへの耐性があります。

今回の流出対象に含まれる氏名や電話番号などは、偽メール、偽のショートメッセージ（SMS）、詐欺電話などに悪用される可能性があります。偽メールの文面に本人の氏名が記載される場合もあります。フィッシングの手口には、宅配会社の不在通知や通販会社の未払い通知を装い、リンク先で個人情報や認証情報を入力させるものがあります。

良品計画は、メールや電話でクレジットカード情報を尋ねることはないとしています。