TopicBase
良品計画のシステムが10月29日に不正アクセスを受け、提携クレジットカード「MUJI Card」の番号を含む約109万件の情報が外部から閲覧された可能性があります。カード番号は、2021年のシステム変更時に削除すべきところ、16桁すべてが保護処理をされないまま保存されていました。
良品計画は会見を開き、清水智社長が情報流出の可能性やデータが残っていたこと、無印良品ネットストアの停止が長引いていることについて謝罪しました。流出の恐れがあるMUJI Card情報のうち、現在も有効なカードは約34万5000件です。
削除されずに残ったカード番号
対象は、2021年7月までにMUJI Cardに入会した顧客のカード番号、カードに記載された無印良品メンバーのIDであるMUJI Card ID、生年月日です。カード名義、有効期限、セキュリティコードは対象に含まれません。
MUJI Cardは、良品計画とクレディセゾンの提携カードです。独自の特典を付与するため、かつては顧客の識別にカード番号が使われ、クレディセゾンから良品計画に番号が提供されていました。
2021年7月のシステム変更で識別方法は切り替わりましたが、取得済みの情報は良品計画のシステムに残っていました。カード番号には、一部を伏せるマスキングなどの保護処理がされていませんでした。
良品計画は、データの運用・管理が徹底できていなかったことを認め、人為的なミスかシステム上の問題かを含めて原因を調査しています。カード番号を含むデータへのアクセスは11月1日深夜に検知され、対象となる情報への追加は11月4日に公表されました。
アプリやネットストアの利用者情報にも影響
MUJIアプリと無印良品ネットストアの利用者については、メールアドレス、生年月日、性別、会員IDの約2726万件が外部からアクセスされた可能性があります。アプリを使っていないネットストア利用者や退会者の情報も含まれます。
アプリまたはネットストアにカード情報を登録した利用者の約120件については、カード番号の先頭6桁と下2桁、カード名義がアクセスされた可能性があります。無印良品の店舗とネットストアで、2020年1月2日から2025年2月10日までに受注した代金引換配送の受取先についても、配送先氏名と郵便番号の約44万件が対象です。
ネットストアでは、外部で入手された可能性のあるIDやパスワードを使って多数のログインを試みる「リスト型攻撃」も行われ、不正ログインによって約27万件の購入履歴やポイントなどが閲覧された可能性があります。
ネットストアの再開を延期、カードは再発行に対応
11月6日から一時停止しているネットストアは、追加のセキュリティ対策と確認のため、。再開時には、全顧客にパスワードの再設定を求める方向で準備が進められています。
対象者には、良品計画またはクレディセゾンからメールか郵送で順次連絡します。MUJI Cardの再発行は、クレディセゾンの「Netアンサー」や「セゾンPortal」から申し込め、手数料は良品計画が全額負担します。
クレディセゾンはカードの利用状況の監視を強化しています。良品計画は会見時点で実害は確認されていないとし、今後被害が判明した場合は個別に対応し、補償する方針を示しました。
