良品計画は10月30日、公式アプリ「MUJIアプリ」で、メールアドレス、生年月日、性別が外部に流出した可能性があると発表した。対象は退会者の情報を含む最大約2,726万件で、規模の大きさが注目される。

概要

良品計画は、無印良品の公式アプリ「MUJIアプリ」で保有する顧客情報の一部が外部に流出した可能性があると公表した。外部からの不正なアクセスを検知し、アクセスの遮断と修正の適用を行ったとしている。

良品計画の発表によると、時系列は次のとおり。

10月30日、同社は公式サイトで、MUJIアプリのお客さま情報が流出した可能性について公表した。

原因や経緯などの詳細は明らかにされていない。不正アクセスを検知した日時や、侵入経路も公表されていない。委託先など関係する組織による発表は、確認できなかった。

被害・影響の範囲

流出した可能性がある情報は、メールアドレス、生年月日、性別の3項目である。クレジットカード情報、氏名、住所、電話番号は含まれないとしている。

対象件数は最大約2,726万件で、退会したお客さまの情報を含む。この数字は流出の可能性がある件数の上限である。実際に外部へ渡った件数は、公表されていない。

現時点では、ダークウェブ等への情報流出や、情報を悪用した被害は確認されていないという。他の組織への影響は、発表では触れられていない。

企業・団体の対応

良品計画は公式サイトで「お客さまをはじめ、関係する皆様にご心配をおかけしますことを、深くお詫び申し上げます」と謝罪した。

今後、情報を悪用したなりすましメールが発生する可能性があると注意を呼びかけた。メールに記載されたURLをクリックしたり、個人情報を入力したりしないよう求めている。対象の顧客には順次連絡する。

MUJIアプリと無印良品ネットストアは通常どおり利用できる。今後は関係会社の協力のもと、セキュリティ対策と監視体制をさらに強化するとしている。警察や個人情報保護委員会への届け出は、確認した発表では触れられていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、氏名や住所が含まれなくても、大量のメールアドレスと生年月日の組み合わせが流出の対象となった。さらに、退会者の情報まで保有され続けていた点は、自社の運用を見直す手がかりになる。ここでは、自社で確認すべき点を整理する。

退会者データの保管方針を確認する
退会したユーザーの情報を、どの項目まで、いつまで保有しているかを棚卸しする。利用目的がなくなった情報は、削除や匿名化の基準を定めて実行する。

取得項目の必要性を見直す
メールアドレス、生年月日、性別は、組み合わせるとなりすましや詐欺の材料になりうる。サービスの提供に不要な項目は取得しない、または保管しない運用を検討する。

アプリと関連システムの点検
自社のアプリが利用するサーバーやAPIについて、アクセス制御と認証の設定を点検する。ログの保管期間と監視の範囲も確認し、不審なアクセスを早期に検知できる状態にしておく。

フィッシング対策を強化する
流出が公表されると、企業を装った偽メールが出回る恐れがある。自社の正規メールの送信ドメイン認証を整え、メール内のリンクの扱いについて顧客に周知しておく。

顧客への情報提供を準備する
流出の可能性が判明した時点で、対象者に連絡する手順と文面を用意しておく。公式サイトには、流出した項目と含まれない項目、注意すべき点を分かりやすく掲載する。

なお、原因と経緯、実際に流出した件数は現在調査中とされている。今後の続報に注意されたい。

出典

• 良品計画 公式発表
• 日本経済新聞
• INTERNET Watch
• 共同通信（Yahoo!ニュース）
• FASHIONSNAP

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから