良品計画がMUJI Cardのカード番号約109万件に外部アクセスの可能性と第二報で公表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 良品計画がMUJI Cardのカード番号約109万件に外部アクセスの可能性と第二報で公表
             

良品計画がMUJI Cardのカード番号約109万件に外部アクセスの可能性と第二報で公表



良品計画は11月4日、MUJIアプリの顧客情報流出の可能性について第二報を公表し、クレディセゾン発行のMUJI Cardのカード番号（全桁）約109万件が外部からアクセスされた可能性があると発表した。10月30日の第一報ではクレジットカード情報は含まれないとしていたため、説明の範囲が大きく広がった。

概要

良品計画のシステムが第三者から不正アクセスを受け、顧客情報の一部が外部からアクセスされた可能性がある。第二報では、ネットストアの利用者（アプリ未利用者を含む）も対象に含まれることがわかった。一部の利用者は氏名、住所、電話番号も含まれる。

良品計画は、2021年7月以前にMUJI Card会員向けの独自特典を付与する目的で取得したカード番号などが、同社のシステム上に残っていたことを確認したとしている。侵入経路や原因は、発表された範囲では明らかにされていない。

良品計画とクレディセゾンの発表によると、時系列は次のとおり。

10月29日午前1時ごろ、良品計画のシステムに第三者による不正アクセスが発生した。

10月30日、良品計画がMUJIアプリ利用者の情報流出の可能性を公表した。対象は最大約2,726万件で、メールアドレス、生年月日、性別とされた。

11月2日、良品計画は、カード番号も対象になった可能性があるとクレディセゾンに報告した。

11月4日、良品計画が第二報を公表した。クレディセゾンも同日、お知らせを掲載した。

クレディセゾンは、本件は良品計画のシステムへの不正アクセスによるもので、同社のシステムへの不正アクセスや同社システムからの情報流出は確認されていないとしている。

被害・影響の範囲

MUJI Cardでは、2021年7月までに入会した顧客のカード番号全桁、MUJI Card ID、生年月日の約109万件が対象となった。このうち現在も利用できるカードは約34万5000件、解約や有効期限切れなどで利用できないカードは約74万5000件。2021年8月以降に発行されたカードは対象外とされる。

カード名義、有効期限、セキュリティコードは含まれていない。一部の会員については、氏名、住所、電話番号、性別、メールアドレスも含まれる。

このほか、MUJIアプリや無印良品ネットストアにクレジットカード情報を登録していた約120件分も、外部からアクセスされた可能性がある。対象はカード番号の先頭6桁と末尾2桁、カード名義。

最大約2,726万件の対象には、メールアドレス、生年月日、性別、会員IDが含まれ、約52万件は氏名・住所・電話番号にも外部からアクセスされた可能性がある。

二次被害について、11月4日の発表時点で、ダークウェブ等への情報流出や情報を悪用した被害は確認されていない。クレディセゾンも不正利用の増加は確認していないとしている。

なお、良品計画は11月2日、オーダーカーテンを注文した顧客1万9933件の情報が流出した可能性があるとも発表している。これは委託先のMNインターファッションの委託先の管理サーバーで確認された不正アクセスによるもので、今回のMUJIアプリの件とは別の事案として公表されている。

企業・団体の対応

良品計画は、お客さま情報の流出可能性についておわびと追加の案内を公表した。外部からの不正アクセスを遮断し、ほかのシステムへの影響についても監視を継続している。原因と影響範囲の特定は引き続き進めるとしている。

対象者には、良品計画がメールか郵送で順次連絡する。連絡先を把握していないMUJI Card会員には、クレディセゾンが連絡する。

利用者への注意喚起として、クレジットカードの利用明細を確認し、身に覚えのない利用があればクレディセゾンに問い合わせるよう呼びかけている。良品計画はメールや電話でカード情報を尋ねることはないと説明している。

クレディセゾンは不正利用の監視を強化しており、希望者はカードの再発行を申し込める。警察や個人情報保護委員会への届出については、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、第一報で対象外としていた情報が、追加調査で対象に含まれると判明した。不要になった顧客情報が長期間システムに残っていたことも、影響を広げた要因の一つといえる。読者企業は、保有データの範囲と保存期間を点検し、初報の段階から説明の前提を慎重に確認する必要がある。

保有データの棚卸し
目的を終えた個人情報やカード情報が残っていないか、システムごとに洗い出す。連携を停止した時点で、過去に取得したデータの削除要否も確認する。

提携先との連携履歴の確認
カード会社などの提携先から受領したデータの項目と、現在の保管場所を一覧にする。連携終了後の削除ルールを契約や運用手順に明記し、実際に削除されているかを定期的に確認する。

調査範囲の見直しと初報の表現
初報では、確認済みの事実と調査中の範囲を分けて書く。退会者や旧システム、関連サービスまで調査対象に含め、「含まれない」と断定する表現は避ける。

フィッシング対策
流出の可能性がある情報を悪用した、なりすましメールやSMSが送られる恐れがある。自社の連絡手段と、カード情報を尋ねないという方針を顧客へ明示し、不審な連絡の通報窓口も案内する。

顧客への情報提供
対象者への個別連絡に加え、公式サイトで対象範囲、含まれる情報、問い合わせ先を更新し続ける。カード会社が関わる場合は、再発行や補償の案内を共同で行えるよう、事前に連絡体制を決めておく。

なお、不正アクセスの原因と侵入経路、影響範囲の最終的な確定は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。