良品計画が会見で陳謝、クレカ番号を加工せず保管し不正アクセスで流出の可能性｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 良品計画が会見で陳謝、クレカ番号を加工せず保管し不正アクセスで流出の可能性
             

良品計画が会見で陳謝、クレカ番号を加工せず保管し不正アクセスで流出の可能性



良品計画は11月12日、東京都内で記者会見を開き、不正アクセスによる顧客情報流出の問題で清水智社長が陳謝したと発表した。全桁のクレジットカード番号を隠す処理をしないまま保管していたことが明らかになり、ネットストアの再開のめどは立っていない。

概要

無印良品を展開する良品計画は、社内システムへの不正アクセスについて会見を開いた。MUJIアプリとネットストアの利用者、クレディセゾン発行のMUJI Card会員の情報が流出した可能性があるとしている。原因について、清水社長はシステムの一部に脆弱性があったためと述べた。侵入経路の詳細は、確認できた公式発表には記載がない。

良品計画の発表によると、時系列は次のとおり。

クレディセゾンによると、不正アクセスの発生は10月29日の午前1時ごろとされる。

10月30日、MUJIアプリの利用者情報の一部が外部に流出した可能性があるとして、第一報を公開した。

11月2日、オーダーカーテン業務の委託先が利用するサーバーへの不正アクセスで、顧客情報の一部が流出した可能性があると発表した。

11月4日の第二報では、第一報で含まれないとしたカード情報や氏名、住所にも、外部からアクセスされた可能性があると公表した。影響はネットストア会員にも広がった。

11月9日の第四報では、11月6日16時から一時停止しているネットストアの再開延期を発表した。リスト型攻撃と、代金引換配送の受取先への不正アクセスも新たに明らかにした。

委託先については、同社はオーダーカーテン業務をMNインターファッションに委託している。同社はシステム関連業務をナノテックに委託しており、不正アクセスが確認されたのはナノテックが管理するサーバーとされる。

被害・影響の範囲

第一報で示した流出の可能性がある情報は、メールアドレス、生年月日、性別で、最大約2,726万件（退会者を含む）。その後の調査で、MUJI Card会員約109万件のカード番号全桁、MUJI Card ID、生年月日が含まれる可能性があると分かった。対象は2021年7月以前に入会した会員とされる。

アプリやネットストアに登録されたカード情報は約120件で、カード番号の先頭6桁と下2桁、カード名義が含まれる可能性がある。有効期限とセキュリティコードは含まれないとしている。

リスト型攻撃による不正ログインの可能性があるのは約27万件。氏名、住所、電話番号を含む情報は、報道によれば52万件程度から75万件程度に見直された。代金引換配送の受取先は約44万件が侵害された可能性があると報じられている。オーダーカーテンの件は1万9,933件で、重複を含む。

11月4日時点で、ダークウェブなどへの流出や悪用被害は確認されていない。11月12日時点の被害状況は、確認できた範囲では公表されていない。

企業・団体の対応

清水社長は会見で、必要のない情報を持たない仕組みづくりを進めていると述べた。良品計画はカードの再発行手数料を負担し、不正利用があった場合は補償する方針を示した。

MUJI Cardの番号は、2021年7月までに取得をやめ、収集済みの番号を削除する運用に変更していたが、その後も破棄していなかった。データ保管が意図的だったかどうかは、調査が続いている。

対象の顧客には11月10日から、良品計画とクレディセゾンがメールまたは郵送で順次連絡している。利用明細の確認と、不審なメールや電話への注意も呼びかけている。サービス再開時には、全利用者にパスワードの再設定を求める。警察や個人情報保護委員会への届出は、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、不要になった個人情報やカード番号が残っていたことで、影響範囲が広がった点が特徴である。数年前の運用変更が、システム上で実際に反映されているかを確認する必要がある。また、不正アクセスの後にリスト型攻撃が判明したように、被害は段階的に広がり得る。

保有データの棚卸し
カード番号や退会者情報など、現在の業務に不要なデータが残っていないか、システムごとに洗い出す。保存の要否と期間を決め、削除や加工が確実に実行されたかを定期的に検証する。

カード情報の保持方針の確認
全桁のカード番号を自社で持つ必然性があるかを見直す。トークン化や決済代行事業者への委託など、自社で保持しない方式を検討する。

リスト型攻撃への備え
ログイン試行の監視、多要素認証、同一IPからの大量試行の制限を導入する。利用者には、パスワードを使い回さないよう案内する。

委託先管理の見直し
委託先や再委託先が扱う個人情報の範囲と保管場所を把握する。事故発生時の報告期限や、ログの提出方法を契約で定めておく。

顧客への情報提供
調査の進行に合わせて、判明した事実を速やかに更新する。当初の説明から範囲が変わった場合は、変更点と理由を明記して告知する。

なお、原因の詳細、被害の有無、ネットストアの再開時期は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。