無印良品の不正アクセス、クレジットカード番号109万件も全桁閲覧された可能性

Image by: FASHIONSNAP

　「無印良品」を運営する良品計画が11月4日、公式アプリ「MUJI アプリ」における顧客情報流出の可能性について、追加の調査結果を発表した。10月30日の第一報では、最大約2726万件の顧客情報が流出した可能性があると公表していたが、今回の調査で、アプリを利用していないネットストア会員も対象に含まれることや、一部の顧客の氏名、住所、電話番号も外部からアクセスされた可能性があることが判明。さらに、クレジットカード「MUJI Card」のカード番号約109万件についても、全桁が外部からアクセスされた可能性があることが分かった。

ADVERTISING

　同社によると、MUJI アプリおよび無印良品ネットストアの利用者について、メールアドレス、生年月日、性別、会員IDの最大約2726万件が外部からアクセスされた可能性がある。このうち約52万件には氏名、住所、電話番号も含まれていた。対象には退会済みの会員も含まれる。

　また、クレディセゾンが発行するクレジットカード「MUJI Card」の会員情報約109万件について、カード番号の全桁、MUJI Card ID、生年月日が外部からアクセスされた可能性があることも判明した。対象は2021年7月までに入会した会員で、約109万件のうち現在も有効なカードは約34万5000件。カード名義、有効期限、セキュリティコードは含まれていないという。

　同社のシステム上では、有効なカード約34万5000件のうち約16万8000件について、メールアドレス、生年月日、性別、会員IDと併せて閲覧できる状態だった。さらに、その約16万8000件のうち約2万5000件は、氏名、住所、電話番号とも併せて閲覧できる状態だったという。

　このほか、MUJI アプリまたはネットストアにクレジットカード情報を登録した顧客約120件についても、カード番号の先頭6桁と末尾2桁、カード名義が外部からアクセスされた可能性がある。これらの情報は、氏名、住所、電話番号などと併せて閲覧できる状態だった。有効期限とセキュリティコードは含まれていない。

　良品計画は、2021年7月以前にMUJI Card会員向けの独自特典を付与する目的で取得したカード番号、MUJI Card ID、生年月日が、同社のシステム上に残っていたことを確認したとしている。

　対象者にはメールまたは郵送で順次個別に連絡する。良品計画が連絡先を把握していないMUJI Card会員については、クレディセゾンが連絡する。クレディセゾンはMUJI Cardの不正利用に関するモニタリングを強化しており、希望する会員は同社に連絡してカードの再発行を依頼できる。

　良品計画は、利用者に対してカードの利用明細を確認し、身に覚えのない利用があった場合はクレディセゾンに問い合わせるよう呼びかけている。また、同社やカード会社を装った不審なメールや電話への注意を促し、メールや電話でクレジットカード情報を尋ねることはないと説明している。

　現在は外部からの不正アクセスを遮断しており、当該システム以外への影響についてもモニタリングを強化・継続している。MUJI アプリとネットストアは通常通り利用できる。11月4日時点で、ダークウェブなどへの顧客情報の流出や、情報を悪用した被害は確認されていないという。同社は引き続き原因と影響範囲を調査する。