[ITmedia ビジネスオンライン] 無印良品、クレカ番号「暗号化せず保持」なぜ起きた？ 清水社長ら、悔恨の「おわびと約束」

　「破棄してしかるべきクレジットカード番号が残っていた」「クレカ番号を暗号化していなかった」「MUJI Card保有者に特典を付与するため、その識別にクレカ番号を利用していた」――良品計画が11月12日に開いた記者会見で、こうした事実が明らかになった。

　「無印良品」の公式アプリやECサイトに対する不正アクセスによって、クレジットカード『MUJI Card』のカード番号全桁など約109万件などが漏えいした可能性がある。同社はクレジットカード情報を安全に保管する仕組みやルールを整えていたが、その対策が実行されていなかった。

　良品計画の清水智社長は「事業の成長に伴ってガバナンス体制を構築すべきという認識だ。2024年の社長就任以来、そこに集中して経営してきたつもりだ。しかし、十分でなかったと痛切に反省している。至らなかった」と述べた。

　同社には、社内データを扱うルールや、社内統制を担う「コンプライアンス・リスク管理委員会」が整備されていた。しかし、それらが機能せず、大きなセキュリティインシデントを招いてしまった。

　記者会見では、良品計画のガバナンス体制を問う質問が相次いだ。同社経営陣が対応した質疑応答の一部を抜粋して紹介する。

記者会見の冒頭でおわびを述べる良品計画の清水智社長（撮影：編集部）

「方針を掲げるだけに」　セキュリティ管理体制の課題は

　質疑応答は、次の4人が対応した。

• 清水智社長
• 高橋広隆氏（上席執行役員 管理部門全般 管掌）
• 宮澤高浩氏（上席執行役員 EC部・ITサービス部 管掌）
• 林知果氏（執行役員 ITサービス部 管掌）

記者会見に登壇した良品計画の経営陣。左から林知果氏、宮澤高浩氏、清水智社長、高橋広隆氏（撮影：編集部）

――良品計画は、どのような情報セキュリティマネジメント体制を構築しているのか。

高橋氏　情報セキュリティや個人情報保護に関する運用方針がある。今回の事象を鑑みると、これが徹底されていなかった。方針を掲げるだけになってしまったという強い反省がある。

　課題認識はだいぶ前からあった。8月から、私がレポートラインのトップとして情報セキュリティと個人情報に関する内容を預かっている。その中で、こうしたインシデントを起こしてしまったことはおわびするしかない。

　しかし今回のことで多くのことが分かってきた。われわれに足りなかったものについて、深く反省する。改善策は見えているため、自分たちだけの対応による自己満足にとどまらず、第三者の知見を多く取り入れながら、ガバナンス強化にまい進する。

――不正アクセスを検知した後は、どのようなプロセスで意思決定したのか。

清水社長　社内の組織、仕組みで対応するに当たり、私にも情報が入ってくる。今回のインシデント発生時は海外にいて時差もあったが、情報はしっかり届いている。経緯を把握した上で、私が最終決定している。

高橋氏　当社には「危機対策本部」の設置基準がある。今回は間違いなく該当するとして、不正アクセスを検知した10月29日に緊急で同本部を設置した。1日2～3回、アップデート情報を全社で確認する取り組みを現在も続けている。

――2025年に、アスクルへのサイバー攻撃によってECサイト「無印良品ネットストア」が停止する事態があった。この1年で取り組んできたことは何か。

宮澤氏　アスクルへのサイバー攻撃によるネットストア停止を機に「われわれもセキュリティ対策を強化しなければならない」ということで、セキュリティチームを新たに設置した。第三者機関によるセキュリティテストを実施し「アクセスの制限」「不備の是正」など強化してきた。しかし、是正し切れなかった脆弱（ぜいじゃく）性によって今回不正アクセスが起きてしまった。

――これまで第三者の知見を取り入れた対策をしていたのか。

高橋氏　第三者による検証は、内部統制報告制度（J-SOX）に準じた監査を受け、指摘事項があれば即座に直してきた。また「アスクル以降」、システムの調査や診断などを第三者に依頼し、できる範囲で対応してきた。

　しかし、結果として「足りなかった」と言わざるを得ない。昨今、社会全体を揺るがしている不正アクセスの最新の対応方法について、われわれの知見が追い付いていないと認めざるを得ない。そこに追い付くべく、全社を挙げて対応したい。