[ITmedia News] 無印良品「21年までクレカ番号で顧客を識別していた」 “全ケタ保有＆漏えい“巡り謝罪 削除漏れなぜ発生

著者 梅林日奈子

[ITmedia]

　「無印良品」を展開する良品計画（東京都文京区）は11月12日、不正アクセスによる顧客情報の流出について記者会見を開き、清水智社長らが謝罪した。過去に取得したクレジットカード番号の全桁を削除せず保管していた問題について「データの運用管理に不備があった。私どもの落ち度」と説明した。

　同社は10月30日、公式アプリ「MUJIアプリ」などの顧客情報最大約2726万件に、外部から不正アクセスがあった可能性を公表した。当初はクレジットカード情報を対象外としていたが、11月4日には、2000年10月から21年7月までの間にクレジットカード「MUJI Card」に入会した顧客約109万件のカード番号全桁なども、外部からアクセスされた可能性があると発表した。

　11月4日の発表によると、カード番号はMUJI Card会員に独自の特典を付与する目的で取得していた。同社は21年7月、特典付与に使う同システムを変更し、カード番号の連携を終了。しかし、変更前に取得したカード番号の一部を削除せずに保管していた。

　会見では、カード番号の全桁を保有していた理由と併せて、保有そのものの必要性について質問が相次いだ。同社は「2021年7月まではカード番号を顧客の識別に利用していた」と回答。さらに、保管時にはカード番号のマスキングや暗号化を行っていなかったという。

　本来削除すべき情報が残っていた理由については「意図的に保管し続けたものではなく、データを運用管理するオペレーションに不適切な部分があった」と説明。一方、削除漏れが人為的なミスによるものか、システム上の問題によるものかは特定できておらず、引き続き調査するという。

　カード番号の保有が法令違反に当たるのではないかとの質問も出た。2018年6月施行の改正割賦販売法は、クレジットカードサービスの加盟店に対し、原則としてカード情報の非保持化か、国際的なセキュリティ基準「PCI DSS」に準拠した管理を求めている。同社は「非保持化については、当時から認識している」としつつ、「法律に抵触していたか否かは、現在確認をしている状況」と回答した。

発表タイミングに「良品週間」の影響はあったのか

　クレジットカード情報の流出可能性を公表した時期（11月4日）が、セール「無印良品週間」の終了時期と重なったことについても質問が出た。無印良品週間は、店舗では10月23日から11月3日まで、無印良品ネットストアでは11月4日午前10時まで実施していた。

　発表時期について同社は「良品週間を意識したものではまったくない」と回答。清水社長は、カード情報の影響範囲の特定には他社への確認などが必要で、事実の整理に時間がかかったと説明した。そのうえで、最短のタイミングで発表したとの認識を示した。

　不正アクセスの手法についても説明した。同社は11月9日、無印良品ネットストアに対し、第三者が外部で不正に入手した可能性のあるIDやパスワードを使ってログインを繰り返し試みる「リスト型攻撃」があったと公表していた。

　会見では、同ネットストアには複数のIPアドレスから長期間にわたり大量のログイン試行があったと説明。リスト型攻撃と判断した根拠については、試行回数とそれに対する失敗件数が「そう判断するに十分な量」に上っていたとした。なお、クレジットカード情報へのアクセスにつながった攻撃は、リスト型攻撃とは異なるという。

　調査では、共通する要素を持つ複数の不正アクセスを検知したものの、攻撃のパターンが多岐にわたっていたことから、全容の把握に時間を要したとしている。同社は引き続き原因を調べ、情報管理体制の見直しやセキュリティ対策の強化を進めるとしている。併せて、対象となったカードの再発行に伴う手数料を全額負担する方針も示した。