「無印良品」が深刻な追加発表　顧客情報流出でクレジットカード情報も対象に

「無印良品」を展開する良品計画は11月4日、公式アプリ「MUJIアプリ」と無印良品ネットストアにおける顧客情報流出の可能性について、第二報を発表した。新たに、クレディセゾンが発行するクレジットカード「MUJI Card」のカード番号全桁など、約109万件の情報が外部からアクセスされた可能性があることが判明した。また、アプリやネットストアにクレジットカード情報を登録した利用者の一部についても、カード情報がアクセスされた可能性があるという。

良品計画は10月30日の第一報で、メールアドレス、生年月日、性別などが流出した可能性を公表していた。今回の追加調査により、対象者には「MUJIアプリ」を利用していない無印良品ネットストアの会員も含まれることが判明。退会者を含む最大約2726万件について、メールアドレス、生年月日、性別、会員IDが対象となる可能性がある。さらに、このうち約52万件については、氏名、住所、電話番号も含まれているという。

クレジットカード情報については、3つの対象区分が公表された。まず、クレディセゾンが発行する「MUJI Card」の会員のうち、2021年7月までに入会した利用者については、カード番号全桁、MUJI Card ID、生年月日が対象となる可能性があり、その件数は約109万件。このうち、現時点で有効なカードは約34万5000件で、残りは失効・解約済みのカードだという。なお、カード名義、有効期限、セキュリティコードは含まれていない。

次に、「MUJIアプリ」または無印良品ネットストアにクレジットカード情報を登録した利用者については、カード番号の先頭6桁と下2桁、カード名義が約120件で対象となる可能性がある。有効期限とセキュリティコードは含まれていない。

良品計画によると、2021年7月以前は、独自の特典を付与するために「MUJI Card」のカード番号とMUJI Card ID、生年月日を取得しており、その情報が同社のシステム上に残っていたことを確認した。また、現時点で有効な「MUJI Card」約34万5000件のうち約16万8000件については、メールアドレス、生年月日、性別、会員IDも社内システム上で閲覧可能な状態にあり、そのうち約2万5000件については、氏名、住所、電話番号も閲覧可能な状態だったという。

対象となる利用者には、良品計画からメールまたは郵送で順次個別に連絡する。「MUJI Card」会員のうち、同社が連絡先を把握していない利用者には、クレディセゾンから連絡する。

良品計画は対象者に対し、クレジットカードの利用明細を確認し、身に覚えのない利用があった場合はカード発行会社のクレディセゾンに問い合わせるよう呼びかけている。また、同社やカード会社を装った不審なメールや電話への注意も促しており、メールや電話でクレジットカード情報を尋ねることはないとしている。「MUJI Card」については、クレディセゾンが不正利用に対するモニタリングを強化している。

現在、良品計画は外部からの不正アクセスを遮断し、ほかのシステムへの影響も含めてモニタリングを強化・継続している。「MUJIアプリ」と無印良品ネットストアは通常どおり利用できるという。なお、発表時点で、ダークウェブなどへの情報流出や、情報を悪用した被害は確認されていない。同社は引き続き原因と影響範囲の特定を進め、新たな事実が判明した場合は速やかに公表するとしている。