無印良品のアプリ・ネットストアで最大2726万件流出の恐れ

良品計画は11月4日、MUJIアプリとネットストアへの不正アクセスで、クレジットカード番号が漏れた可能性があると発表しました。

何が起きたのか

クレディセゾンによると、不正アクセスは10月29日の午前1時ごろに始まりました。良品計画は10月30日に侵入に気づいて通信を止め、同日の第一報でアプリ利用者の情報が漏れた恐れを公表しました。このときは、カード情報や住所、電話番号は含まれないと説明していました。

11月4日の第二報で、対象はアプリを使わないネットストア会員にも広がり、カード情報も含まれると訂正しました。流通ニュースは「当初は否定していた」と伝えています。11月4日時点で、ダークウェブなどへの流出や悪用は確認されていません。

漏れた恐れのある情報

全体で最大約2726万件です。メールアドレス、生年月日、性別、会員IDが含まれます。このうち約52万件は、氏名・住所・電話番号も見られる状態でした。

MUJI Cardは、2021年7月までに入会した会員の最大約109万件で、カード番号の全桁、MUJI Card ID、生年月日が対象です。いま有効なカードは約34万5000件で、残りは期限切れか解約済みです。氏名、有効期限、セキュリティコードは含まれません。

アプリやネットストアにカードを登録した約120件では、カード番号の先頭6桁と末尾2桁、名義人名が対象です。有効期限とセキュリティコードは含まれません。2021年8月以降に発行されたMUJI Cardは対象外です。

カード番号が残っていた理由

INTERNET Watchによると、クレディセゾンは2000年10月から2021年7月まで、ポイントを付けるためにカード情報を良品計画へ送っていました。いまはカード番号を共有する仕組みではありません。古いデータが良品計画の側に残っていた形です。不正アクセスの原因は、まだ明らかにされていません。

連絡と問い合わせ先

対象の人には、良品計画がメールか郵送で順に連絡します。連絡先がわからないMUJI Card会員には、クレディセゾンが直接知らせます。カードの再発行を希望する人は、クレディセゾンに申し出ます。

良品計画のお客様窓口は、フリーダイヤル0120-64-0772です。受付は毎日9:30〜17:00で、12月26日までです。2027年1月4日からは月〜土曜のみになります。会社は、メールや電話でカード情報を聞くことはないと説明しています。

別件のカーテン注文も

ネットショップ担当者フォーラムによると、良品計画は11月2日、オーダーカーテンを請け負う委託先のサーバーでも情報漏えいの恐れがあると発表しています。2018年4月10日から2022年1月25日までの注文約1万9933件（重複を含む）で、氏名、住所、電話番号、注文内容が対象です。カード情報とメールアドレスは含まれません。