良品計画は11月4日、無印良品の公式アプリ「MUJIアプリ」をめぐる情報流出の可能性について第二報を公表し、クレディセゾンが発行する「MUJI Card」約109万件のカード番号（全桁）と生年月日にも、外部からアクセスされた可能性があると明らかにした。10月30日の第一報は「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」と説明しており、5日後に範囲を広げた形だ。良品計画は現時点で情報の悪用による被害を確認しておらず、クレディセゾンも不正利用の増加は確認していない。

対象は3つの区分に分かれる

第二報は、対象者を3つに分けて件数を示した。読み違えやすいのは、区分によってカード番号の桁数が違う点である。全桁が対象になるのは②のMUJI Card会員で、③は番号の一部にとどまる。

区分 対象者 アクセスされた可能性のある情報 件数
① MUJIアプリと無印良品ネットストアの利用者（退会者を含む） メールアドレス、生年月日、性別、会員ID 最大約2726万件
①の一部 同上 上記に加えて氏名、住所、電話番号 約52万件（現時点）
② MUJI Card会員（2021年7月までの入会者） カード番号（全桁）、MUJI Card ID、生年月日 約109万件
③ アプリまたはネットストアにカード情報を登録した利用者 カード番号の先頭6桁と下2桁、カード名義 約120件
外部からアクセスされた可能性のある対象者と情報

出典: 良品計画「お客さま情報流出の可能性について（第二報）」

②には、カード名義、有効期限、セキュリティコードは含まれない。③にも有効期限とセキュリティコードは含まれないが、カード名義は対象になる。②の約109万件のうち、いま使えるカードは約34.5万件で、残る約74.5万件は解約や有効期限切れで使えない。

区分どうしの重なりもある。良品計画によると、有効なカード約34.5万件のうち約16.8万件は、社内のシステム上で①のメールアドレスなどと閲覧が可能な状態だった。このうち約2.5万件は、氏名、住所、電話番号とも閲覧が可能だった。③の約120件も、氏名などと閲覧が可能な状態だったという。カード番号と本人の連絡先が同時に見られる状態にあった会員が一部にいたことになる。

第一報から5日で何が変わったか

クレディセゾンの説明によると、不正アクセスが起きたのは10月29日午前1時ごろである。良品計画は翌30日に第一報を出し、メールアドレス、生年月日、性別の3項目が最大約2726万件流出した可能性があると公表した。このときの対象はMUJIアプリの利用者で、アクセスは遮断し、修正を適用したと説明していた。

その後の分析で判明した事実は4点ある。約2726万件の中にアプリを使っていないネットストア会員が含まれること。一部は氏名、住所、電話番号も対象になること。③のカード情報も不正アクセスを受けていたこと。そして②のMUJI Cardの情報が社内のシステムに残っていたことである。

良品計画からクレディセゾンへ報告があったのは11月2日で、第二報の公表は11月4日午後4時36分だった。クレディセゾンは、不正アクセスを受けたのは良品計画のシステムで、自社のシステムへの不正アクセスや自社からの情報流出は確認していないと説明している。

原因は明らかになっていない。第二報は、不正なアクセスを遮断したうえで、ほかのシステムに影響がないかの監視を続け、原因と影響範囲の特定を進めていると記す。アプリとネットストアはいまも通常どおり利用できる。

良品計画は、この間の11月2日に別の情報流出の可能性も公表している。オーダーカーテンの業務委託先が使うサーバーへの不正アクセスで、2018年4月10日から2022年1月25日までの注文客の氏名や住所など1万9933件が対象という。カード情報とメールアドレスは含まれない。2つの案件の関係に、発表文は触れていない。

なぜカード番号が残っていたのか

クレディセゾンによると、対象のカード番号は、MUJI Card会員にカード特典を付与するため、2000年10月から2021年7月まで同社が良品計画へ渡していた情報である。その後は付与の仕組みを変え、番号の連携はやめた。ところが、連携を止めた後も番号は良品計画のシステムに残っていた。第二報はこの点を「当社のシステム上に残っていたことを確認しました」と書いている。

2021年8月以降に発行されたカードが対象外なのは、このためである。一方、すでに解約したカードや有効期限が切れたカードは対象に含まれる。

個人情報保護法第22条は、事業者に対し、個人データを「利用する必要がなくなったときは」「遅滞なく消去するよう努めなければならない」と定めている。第26条は、権利利益を害するおそれが大きい漏えいなどが起きたとき、個人情報保護委員会への報告と本人への通知を事業者に義務付ける。

同委員会の案内によると、報告の対象には、財産的被害が生じるおそれがある場合、不正の目的で行われたおそれがある場合、本人の数が1000人を超える場合が含まれる。発覚したらまず速やかに報告し、不正の目的で行われたおそれがある場合は発覚日から60日以内に報告するよう案内している。第一報、第二報とも、同委員会への報告の有無は記していない。

情報処理推進機構（IPA）は10月の文書で、国内の幅広いサービスで不正アクセスによる情報漏えい事案の公表が相次いでいると説明した。公表後に対象が広がった例には、アララのメール配信に不正アクセス、流出は約7700万件に拡大　アソビューは1582万件もある。

対象者がすべきこと

対象者には、良品計画がメールか郵送で順次連絡する。MUJI Card会員のうち良品計画が連絡先を把握していない人には、クレディセゾンから連絡が届く。

MUJI Card会員がまず確かめられるのは入会時期である。クレディセゾンによると、入会年月日はセゾンPortalまたはNetアンサーの「メニュー」から「お客様情報の確認・変更」で見られる。2000年10月から2021年7月までの入会であれば、対象の期間に入る。

両社は、カードの利用明細を確認し、身に覚えのない利用があればクレディセゾンへ問い合わせるよう呼びかけている。クレディセゾンは利用状況の監視を強めており、現時点でMUJI Cardの不正利用の増加は確認していない。身に覚えのない利用が見つかった場合は、同社が調査し、結果に応じて対応する。

カードの再発行は希望者に受け付ける。手続きはNetアンサーとセゾンPortalでできるが、届くまで時間がかかるという。再発行の費用について、両社の発表文に記載はない。

IPAが10月に公表した文書を扱ったIPA、個人情報が漏れた人向けに対処手順　免許証画像は信用情報機関へ申告をも、カード情報が漏れた場合の対処として、カード会社への連絡と、当面の間の明細の定期的な確認を挙げている。

もう一つ警戒が要るのは偽の連絡である。良品計画は「当社からメールや電話でクレジットカード情報をお尋ねすることはありません」と明言した。クレディセゾンも、両社を装ってカード番号、暗証番号、セキュリティコードの入力を求める案内が届いても、記載のリンク先に入力しないよう求めている。

問い合わせ窓口は次の2つである。発生の経緯などは良品計画お客様相談室の0120-64-0772で、受付は午前9時30分から午後5時まで。MUJI Cardの再発行などはクレディセゾンの0120-227-190で、受付は午前10時から午後5時までとなる。いずれも12月26日までは毎日受け付け、2027年1月4日からは月曜から土曜の受付に変わる。クレディセゾンは、電話がつながりにくい場合があるとしてウェブでの手続きも案内している。

連携を終えた番号が残り、客が手間を負う

今回の第二報で最も重いのは、件数の大きさよりも、約109万件のカード番号が残っていた経緯である。番号の連携は2021年7月で終わった。それから不正アクセスを受けた2026年10月まで5年余り、連携を終えた番号が良品計画のシステムに置かれていた。約109万件の約7割にあたる約74.5万件は、すでに使えないカードの番号である。

法律が求める消去は努力義務で、残していたこと自体が直ちに違法になるわけではない。だが消していれば、今回の不正アクセスで番号が対象になることはなかった。事業者が番号を消さなかった結果、カードに入会しただけの客が明細の確認や再発行の手間を負うことになった。この責任は良品計画にある。

第一報の説明も、結果として誤っていた。「現時点で」と前置きしてはいたが、注記では「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」と言い切り、5日後にそのすべてが対象に加わった。調査の途中で確定できないなら、含まれないと書かず、調査中と書くのが客への正確な案内である。第一報を読んで安心した客がいたとすれば、対応は5日遅れたことになる。

被害を受けた客の立場に立てば、知りたいことは3つあるだろう。なぜ連携の終了後に番号を消さなかったのか。ほかに使わなくなった情報が残っていないか。再発行にかかる負担を誰が持つのか。原因の公表を待つだけでなく、これらに答えを示すべきではないか。