良品計画・清水智社長が謝罪　クレカ番号109万件に流出の恐れ

11月12日、東京都文京区で開かれた記者会見。良品計画の清水智社長は、不正アクセスを防げなかったこと、削除すべきカード情報を残していたこと、無印良品ネットストアの停止が長引いていることについて謝罪した。対象となったのは、クレディセゾンが発行する提携クレジットカード「MUJI Card」の会員情報だ。2000年10月から2021年7月までに入会した顧客のカード番号全桁、カードID、生年月日など約109万件に、第三者がアクセスした可能性がある。清水社長は管理体制に不備があったことを認め、必要のない情報を持たない仕組みづくりを進める考えを示した。

約109万件のうち、解約や有効期限切れなどで失効しているカードは約74万5000件。残る約34万5000件は現在も有効なカードだ。すでに無印良品での買い物をやめたり、MUJI Cardを解約したりした人も対象に含まれる。ただし、今回アクセスされた可能性があるのはカード番号全桁などで、有効期限やセキュリティーコードは含まれていない。無印良品で利用されたすべてのクレジットカードが対象というわけでもなく、カード情報が実際に第三者の手に渡ったかどうかや、不正利用への影響については調査が続いている。

2021年に不要になったカード情報　16桁を保管し続けた理由

今回の問題で明らかになったのは、良品計画が不要になったカード番号を、十分な保護処理もせず保管していたことだ。同社は2021年7月まで、MUJI Card会員に独自の特典を付与する際、カード番号の全桁を使って顧客を識別していた。しかし、同月のシステム変更で別の識別情報を使用する方式へ移行し、それまで取得したカード番号は削除する方針を定めていた。ところが、データは削除されず、16桁の番号がそのまま残されていた。番号の一部を伏せるマスキング処理も行われていなかったという。

会見での一問一答によると、良品計画は当時からカード情報の取り扱いに関する規定を設けていたものの、運用を徹底できていなかったと説明した。人為的なミスなのか、システム上の問題なのかは調査中だ。つまり、削除すべきことは認識していたが、実際に処理されたかどうかを確認する仕組みが十分に働いていなかった。カード番号の全桁という重要情報を長期間保有し続けた経緯について、良品計画は具体的な原因を明らかにする必要がある。

当初は「クレカ情報なし」　調査で判明した新たな問題

発端は10月29日早朝、公式アプリ「MUJIアプリ」への不審なアクセスが確認されたことだった。良品計画は翌30日、顧客情報最大約2726万件に外部からアクセスされた可能性を発表。当初はメールアドレス、生年月日、性別などが対象で、クレジットカード情報は含まれていないと説明していた。しかし、その後の調査でカード番号にもアクセスされた可能性が判明し、11月4日に追加発表した。会見では、調査範囲を広げたことで11月1日深夜に該当データへのアクセスを検知し、カード会社との確認を経て公表した経緯も明かされた。

さらに、ネットストアでは第三者が外部で入手したとみられるIDやパスワードを使ってログインを試みる「リスト型攻撃」も発生した。良品計画は11月6日からネットストアを停止し、9日には再開延期を発表。第三者による不正ログインが確認された会員アカウントは約27万件に上り、購入履歴や配送先情報などが閲覧された可能性もある。11月12日の会見では、情報流出が判明した後もネットストアの運営を続けていた判断について質問が出た。清水社長は当初、攻撃を遮断すれば営業を継続できると判断したと説明し、より早く対応すべきだったとの反省を示した。

カード再発行手数料は全額負担　良品計画が示した補償と今後の対応

良品計画は今回の問題を受け、対象となるMUJI Cardの再発行手数料を全額負担する方針を決めた。現在も有効な約34万5000件のカードについて、利用者が再発行を希望する場合は費用を負担する。また、今後カードの不正利用など実際の被害が判明した場合には、個別の状況を確認しながら補償に応じる方針だ。11月12日時点では、今回の情報流出に伴う実害は確認されていない。カード発行元のクレディセゾンも利用状況の監視を強化しており、不正利用の増加は確認されていないと説明している。対象者には良品計画またはクレディセゾンから、メールや郵送で順次通知する。

利用者がカードの再発行を希望する場合は、クレディセゾンの専用案内から申し込める。身に覚えのない請求がないか、利用明細を確認することも重要だ。また、良品計画は再発防止策として、システムの脆弱性への対処や監視体制の強化、不要な個人情報を保有しない仕組みづくりを進める。停止中のネットストアは安全性を確認したうえで再開する方針だが、11月12日時点で再開時期は未定となっている。再開時には利用者にパスワードの変更を求める予定だ。同社は今回の騒動に便乗した偽メールや電話にも注意を呼びかけており、メールや電話でカード情報を尋ねることはないとしている。

無印良品の信頼を揺るがした管理不備　問われる経営責任

良品計画は、2021年の時点でカード番号の保管方法を変更し、削除する方針まで決めていた。それでも情報が残り続けた背景には、社内ルールを実際の運用に反映させる管理体制の問題がある。今回の会見では、2018年施行の改正割賦販売法との関係についても質問が出た。クレジットカード情報の適切な保護を求める法令に抵触していた可能性について、同社は関係当局に報告したうえで確認を進めると説明している。単なるシステムの不具合として処理できる問題ではなく、重要情報の保有状況を誰が管理し、経営陣がどこまで把握していたのかという企業統治の課題にもつながる。

無印良品は、衣料品や食品、日用品などを通じて多くの消費者の暮らしに浸透してきた。そのブランドへの信頼があったからこそ、利用者は会員登録やカード利用を通じて個人情報を預けている。今回、良品計画はカード再発行や補償という具体的な対応を示した。一方で、情報を守るためのルールが存在していたにもかかわらず、実行されていなかった理由は残されたままだ。必要なのは、原因の特定に加え、誰が何を確認するのかまで踏み込んだ管理体制の見直しだ。カードの再発行で番号は変えられる。しかし、一度揺らいだ情報管理への信頼を取り戻せるかどうかは、これからの良品計画の対応にかかっている。