「カード情報は含まれない」が5日で覆った

11月12日午後、東京都文京区。不正アクセスによる顧客情報漏えいについて同社が都内で会見を開いたのはこの日で、清水智社長は深く頭を下げた。同席したのは高橋広隆、宮澤高浩の両取締役上席執行役員と林知果執行役員の3人だ。

10月30日の第一報では対象は最大約2,726万件で、当時の説明ではカード情報は含まれないとされていた。それが11月4日の第二報で覆る。MUJI Cardに2000年10月から21年7月までに入会した約109万件について、カード番号の全桁が外部から見られた可能性が浮上したのだ。このうち今も有効なカードは約34.5万件にのぼる。

被害の範囲はその後も広がり続けている。11月9日の第四報では、氏名・住所・電話番号まで対象となる人数が約75万件に膨らんだ。購入履歴やポイントが見られた恐れのある約27万件、代金引換の配送先約44万件も加わった。ネットストアは11月6日から止まったままで、会見時点でも再開のめどは立っていない。

カード番号が「会員番号」だった

会見で質問が集中したのは、小売業者がなぜカード番号を全桁で持っていたのか、という点だった。

会社側の答えは、21年7月まではカード番号で顧客を識別していた、というものだ。MUJI Card会員に独自の特典を付けるため、16桁を事実上の会員番号として使っていたことになる。

識別子を別のものに切り替えた21年7月の時点で、消すべきだという認識は社内にあった。それでも16桁はマスキングも暗号化もされずにシステムに残った。宮澤氏も、伏せ字にしないまま保管していたことが最大の課題だったと認めている。では、なぜ消せなかったのか。会社側は原因を調査中としたうえで「私どもの落ち度だ」と述べ、人為的なミスかシステムの問題かも分かっていないと説明した。意図して持ち続けたわけではない、というのが同社の立場である。

消すべきだと分かっていながら5年間消せなかった理由は、会見でも明らかにならなかった。

店でカードを出すと、ネットの履歴とつながる？

ネット上では、さらに踏み込んだ疑問が出ている。カード番号が客を見分ける鍵だったのなら、店舗でMUJI Cardを使った買い物の記録と、ネットストアやアプリの会員情報を、16桁を介して結びつけることが技術的には可能だったはずだ。「普通はアプリの会員番号で識別すれば足りる。購買データをマーケティングに使うためだったのではないか」という見方である。

実際、有効なカードのうち約16万8000件は、メールアドレスや会員IDとカード情報をあわせて閲覧できる状態にあった。カード番号と会員情報は、少なくともシステム上はつながっていた。

会社側の説明は一貫して「特典付与のための識別」だ。ただ、その識別が店舗とネットの購買履歴の統合にまで使われていたのか、その利用目的が会員に示されていたのかは、公表資料からは読み取れない。

個人情報保護法22条は、使う必要のなくなった個人データを遅滞なく消すよう努めることを事業者に求めている。21年7月に役目を終えたはずの番号が、その後5年間何のために残っていたのか。この点の説明はまだない。

割賦販売法は「確認中」

もう一つの論点が割賦販売法だ。2018年6月施行の改正法は、カード情報を持たない「非保持化」か、国際基準PCI DSSに沿った管理を原則として求めている。同社は非保持化の考え方を当時から認識していたと述べる一方、法に触れていたかどうかは確認中だと答えるにとどめた。

ネットでは「顧客管理システムごとPCI DSSに適合させていたとは考えにくい」との声が上がる。ただし制度上、経産省の資料によれば、加盟店の義務違反に対する措置は報告徴収と立入検査までで、改善命令や罰金は用意されていない。しかも今回の16桁は、決済のためではなく特典付与のためにカード会社から受け取ったものだ。法の網がどこまでかかるのか、当局の判断が注目される。

公表は「無印良品週間」の終了と同じ日

公表のタイミングにも疑問が残る。カード番号を含むデータへのアクセスを同社が把握したのは11月1日から2日にかけてだった。公表は4日である。会員向けセール「無印良品週間」は店舗が11月3日まで、ネットストアが4日午前10時までだった。 会見でこの点を問われた同社は「良品週間を意識したものではまったくない」と否定した。他社への確認に時間を要し、最短で公表したという説明だ。

同社はカードの再発行手数料を全額負担し、被害が判明すれば一件ずつ補償するとしている。2000年10月から21年7月までに入会した人は、利用明細を確認しておいたほうがよい。

「無印」とは、ロゴに頼らないという意味だった。いま同社に求められているのは、カード番号を捨てなかったわけを自らの言葉で説明することだろう。