良品計画は不正アクセスにより最大約2726万件の顧客情報が流出した可能性を公表した。当初対象外とされていたクレジットカード番号も、マスキングや暗号化を行わず全桁で保管していたことが判明した。
改正割賦販売法が求める非保持化への対応状況が問われる中、同社は運用管理の不適切さを認めたものの、法的抵触の有無は現在確認中である。
この記事の要点
- MUJI Card番号約109万件が全桁で流出した可能性
- カード番号保管時にマスキングや暗号化を実施せず
- 改正割賦販売法への抵触有無は現在確認中である
当初の想定を超えたカード番号全桁の流出リスク
無印良品を運営する同社は、10月30日に公式アプリ「MUJIアプリ」などにおいて最大約2726万件の顧客情報へ外部から不正アクセスがあった可能性を公表した。この時点での発表では、クレジットカード情報は被害対象に含まれていないとされていた。しかし状況はその後大きく変化した。
11月4日、同社は新たな事実として、2000年10月から21年7月までの間にクレジットカード「MUJI Card」に入会した顧客約109万件分のカード番号全桁などが、外部からアクセスされた可能性があると発表した。
当初の想定では対象外とされていた情報が、後になって被害範囲に含まれることが判明した点に注目すべきだ。単なるデータの漏洩ではなく、決済に直結するカード番号の全桁が流出リスクにあるという事実は、消費者にとって深刻な影響を及ぼしうる。筆者は、この経緯こそが問題の本質だと考える。
初動段階で被害範囲を狭く見積もり、後に拡大せざるを得なかったことは、情報管理体制における検証プロセスの甘さを露呈している。セキュリティ上の懸念を持つ顧客に対し、正確かつ迅速な情報提供を行うことが企業には求められる。
当初は対象外とされていたカード番号全桁が、後になって約109万件分もアクセスされた可能性が判明した事実こそ、被害範囲の見通しの甘さを示す重大な転換点である。
この変更により、影響を受ける顧客層は広がりを見せた。特に長期間にわたりカードを保有してきたユーザーにとって、自身の情報が保護されていたという前提が崩れたことは信頼の喪失につながるだろう。
筆者は、こうした段階的な情報の修正が繰り返されること自体が、組織内の情報共有やリスク評価の仕組みに欠陥があることを示唆していると考える。被害の実態が確定するまでの間、企業側は想定しうる最悪のシナリオを前提に対策を講じるべきだ。
当初は対象外とされていたカード番号全桁が、後になって約109万件分もアクセスされた可能性が判明した事実こそ、被害範囲の見通しの甘さを示す重大な転換点である。
マスキング・暗号化なしの保管と法的対応の遅れ
流出したカード番号は、MUJI Card会員に独自の特典を付与する目的で取得されていた。同社は2021年7月まで顧客の識別にカード番号を利用していたが、同年7月に特典付与用のシステムを変更し、カード番号との連携を終了している。しかし、この期間中に保管されていたデータには重大な欠陥があった。
同社の説明によれば、マスキングや暗号化を行わずにカード番号を保存していたという。
2018年6月施行の改正割賦販売法は、加盟店に対し原則としてカード情報の非保持化か、国際的なセキュリティ基準「PCI DSS」への準拠を求めている。同社は「非保持化については当時から認識している」と回答しつつも、「法律に抵触していたか否かは現在確認中」と述べている。
同社は、残存情報の原因について「意図的な保管ではなく、運用管理に不備があった」と説明した。人為的ミスかシステム問題かは特定されておらず、調査中である。
筆者は、法的基準の認識と実際のデータ処理との間に生じた乖離こそが、管理体制の脆弱性を象徴していると考える。単なる技術的な不備として片付けるべきではない。
非保持化を認識しながらもマスキングや暗号化を行わずにカード番号を保管し続けた運用は、法的義務への対応が実務レベルで徹底されていなかったことを示している。
企業は、法律の存在を知っていることと、その要件を満たすための具体的なシステム設計・運用プロセスを整備することは別物であるという認識を持つべきだ。
原因究明が未完了である現状において、同社は単に「不適切な部分があった」という曖昧な説明で留まらず、なぜ基準遵守のプロセスが機能不全に陥ったのかを詳細に分析し、再発防止策を提示する責任がある。
消費者が取るべき具体的な行動と判断基準
無印良品のカード番号流出という重大な事態を受け、消費者は自身の資産を守るために具体的な行動を取る必要がある。まず確認すべきは、自分が2000年10月から21年7月までに「MUJI Card」に入会したかどうかである。
この期間にカードを作成し、現在も有効な状態で保有している場合、カード番号の全桁が流出した可能性を前提として警戒すべきだ。筆者は、被害対象に含まれる可能性がある顧客は、直ちにカード会社へ連絡し、不正利用の有無を確認するとともに、必要に応じてカードの再発行や停止を検討すべきだと考える。
また、無印良品週間の実施期間である10月23日から11月4日午前10時（ネットストア）にかけて、店舗やオンラインでの購入を予定していた消費者は、決済時のセキュリティに特に注意を払うべき時期であったと筆者は考える。
この期間中にカード情報を更新したり、新規発行したりしたユーザーは、流出リスクの範囲内にある可能性が高いと筆者は考える。筆者は、単に「無印良品側が対策を講じているから大丈夫」と楽観視するのではなく、自分のカード番号が第三者の手に渡っているかもしれないという前提で、取引履歴を精査することが重要だと考える。
流出したカード番号全桁が不正利用に悪用されるリスクを最小限に抑えるため、対象期間に入会した顧客はカード会社への即時連絡と再発行手続きを最優先すべきである。
さらに、同社が2021年7月以降、特典付与システムを変更しカード番号との連携を終了したという事実も重要だ。現在MUJI Cardを利用している場合でも、過去に取得されたデータが残存していた可能性は否定できないと筆者は考える。
筆者は、企業が法的な非保持化の認識を持ちながら実務で徹底していなかった今回の事例を踏まえ、消費者側も「企業任せ」のセキュリティ意識から脱却し、自身のカード情報の管理状態を定期的に確認する習慣を持つべきだと主張する。
流出したカード番号全桁が不正利用に悪用されるリスクを最小限に抑えるため、対象期間に入会した顧客はカード会社への即時連絡と再発行手続きを最優先すべきである。
筆者まとめ
良品計画の対応は、法的義務の認識と実装の間に断絶があったことを示す。2018年施行の改正割賦販売法によりカード情報の非保持化が原則となる中、同社は2021年7月までマスキングや暗号化を行わずにカード番号を全桁で保管していた。
削除漏れの原因は特定されていないが、運用管理の不適切さを認めた時点で、既に法的リスクを抱えていたと判断せざるを得ない。消費者は自身のカード情報が流出対象期間に含まれるかを確認し、不正利用への警戒を強めるべきである。
企業としての信頼回復には、単なる謝罪ではなく、管理体制の抜本的な再構築と法的責任の明確化が不可欠だと筆者は考える。
出典: https://www.itmedia.co.jp/news/article/2611/12/2000003144/
画像はAI生成のイメージです。
