無印良品、カード番号「全桁」約109万件に流出か…第一報の「含まれません」を覆す

　良品計画は11月4日、10月30日に公表した無印良品の公式アプリ「MUJIアプリ」のお客さま情報流出の可能性について、第二報を公表した。調査を進めた結果、影響がネットストア会員にも及び、クレジットカード情報にも外部からアクセスされた可能性があることが新たに判明したという。

　第一報では、流出の可能性がある情報をメールアドレス、生年月日、性別とし、クレジットカード情報、氏名、住所、電話番号などは含まれないと説明していた。

　対象の最大約2,726万件には、MUJIアプリを使っていない人を含む無印良品ネットストアの会員が含まれる。このうち約52万件（現時点）では、氏名、住所、電話番号にもアクセスされた可能性がある。

　カード情報は2系統ある。1つは、クレディセゾンが発行する「MUJI Card」の会員だ。良品計画のPDF資料によると、2021年7月までに入会した約109万件で、カード番号（全桁）、MUJI Card ID、生年月日が対象になった可能性がある。カード名義、有効期限、セキュリティコードは含まれないという。

　もう1つは、MUJIアプリまたはネットストアに登録されたカード情報で、約120件。カード番号の先頭6桁と下2桁、カード名義が対象となる可能性がある。有効期限とセキュリティコードは含まれないとしている。

　良品計画によると、2021年7月以前は、同社独自の特典を付与するためにMUJI Card入会者のカード番号、MUJI Card ID、生年月日を取得しており、その情報が同社のシステム上に残っていた。

　対象者には、同社からメールか郵送で順次連絡する。同社が連絡先を把握していないMUJI Card会員には、クレディセゾンが連絡する。顧客には、カードの利用明細を確認し、身に覚えのない利用があればクレディセゾンへ問い合わせるよう呼びかけている。同社やカード会社を装う不審なメールや電話にも注意するよう求めている。クレディセゾンはMUJI Cardの不正利用のモニタリングを強化しており、再発行も受け付ける。

　外部からの不正なアクセスは遮断した。ダークウェブ等への情報流出や、情報を悪用した被害は現時点で確認していないという。原因と影響範囲の特定を進め、新たな事実が判明すれば速やかに公表するとしている。