無印良品、破棄すべきカード番号109万件を保管し続け流出の恐れ　社長が脆弱性を謝罪

　「無印良品」を運営する良品計画は、11月12日の会見で、不正アクセスで流出した可能性のある情報に、本来は破棄すべき「MUJI Card」会員のクレジットカード番号が含まれていたと明らかにした。清水智社長は「システムの一部に脆弱性があった」と述べ、謝罪した。

　対象は、2021年7月以前にMUJI Cardへ入会した会員のカード番号（全桁）とMUJI Card ID、生年月日で、約109万件にのぼる。このうち現時点で有効なカードは約34.5万件という。同社の第四報によると、カード名義、有効期限、セキュリティコードは含まれていない。

　同社は、独自の特典を付与するためにカード番号などを取得していたが、2021年7月までに取得をやめ、それまでに集めた番号は削除する運用に変更していた。ところが、その後も破棄していなかったという。

　良品計画は、カードの再発行手数料を負担し、不正利用があった場合は補償する方針を示した。カード発行会社には、不正利用のモニタリングを強化してもらっているという。

　今回の不正アクセスで外部からアクセスされた可能性がある会員情報は、メールアドレス、生年月日、性別、会員IDを含めて最大約2,726万件。このうち氏名、住所、電話番号も対象となる可能性があるのは約75万件、第三者による不正ログインが確認された会員アカウントは約27万件、代金引換配送の受取先情報は約44万件とした。会見で示された内容は11月11日時点の情報で、11月9日の第四報では、これまで公表した件数の一部変更も伝えている。現時点では、閲覧された可能性のある情報を悪用した被害は確認されていないとしている。

　無印良品ネットストアは11月6日から停止しており、再開は延期されている。小売業界では、ニトリホールディングスが最大3,762万件の個人情報が流出した可能性を発表し、靖國神社も会員情報約14,500件の漏えいを公表している。