無印良品を運営する良品計画は11月4日、公式アプリ「MUJIアプリ」をめぐる情報流出の可能性について第二報を公表し、クレディセゾンが発行するクレジットカード「MUJI Card」約109万件のカード番号（全桁）と生年月日に、外部からアクセスされた可能性があると明らかにした。10月30日の第一報では「クレジットカード情報は含まれません」と説明していたが、5日後に範囲が広がった形だ。何が起きたのか、誰が対象なのか、そして利用者が今すぐ確認すべきことを解説する。
第一報から第二報へ——何が変わったのか
良品計画は10月30日の第一報で、MUJIアプリの利用者情報が最大約2726万件流出した可能性があると公表した。対象はメールアドレス、生年月日、性別、会員IDだった。その後の調査で、アプリを使っていない無印良品ネットストアの利用者も対象に含まれることが判明し、約52万件には氏名、住所、電話番号も含まれていたことが分かった。そして11月4日の第二報で、さらにMUJI Cardのカード番号まで対象に加わった。第一報の「クレジットカード情報は含まれません」という説明が覆されたことになる。
約109万件の内訳——現在も有効なカードは約34.5万件
第二報で示されたMUJI Cardの対象は、2000年10月から2021年7月までに入会した会員のカードだ。カード番号の全桁、MUJI Card ID、生年月日が外部からアクセスされた可能性がある。約109万件のうち、現在も利用できるカードは約34万5000件、解約や有効期限切れなどで利用できないカードは約74万5000件だった。2021年8月以降に発行されたMUJI Cardは対象外だ。対象のカード情報には、カード名義、有効期限、セキュリティコードは含まれていないとされる。ただし、有効なカード約34万5000件のうち約16万8000件については、メールアドレス、生年月日、性別、会員IDと併せて閲覧できる状態だったと報じられている。
また、MUJIアプリまたはネットストアにクレジットカード情報を登録していた利用者約120件についても、カード番号の先頭6桁と下2桁、カード名義がアクセスされた可能性がある。こちらは番号の全桁や有効期限、セキュリティコードは含まれない。
なぜ古いカード番号が残っていたのか
クレディセゾンの説明によると、対象のカード番号は、MUJI Card会員にカード特典を付与するため、2000年10月から2021年7月まで同社が良品計画へ渡していた情報だ。2021年7月以前にMUJI Card会員向けの独自特典を付与する目的で取得したカード番号などが、良品計画のシステム上に残っていたことが確認されたという。2021年8月以降に発行されたカードが対象外なのは、このためだ。
不正アクセスの経緯——10月29日未明、報告は11月2日
クレディセゾンによると、不正アクセスが起きたのは10月29日午前1時ごろ。良品計画は翌30日に第一報を出し、11月2日にカード番号も対象になった可能性があるとクレディセゾンに報告し、11月4日午後4時36分に第二報を公表した。クレディセゾンは、自社のシステムへの不正アクセスや、自社からの情報流出は確認していないと説明している。良品計画は不正アクセスを遮断し、システムの監視を強化している。MUJIアプリと無印良品ネットストアは通常通り利用できる。
被害は確認されているのか——現時点では「確認していない」
良品計画は11月4日の発表時点で、ダークウェブなどへの情報流出や、対象情報を悪用した被害は確認していないとしている。クレディセゾンもMUJI Cardの不正利用に対する監視を強化しており、現時点で不正利用の増加は確認していないという。希望する会員はクレディセゾンに連絡してカードの再発行を依頼できる。対象者にはメールまたは郵送で順次個別に連絡するとされる。
利用者が今すぐやるべきこと
良品計画は、利用者に対してカードの利用明細を確認し、身に覚えのない利用があった場合はクレディセゾンに問い合わせるよう呼びかけている。また、同社やカード会社を装った不審なメールや電話への注意を促し、「当社からメールや電話でクレジットカード情報をお尋ねすることはありません」と明言している。カード情報の入力を求めるメールや電話が来たら、それ自体が詐欺の疑いがある。心当たりのない請求がないか、まずは明細の確認から始めたい。
まとめ
無印良品の情報流出は、第一報の最大約2726万件から、第二報でMUJI Card約109万件のカード番号全桁にまで広がった。現在も有効な約34.5万件を含むだけに、対象の会員は利用明細の確認と、カード会社からの連絡の確認が欠かせない。現時点で悪用被害は確認されていないとされるが、情報が外部に渡った可能性がある以上、しばらくは明細と不審な連絡への注意を続けたい。
関連記事
アソビュー、約40万件の会員情報流出の可能性——氏名・電話番号・住所・生年月日など、クレカ情報は含まずと発表
ノジマオンラインで約16万件の情報流出の可能性——顧客情報と取引履歴、クレカ情報は「含まれていない」と発表
（出典：良品計画「お客さま情報流出の可能性について（第二報）」、CNET Japan、FASHIONSNAPの報道をもとに編集部が解説。出典リンク：https://jpjj.jp/articles/muji-app-data-breach-card-numbers/ 、https://news.yahoo.co.jp/articles/451c997ab854c554db33c4b2a8d309b4e5eec775 ）
