無印良品、2021年までカード番号で顧客識別 全桁保管を謝罪

無印良品の不正アクセス、何が起きたのか

同社は10月30日、公式アプリ「MUJIアプリ」などの顧客情報最大約2726万件に、不正アクセスがあった可能性を公表した。当初、クレジットカード情報は対象外としていた。ところが11月4日、2000年10月から21年7月までに「MUJI Card」へ入会した約109万件について、カード番号の全桁などにアクセスされた可能性があると発表した。

カード番号は会員向けの独自特典のために取得したものだ。21年7月に特典システムを変えて連携を終えたが、変更前の番号の一部が残っていた。

なぜ削除されなかったのか

同社は「意図的に保管し続けたものではない」と説明する。ただ、人為的ミスかシステム上の問題かは特定できておらず、調査を続ける。

2018年6月施行の改正割賦販売法は、加盟店に原則としてカード情報の非保持化か、国際基準PCI DSSへの準拠を求める。同社は非保持化について当時から認識していたとしたが、法律に抵触したかは確認中だという。

攻撃については、無印良品ネットストアに複数のIPアドレスから長期間、大量のログイン試行があり、リスト型攻撃と判断したと説明。ただしカード情報へのアクセスにつながった攻撃は、これとは別とされる。

対象カードの再発行手数料は全額負担する。情報管理体制の見直しも進める方針だ。