무인양품 운영사, 2021년까지 카드번호로 고객 식별 인정

무인양품 부정 접속, 무슨 일이 있었나

회사는 10월 30일 공식 앱 "MUJI 앱" 등의 고객 정보 최대 약 2726만 건에 외부 부정 접속이 있었을 수 있다고 공표했습니다. 당시에는 신용카드 정보를 대상에서 제외했습니다. 그러나 11월 4일, 2000년 10월부터 2021년 7월까지 "MUJI Card"에 가입한 약 109만 건의 카드번호 전체 자릿수 등에도 접근됐을 가능성이 있다고 발표했습니다.

카드번호는 MUJI Card 회원에게 독자적인 혜택을 주려고 취득한 것입니다. 회사는 2021년 7월 혜택 시스템을 바꾸며 카드번호 연동을 끝냈지만, 변경 전 번호 일부를 지우지 않았습니다.

왜 삭제되지 않았나

회사는 "의도적으로 계속 보관한 것은 아니다"라고 설명했습니다. 다만 사람의 실수인지 시스템 문제인지는 아직 특정하지 못했고 조사를 이어갑니다.

2018년 6월 시행된 일본 개정 할부판매법은 카드 가맹점에 원칙적으로 카드 정보를 보유하지 않거나 국제 보안 기준 PCI DSS를 따르도록 요구합니다. 회사는 당시부터 비보유 원칙을 알고 있었다면서도, 법 위반 여부는 확인 중이라고 답했습니다.

공격 방식에 대해서는 온라인 스토어에 여러 IP 주소로 장기간 대량의 로그인 시도가 있었고, 이를 리스트형 공격으로 판단했다고 밝혔습니다. 다만 카드 정보 접근으로 이어진 공격은 이와 다르다고 합니다.

회사는 대상 카드의 재발급 수수료를 전액 부담하고, 정보 관리 체제를 재검토할 방침입니다.