無印良品、「MUJI Card」のカード番号約109万件の流出可能性も判明、過去にポイント付与のためデータ保持

　良品計画株式会社は11月4日、不正アクセスに関する第2報を発表し、クレジットカード「MUJI Card」のカード番号全桁が約109万件（うち約34.5万件が発表時点でも有効）など、新たな情報流出について発表した。本件については、MUJI Cardの発行元である株式会社クレディセゾンも情報を発表している。

　良品計画では、無印良品の公式アプリ「MUJIアプリ」において、外部からの不正なアクセスを検知し、アクセスの遮断および修正の適用を行ったことと、利用者の情報の一部が外部に流出した可能性が確認されたことを、10月30日に発表。この時点では、流出の可能性がある情報は最大約2726万件のメールアドレス、生年月日、性別で、クレジットカード情報などは含まれないとしていた。

　11月4日の第2報においては、次の3種の情報について、外部からアクセス可能性があるとしている。

　1つ目は、MUJIアプリおよび無印良品ネットストアの利用者（退会者含む）の情報で、最大約2726万件。内容はメールアドレス、生年月日、性別、会員ID。そのうち約52万件については、氏名、住所、電話番号も含まれる。

　2つ目は、クレジットカード「MUJI Card」に2021年7月までに入会した会員の情報で、最大約109万件（うち約34.5万件が発表時点でも有効なもの）。内容はカード番号全桁と、MUJI Card ID、生年月日。カード名義、有効期限、セキュリティコードは含まれないとしている。

　クレジットカード番号の流出の可能性が後から判明した理由について、MUJI Card利用者へのカード特典のポイント付与のため、2000年10月〜2021年7月の期間にクレディセゾンから良品計画へ連携していた情報であると説明されている。以降はポイント付与の仕組みを変更し、現在はカード番号の連携を行っておらず、2021年8月以降にMUJI Cardを発行した人は本件の対象外。

　3つ目は、MUJIアプリおよび無印良品ネットストアにMUJI Cardを登録した利用者の情報で、最大約120件。内容は、クレジットカードの先頭6桁＋下2桁と、カード名義。有効期限、セキュリティコードは含まれない。本件については、1つ目の情報において氏名、住所、電話番号も対象となる会員とあわせて閲覧可能な状態であったとしている。

　両社では、対象者に個別に連絡するとしており、クレジットカードの利用明細を確認し、身に覚えのない利用があった場合はクレディセゾンへ問い合わせてほしいと呼び掛けている。また、クレディセゾンでは不正利用のモニタリングを強化し、MUJI Cardの再発行も受け付ける。