■ 1. 記者会見と謝罪
- 会見の概要:
- 良品計画は11月12日、不正アクセスによる顧客情報流出について記者会見を開き、清水智社長らが謝罪
- 過去に取得したクレジットカード番号の全桁を削除せず保管していた問題を「私どもの落ち度」と説明
- 原因はデータの運用管理の不備
■ 2. 流出の可能性がある情報の範囲
- 10月30日の公表:
- 「MUJIアプリ」などの顧客情報最大約2726万件に外部から不正アクセスがあった可能性
- 当初はクレジットカード情報を対象外としていた
- 11月4日の追加公表:
- 2000年10月から21年7月までに「MUJI Card」へ入会した顧客約109万件が対象
- カード番号全桁なども外部からアクセスされた可能性
■ 3. カード番号を保有していた経緯
- 取得目的:
- MUJI Card会員に独自の特典を付与するため
- 削除漏れの発生:
- 21年7月に特典付与システムを変更し、カード番号の連携を終了
- 変更前に取得したカード番号の一部を削除せず保管していた
- 顧客識別への利用:
- 2021年7月まではカード番号を顧客の識別に利用していた
- 保管時にマスキングや暗号化は行っていなかった
■ 4. 削除漏れの原因
- 意図的な保管ではない:
- データを運用管理するオペレーションに不適切な部分があった
- 原因は未特定:
- 人為的ミスかシステム上の問題かは特定できておらず、引き続き調査する
■ 5. 法令違反の可能性
- 改正割賦販売法の要件:
- 2018年6月施行
- 加盟店に原則としてカード情報の非保持化か「PCI DSS」準拠の管理を求める
- 同社の見解:
- 非保持化の必要性は当時から認識していた
- 法律に抵触していたか否かは現在確認中
■ 6. 発表タイミングと「無印良品週間」
- セール終了時期との重なり:
- カード情報流出可能性の公表（11月4日）がセール終了時期と重なった
- 店舗では10月23日から11月3日まで、ネットストアでは11月4日午前10時まで実施
- 同社の説明:
- 良品週間を意識したものではまったくない
- 影響範囲の特定には他社への確認などが必要で、事実の整理に時間を要した
- 最短のタイミングで発表したという認識
■ 7. 不正アクセスの手法
- リスト型攻撃:
- 11月9日、ネットストアへのリスト型攻撃を公表
- 外部で不正入手した可能性のあるIDやパスワードでログインを繰り返し試みる手法
- 判断の根拠:
- 複数のIPアドレスから長期間にわたり大量のログイン試行があった
- 試行回数と失敗件数がそう判断するに十分な量に上っていた
- カード情報への攻撃:
- クレジットカード情報へのアクセスにつながった攻撃はリスト型攻撃とは異なる
- 全容把握の遅れ:
- 共通要素を持つ複数の不正アクセスを検知
- 攻撃パターンが多岐にわたり、全容の把握に時間を要した
■ 8. 今後の対応
- 原因調査の継続
- 情報管理体制の見直しとセキュリティ対策の強化
- 対象カードの再発行手数料の全額負担