無印良品《最高益の裏で痛恨の失策》｢カード情報は含まれません｣から5日で一転…"109万件の番号全桁"が漏洩の可能性

「クレジットカードを作れば特典が付きます」。買い物の際、そんな勧誘を受けた経験がある人は少なくないだろう。目の前の割引やポイントにひかれて入会しても、自分のカード番号が企業間でどのように共有され、いつまで残されるのかまで意識する機会は乏しい。

「MUJI Card」も、良品計画とクレディセゾンがポイント付与などの特典を掲げて入会を勧めてきたカードである。無印良品の情報流出問題は、その見えにくい管理の実態を問い直すものだ。

第1報からわずか5日後に、説明が大転換

無印良品を展開する良品計画は11月4日、「MUJI Card」のカード番号全桁など約109万件に、外部からアクセスされた可能性があると発表した。

10月30日の第1報では「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」としていた。そのわずか5日後に、説明が大きく変わった。

事案全体では、アプリとネットストアの利用者のメールアドレスや生年月日など最大約2726万件が対象となり、うち約52万件は氏名や住所も含む。アプリやネットストアに登録された約120件のカード情報についても、番号の一部や名義などにアクセスされた可能性があるという。

第1報から5日後の第2報では説明が一転。SNSでは、第2報が発表された11月4日が、メンバーがほぼ全品10%オフになる「無印良品週間」の終了翌日（ネットストアは同日午前10時まで）だったことを指摘する声も上がった（撮影：今井康一）

約109万件のうち現在有効なカードは約34万5000件で、残る約74万5000件は失効・解約済みとされる。約109万件のカード情報については、カード名義や有効期限、セキュリティコードは対象に含まれない。

一方、良品計画によると、有効なカードのうち約16万8000件は、社内システム上でメールアドレスなどの会員情報とあわせて閲覧できる状態だった。このうち約2万5000件は、氏名や住所、電話番号も閲覧できた。

11月4日の公表時点で、情報のダークウェブなどへの流出や、当該情報を悪用した被害は確認されていない。「アクセスされた可能性」と流出の確定は区別すべきだが、番号全桁が対象となった事態は重い。