無印良品《最高益の裏で痛恨の失策》｢カード情報は含まれません｣から5日で一転…"109万件の番号全桁"が漏洩の可能性

良品計画は無印良品の店舗やネットストア、会員サービスを運営する会社である。クレディセゾンは「MUJI Card」を発行するカード会社だ。「MUJI Card」は無印良品の名前を冠したクレジットカードだが、発行主体は良品計画ではない。

では、なぜ小売会社のシステムにカード番号があったのか。クレディセゾンによると、カード特典のポイント付与のため、2000年10月から21年7月まで、良品計画へカード番号を連携していた。今回対象となった生年月日も、同社から渡った情報だという。その後は仕組みを変え、番号の連携を行っていない。

海外にも店舗を展開し、3期連続で最高益を更新した良品計画。その足元で情報管理の問題が明らかになった（写真：ゲッティ）

ネットでカード決済をしても、販売会社には番号全桁が渡らない仕組みがある。利用者が入力した番号を決済代行会社に直接送り、販売会社は決済結果や番号に代わる識別情報を受け取る方式である。こうした方式を採用することで、小売会社はカード番号全桁を保管せずに決済を行うことができる。

不正アクセスの対象となった可能性があるカード番号全桁の情報は、こうした決済時の情報取得とは異なり、提携カードの特典を付けるために、カード会社から小売会社へ渡されたものだった。

クレカ番号「全桁」を共有する必要性はあったのか

問題は、カード番号の連携が21年7月に終了していたにもかかわらず、5年以上を経た現在も過去に取得した番号が残されていたことだ。良品計画は特典付与のために取得したと説明する。しかし、取得時の目的を示すだけでは、現在まで保管した理由の説明にはならない。

過去の取引確認や紛争への対応など、一定期間の保存が必要な場合はある。だが、取引記録を残す必要性と、カード番号全桁を残す必要性は別である。別の会員番号などで代替できなかったのか。連携終了時に、保存の必要性と削除の対象を点検したのか。