不正アクセスの追加調査でカード情報の被害が拡大
生活雑貨店「無印良品」を運営する良品計画は11月4日、外部からの不正なアクセスによって、クレジットカードに関する情報が大量に流出した可能性を明らかにした。今回の発表では、約109万件のカード番号について、番号を構成するすべての数字が流出対象に含まれることが判明した。
同社は10月30日にも、会員情報の流出が疑われる事案を公表していた。当初の説明では、クレジットカード情報や氏名、住所は対象に含まれていなかったが、その後の調査によって被害の範囲が広がった。
今回新たに確認された情報には、カード番号に加えて、会員に関連する識別情報や生年月日なども含まれる。調査の進展に伴い、当初把握されていなかった情報についても流出の可能性が示された形だ。
対象は2021年7月以前に登録したカード会員
情報流出の対象となったのは、クレディセゾンが発行する「MUJI Card」の会員情報だ。このカードは無印良品での購入時に独自の特典を受けられる仕組みを備えており、今回の対象者は2021年7月までに入会した顧客とされる。
流出した可能性があるデータには、クレジットカード番号の全桁、カードID、生年月日などが含まれている。約109万件という数字には、すでに利用期限が終了したカードに関する情報も含まれる。
対象が特定の時期までに登録した会員に限定されている点も今回の発表の特徴となっている。良品計画は、カード情報に関する調査結果を新たに公表し、影響を受けた可能性がある情報の内容を示した。
現在も有効なカードは約34万5000件に上る
約109万件のうち、現在も有効なクレジットカードに関する情報は約34万5000件だった。残る情報には、有効期限をすでに過ぎたカードが多数含まれている。
一方、今回の不正アクセスで流出した可能性がある情報には、カード名義、有効期限、セキュリティコードは含まれていないと説明している。カード番号については全桁が対象となったものの、カードに記録される情報のすべてが外部に流出したという発表ではない。
カード番号とその他の認証関連情報では、今回確認された流出範囲が異なっている。同社は有効なカードの件数と、対象外とされる情報を区別して明らかにした。
アプリ会員の個人情報も新たに流出対象と判明
良品計画が10月30日に公表した内容では、アプリ会員のメールアドレスなど、最大約2726万件の情報が外部に流出した可能性が示されていた。この段階では、氏名や住所、クレジットカード情報については流出対象ではないと説明されていた。
しかし、その後に実施された調査で、アプリ会員などの氏名や住所に関する情報も約52万件に上ることが新たに判明した。さらに、カード番号の一部についても流出した可能性が確認されている。
今回のカード番号全桁に関する発表は、こうした一連の調査で明らかになった追加情報に当たる。最初に公表されたメールアドレスなどの情報に加え、個人を識別する情報や決済関連のデータにも対象が及んだ。
公表内容の更新で明らかになった情報流出の全容
今回の事案では、10月30日と11月4日の発表を通じて、流出が疑われる情報の種類が段階的に明らかになった。最初に示された最大約2726万件の会員関連情報に加え、約52万件の氏名や住所など、さらに約109万件のカード関連情報が報告されている。
特にカード番号については、全桁が対象となっている点と、現在も有効なカードが約34万5000件含まれる点が重要な公表事項となった。
良品計画は、対象となるカードの入会時期や流出していない情報の種類についても説明した。11月4日時点で公表された内容では、不正アクセスの影響がアプリ会員情報だけでなく、クレジットカード会員のデータにも及んでいることが明確になった。