無印良品を展開する「良品計画」は12日、顧客のクレジットカード情報などへの不正アクセスを受け、東京都内で記者会見を開いた。清水智社長は「破棄してしかるべきカード番号などのデータがそのまま残り、流出した可能性がある。心よりおわび申し上げる」と陳謝した。
流出した可能性があるのは、クレディセゾンが発行するクレジットカード「MUJI Card」の全桁カード番号やIDなど約109万件。2021年7月までに入会したカードが対象で、そのうち有効なカード情報は約34万5000件あった。
同社によると、21年7月までカード保有者に特典ポイントを付与するため、全桁カード番号を顧客の特定に使っていた。その後に新たなシステムを導入し、カード番号は削除する規則だったが、削除されずに社内システムに保管されたままだった。
さらに保存されたカード番号は、暗号化など外部に漏れた際の閲覧防止の措置もとられていなかった。良品計画は「データの運用管理に落ち度があった。人為的な問題でデータが削除されなかったかは調査中」と釈明した。
良品計画を巡っては、クレジットカード情報のほかにアプリ会員の会員IDなど最大約2726万件も流出した可能性がある。うち約75万件には氏名や住所、電話番号が含まれたほか、中には削除すべき退会者のデータもあった。外部から入手したパスワードなどによる不正なログイン約27万件が起きた可能性もあるという。
現時点で不正なカード利用などの被害は確認されていないが、6日から停止した無印良品のネットストアの再開時期はめどがたっていない。
清水社長は12日の記者会見で「集めた情報でお客様と深くつながろうとしてきたが、最小限の情報を預かる方針に転換しなければならない」と述べ、顧客情報の取り扱いを見直す意向を示した。【杉山雄飛】
