関連記事：10月30日分「無印良品の「MUJIアプリ」に不正アクセス 退会者を含む最大約2726万件の情報が流出したおそれ」

要点3行

  • 良品計画は11月4日、10月30日に発表したMUJIアプリへの不正アクセスについて、追加の調査結果を発表しました。
  • 前回の発表ではクレジットカード情報は含まれないとされていましたが、追加の調査で、MUJI Card会員約109万件のカード番号の全桁などが見られた可能性があると分かりました。
  • いまも有効なカードは約34万5000件。会社は、利用明細を確かめるよう呼びかけています。

何が起きたか

対象は、クレディセゾンが発行するクレジットカード「MUJI Card」の会員のうち、2021年7月までに入会した人の情報、約109万件です（時事・朝日・ITmedia・ANN）。見られた可能性があるのは、カード番号の全桁、MUJI Card ID、生年月日です。

約109万件のうち、いまも使えるカードは約34万5000件で、残りは失効・解約済みとされています（ITmedia・時事・朝日・日テレ）。会社は、カード名義、有効期限、セキュリティコードは含まれないと説明しています。

前回の発表では、クレジットカード情報や氏名・住所は含まれないとされていました。編集部も10月30日分の記事で、会社の説明としてそのように伝えています。その後の調査・分析で、新たに分かった内容です（朝日・ITmedia・ANN）。

ITmediaによると、ほかにも分かったことがあります。

  • 最大約2726万件の顧客情報のうち、約52万件には氏名・住所・電話番号も含まれる
  • 対象には、アプリを使っていないネットストア会員も含まれ、項目に会員IDが加わった
  • アプリやネットストアにカードを登録していた約120件は、カード番号の先頭6桁と末尾2桁、カード名義が見られた可能性がある（時事・朝日も報道）

現時点で、ダークウェブなどへの流出や悪用の被害は確認されていないとしています（ITmedia）。

背景（なぜ今これが起きたのか）

ITmediaによると、2021年7月までは、会員向けの独自の特典のためにカード番号などを取得しており、その情報がシステムの中に残っていました。以前に集めた情報でも、システムに残っていれば対象になりうることを示した形とみられます（推測）。

なお、同じ11月4日には、モスフードサービス、ビックカメラ、AIRDOも情報流出の可能性を発表しました（時事）。モスとビックカメラは、メール配信サービス「アララメッセージ」への不正アクセスが原因とされ、無印の件とは別の話です。

手口や誰によるものかは、確認した報道では示されていません。

あなたへの影響

2021年7月までにMUJI Cardに入った人は、対象かもしれません すでに解約した人の分も含まれています。「昔作ったけれど、今は使っていない」という人も、関係する可能性があります。

まずは利用明細を確認 会社は、カードの利用明細を確かめ、身に覚えのない請求があればカード会社に問い合わせるよう呼びかけています。少額の見慣れない請求も見落とさないよう、ここ数か月分をまとめて見ておくと安心です（編集部の提案です）。クレディセゾンは不正利用の監視を強めていて、希望すればカードの再発行も申し込めます。

「有効期限は含まれない」でも、油断はしない 有効期限とセキュリティコードは含まれないと会社は説明していますが、それで安全という意味ではありません。明細の確認は続けたほうがよさそうです。

連絡を名乗るメールや電話には慎重に 良品計画は、対象者にメールか郵送で順に連絡するとしています。約52万件では住所や電話番号も含まれるため、この件に便乗した連絡が来る可能性も考えられます（推測）。迷ったら、届いた連絡の中のリンクや番号ではなく、カードの裏面の番号や公式サイトから確かめると安心です（編集部の提案です）。

今後の注目点

  • 対象者への連絡がいつまでに届くか
  • 悪用などの被害が出ないか
  • 不正アクセスの時期や手口が明らかになるか