ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、良品計画はMUJIアプリおよび無印良品ネットストアへの不正アクセスについて第二報を公表しました。最大約2,726万件のアカウントが対象になり得るほか、2021年7月までに入会したMUJI Card会員約109万件のカード番号全桁や、約52万件の氏名・住所・電話番号にアクセスされた可能性があることが判明しています。会員の方は利用明細の確認が必要です。
ビジネス＋IT（Yahoo!ニュース）：無印良品、カード番号「全桁」約109万件に流出か…第一報の「含まれません」を覆す
自社の会員データや認証情報が外部に漏えいしていないか不安な場合は、早期の検知体制が有効です。
この記事のポイント
影響を受けた可能性がある人・情報
- （企業）良品計画が運営するMUJIアプリおよび無印良品ネットストアの会員基盤（最大約2,726万件のアカウント情報）
- （個人）無印良品ネットストア等の会員のうち、氏名・住所・電話番号にアクセスされた可能性がある約52万件のアカウント
- （個人）2021年7月までにMUJI Cardへ入会した会員約109万件（カード番号の全桁、MUJI Card ID、生年月日）
- （個人）MUJIアプリまたはネットストアにカード情報を登録していた会員約120件（カード番号の先頭6桁と下2桁、カード名義）
今すぐ取るべき対応
- （個人）MUJI Card会員はクレジットカードのWeb明細や利用履歴を確認し、身に覚えのない請求があれば発行元のクレディセゾンへ連絡する
- （個人）MUJI Cardの不正利用に不安がある場合は、クレディセゾン窓口へカードの再発行を申し出る
- （個人）良品計画やクレジットカード会社をかたる不審なメールやSMS、電話での問い合わせに警戒し、記載されたURLへ安易にアクセスしない
- （企業）外部からの不正アクセス経路を直ちに遮断し、原因箇所の特定と影響を受けたデータ範囲の網羅的な調査を継続する
この記事に出てくる専門用語
- MUJI Card：クレディセゾンが発行する無印良品の提携クレジットカードです。今回の事案では、2021年7月までに入会した約109万件のカード番号全桁が外部からアクセスされた可能性があると公表されています。
- セキュリティコード：クレジットカード裏面などに記載された3桁または4桁の認証用番号です。今回の発表では、MUJI Cardおよび登録カード情報のいずれにおいても、このコードの流出は含まれていないとされています。
- ダークウェブ：専用の通信経路でのみアクセスできる匿名のWeb空間で、不正入手された個人情報が売買されることがあります。今回の発表時点では、ダークウェブ等へのデータ流出は確認されていないとされています。
第一報から第二報で判明した被害範囲の拡大と流出データの内訳
ビジネス＋ITの報道によると、良品計画は10月30日の第一報において、情報流出の可能性があるデータをメールアドレスや生年月日、性別とし、クレジットカード情報や氏名、住所などは含まれないと説明していました。しかし、調査が進んだことで11月4日の第二報にて公表内容を改め、ネットストア会員を含む最大約2,726万件に対象が広がったことを明らかにしました。
現時点の調査において、全体の対象のうち約52万件のアカウントでは、氏名、住所、電話番号といった配送や連絡に直結する個人情報にも外部からアクセスされた可能性があるとされています。氏名や連絡先が外部に渡った場合、運送業者やECサイトを装ったフィッシング攻撃に利用される恐れが高まります。
私たち診断側の視点では、初期調査で影響範囲を限定的に見積もった後に実態が拡大する事例は珍しくありません。初動でログの取得範囲が不十分だったり、データベース連携の全容を把握しきれていなかったりすると、後からより重大な漏えいが発覚するリスクを抱えることになります。
MUJI Card会員約109万件のカード番号全桁にアクセスされた原因と仕組み
ビジネス＋ITの報道によると、今回外部アクセスが確認されたカード情報は2つの系統に分かれています。深刻なのはクレディセゾン発行のMUJI Card会員に関する情報で、2021年7月までに入会した約109万件について、カード番号の全桁、MUJI Card ID、生年月日がアクセス対象に含まれていました。
良品計画の説明では、2021年7月以前に同社独自の特典を付与する目的で会員のカード番号や生年月日を取得しており、そのデータが長年にわたり同社システム上に保管されたまま残っていました。ただし、カード名義、有効期限、セキュリティコードの3項目はこのデータに含まれていないとされています。
もう1つの系統であるMUJIアプリやネットストアに登録されていたカード情報については約120件が対象で、こちらは先頭6桁と下2桁、およびカード名義のみがアクセスされた可能性があると発表されました。こちらも有効期限やセキュリティコードは対象外となっています。
カード番号全桁と生年月日が揃っている状態は、一部の加盟店や本人照会手続きにおいて悪用の糸口を与えかねません。過去に取得した不要な決済情報を削除せず放置することは、インシデント発生時の影響度を致命的な水準まで押し上げる要因となります。
外部アクセスの遮断状況と不正利用監視の体制
良品計画の発表によると、同社はすでに外部からの不正なアクセスを遮断する措置を完了させています。公表時点において、漏えいしたデータがダークウェブ等へ出回っている形跡や、カード情報が実際に不正利用された被害は確認されていないと説明しています。
カード発行元であるクレディセゾンは、MUJI Cardに関する不正利用のモニタリングを強化するとともに、会員からのカード再発行の申し出を受け付ける体制を整えています。対象となる顧客に対しては良品計画からメールまたは郵送で通知が行われ、連絡先を把握していない会員にはクレディセゾン側から案内が届く手はずとなっています。
不正アクセスの経路が塞がれたとしても、すでに外部へ持ち出された可能性があるデータの追跡は容易ではありません。攻撃者が時間を置いてからリスト型攻撃や不正決済に利用するケースもあるため、企業側の監視体制の維持と利用者側の自衛策が継続して求められます。
無印良品とMUJI Cardの利用者が直ちに確認すべき事項
ビジネス＋ITの報道によると、良品計画は利用者に対し、クレジットカードの利用明細を定期的に確認するよう呼びかけています。もし心当たりのない決済履歴が見つかった場合は、速やかにカード裏面に記載されたクレディセゾンの問い合わせ先へ連絡を入れてください。
2021年7月以前にMUJI Cardへ入会した記憶がある利用者は、カード番号の全桁が閲覧されたリスクを考慮し、クレディセゾンに相談のうえカードの再発行を検討する選択肢があります。再発行を行うことで、外部に知られたカード番号そのものを無効化できます。
また、今回の事案に乗じたフィッシング詐欺にも十分な警戒が必要です。良品計画やクレディセゾンを装って「セキュリティ強化のため」などと偽り、暗証番号や有効期限を入力させようとする偽メールや電話が届く危険性があるため、案内文のリンクではなく正規のブックマークや公式アプリから手続きを行うよう注意を払ってください。
参考文献・記事一覧
流出した可能性のあるアカウント情報の悪用や二次被害を監視したい場合は、ダークウェブモニタリングの導入をご検討ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
