無印良品を展開する良品計画のMUJIアプリへの不正アクセスで、クレジットカード「MUJI Card」のカード番号全桁を含む会員情報約109万件に、外部からアクセスされた可能性があることが分かりました。対象は2021年7月までの入会者で、うち現在も有効なカードは約34万5000件です。カード名義やセキュリティコードは含まれていませんが、該当する会員は利用明細の確認が必要になります。
良品計画、MUJI Cardのカード番号全桁約109万件に不正アクセスの可能性
良品計画は11月4日、10月30日に公表したMUJIアプリへの不正アクセスについて続報を発表しました。当初は対象外としていたクレジットカード情報や氏名、住所なども外部からアクセスされた可能性があると明らかにしています。(b.hatena.ne.jp) 新たに対象となったのは、クレディセゾンが発行するクレジットカード「MUJI Card」のカード番号全桁を含む会員情報、約109万件です。(ITmedia NEWS)
今回対象となった約109万件は、2021年7月までにMUJI Cardへ入会した会員の情報です。含まれるのはカード番号の全桁、MUJI Card ID、生年月日で、このうち現在も有効なカードは約34万5000件、残りの約74万5000件は失効・解約済みとされています。カード名義、有効期限、セキュリティコードは今回アクセスされた可能性のある情報には含まれていません。クレディセゾンの発表によれば、2021年7月以前はMUJI Card会員に独自の特典を付与する目的でカード番号などを取得しており、その情報がシステム内に残っていたことが原因だとしています。2021年8月以降に発行されたMUJI Cardは今回の対象外です。(クレディセゾン)
同時に、10月30日公表時点では最大約2726万件としていた顧客情報の範囲も広がりました。当初はMUJIアプリ利用者のメールアドレス、生年月日、性別の3項目を対象としていましたが、調査の結果、アプリを利用していないネットストア会員も含まれることが判明し、対象項目に会員IDが加わっています。さらに、この最大約2726万件のうち約52万件には氏名、住所、電話番号も含まれることが分かりました。MUJIアプリや無印良品ネットストアにクレジットカード情報を登録していた利用者約120件分についても、カード番号の先頭6桁と末尾2桁、カード名義が外部からアクセスされた可能性があるとしています。(Impress Watch)
クレディセゾンの対応と、確認されていない被害
クレディセゾンは不正利用の監視を強化しており、現時点でMUJI Cardにおける不正利用の増加は確認されていないとしています。再発行を希望する会員には、Netアンサーやセゾンポータルを通じた申し込みを案内しており、対応にはお届けまで時間がかかるとしています。万一、身に覚えのない利用が確認された場合は、所定の調査を行ったうえで対応するとしています。
対象となる会員への連絡は、良品計画またはクレディセゾンからメールや郵送で順次行われます。良品計画が連絡先を把握していない場合は、クレディセゾンから直接連絡する体制だとされています。良品計画は、現時点でダークウェブなどへの情報流出や、情報の悪用による被害は確認されていないとしています。MUJIアプリと無印良品ネットストアは通常通り利用できる状態にあります。
一方で、対象範囲が10月30日の初報後の調査で拡大した点は押さえておく必要があります。最初はメールアドレスなど3項目だったものが、会員ID、氏名、住所、電話番号、そしてクレジットカード番号全桁へと段階的に広がっており、良品計画は引き続き原因や影響範囲の調査を進めているとしています。現時点で公表されている内容が最終的な範囲かどうかは、今回確認した出典からは判断できません。会員としてできることは、カードの利用明細を確認し、身に覚えのない請求があればカード発行会社に問い合わせることです。
注目ニュース
Debian・Ubuntuのパッケージ管理ツールAPTに脆弱性
LinuxディストリビューションのDebianとUbuntuで使われるパッケージ管理ツール「APT」に、中間者攻撃によって検証済みのパッケージを別のものへ差し替えられる脆弱性が見つかりました。攻撃者が差し替えたコードはroot権限で実行される可能性があるとされています。Debian、Ubuntu、APT開発チームが11月4日付でそれぞれ勧告を公開しました。この攻撃が成立するにはAPTがダウンロード失敗時に再試行する必要があり、Debian 12以降ではこの再試行が既定の動作になっているとされています。該当するディストリビューションのバージョンを使っている管理者は、各プロジェクトの勧告を確認する必要があります。(The Hacker News)
編集後記：拡大し続ける開示範囲
今回の件で気になるのは、初報後の調査で対象範囲が広がった点です。10月30日の初報ではメールアドレスなど3項目だけだったものが、11月4日の続報では会員ID、氏名、住所、電話番号、そしてクレジットカード番号全桁にまで及びました。これは良品計画が意図的に小出しにしたということではなく、調査の進展に伴って判明した事実が段階的に発表された結果だと公表内容からは読み取れます。ただ、会員の立場からすると、最初の発表を見て「自分は対象外」と判断していた人が、続報で急に対象に含まれるという事態が起きかねません。現時点でダークウェブへの流出や悪用は確認されていないとされていますが、調査自体が継続中である以上、今後さらに対象が広がる可能性も排除できません。会員としては、今回の発表内容だけで安心せず、今後の続報にも注意を払う必要がありそうです。