良品計画の清水智社長ら謝罪　削除すべきクレジットカード番号109万件をマスキングせず放置

良品計画は12日、「MUJIアプリ」や「無印良品ネットストア」などへの不正アクセスによる顧客情報流出の可能性をめぐって、記者会見を開いた。清水智社長は冒頭、「不正アクセスを防げずお客さまの情報が外部に流出した可能性があること、破棄すべき『MUJI Card』の番号などのデータが残っていたこと、そして『無印良品ネットストア』の停止が長引いていることをおわび申し上げたい」と謝罪した。

会見には清水社長のほか、高橋広隆取締役上席執行役員、宮澤高浩取締役上席執行役員、林知果執行役員が出席した。同社は今回、約109万件が流出した恐れがある提携クレジットカード「MUJI Card」（クレディセゾン発行）の番号について、本来は全桁を取得・保管しない方針だったと説明。しかし、独自の特典を付与するために21年7月まで取得していたカード番号や「MUJI Card ID」、生年月日をシステムから破棄できておらず、不正アクセスで流出の危険にさらされたことを明らかにした。清水社長らは「私どもの落ち度」と認め、繰り返し頭を下げた。

同社の説明によると、流出の恐れがあるのは21年7月以前に「MUJI Card」に入会した顧客のカード番号、MUJI Card ID、生年月日の計約109万件で、このうち現在も有効なカードは約34万5000件に上る。カード番号は一部を伏せる「マスキング」などの保護処理がされないまま、16桁すべてが保存されていたという。

質疑応答では、カード情報が残存していた原因や今後の対策、補償対応などに質問が集中した。カード情報をめぐる主な一問一答は次の通り。

Q：なぜ、カード番号が流出する危険にさらされることになったのか。

A：21年7月まで、MUJI Cardの入会者に当社独自の特典を付与するため、顧客の識別にカード番号を使っていた。同年7月のシステム変更でカード番号による識別をやめ、別の識別子に切り替えた。その時点でシステムから削除すべきという認識はあったが、結果として削除できていなかった。

Q：削除できなかったのはなぜか。

A：原因は調査中だが、データの運用・管理が徹底できていなかったということであり、私どもの落ち度だ。当時もカード番号の取り扱いに関する規定はあったが、確実に運用できていなかったのが原因だ。人為的なミスなのか、システム上の問題なのかも含めて調査を続けている。

Q：カード番号はどのような状態で保存されていたのか。

A：マスキング（一部を伏せる処理）がされない状態で、16桁がそのまま保存されていた。マスクせずに保持していたことが一番の問題だ。カード番号の保護には国際的な基準があり、それを守るためにも21年の時点で削除すべきだった。なお、ネットストアで登録されたクレジットカード情報は、基準に従ってマスクした形で保管している。

Q：18年施行の改正割賦販売法は、事業者にカード情報の適切な保護を求めている。法令違反の可能性はないのか。

A：18年施行の同法についてはわれわれも認識している。今回の事案を関係当局に正確に報告したうえで、（法令上の扱いが）どうなるのかを確認していきたい。

Q：第一報（10月30日発表）では流出の可能性がある項目にカード番号が含まれていなかった。第二報（11月4日発表）で追加されたのはなぜか。

A：第一報の段階で把握していた不正アクセスのパターンやログの分析からは確認されていなかった。その後、調査範囲を広げたことで該当データへのアクセスが判明した。検知したのは11月1日の深夜で、実際の対応は2日以降となった。カード番号に関わることであり、当社独自の判断だけで動くべきではなく、誤った情報を出すわけにもいかないと判断した。精査に時間をかけ、可能な限り速やかに公表したのが4日だった。

Q：カード保有者への補償はどうするのか。

A：今回対象となったMUJI Cardの再発行手数料は、全額当社で負担する。現時点で実害は確認されていないが、今後被害が判明した場合には一件ずつ丁寧に対応し、お客さまからの申し出にきちんと向き合って補償していく。