名古屋でAIシステムの開発をしている小嶋です。
無印良品を展開する良品計画で、不正アクセスによる情報漏洩が起きました。11月12日の会見では、クレジットカード番号の全桁が流出した可能性について、多くの質問が出ました。
報道されている良品計画の発表と会見の内容から、何が起きたのか、なぜカード番号が残っていたのかをまとめます。システムを作る側から見て、いちばんの問題だと思うのは、クレジットカード番号を、会員を照合するための値として使い、そのまま持ち続けていたことです。
この記事は、11月13日時点の報道に基づいています。 件数や対象は、発表のたびに変わってきています。
先にまとめます。
- 会員情報：MUJIアプリと無印良品ネットストアの会員の情報が、最大約2,726万件流出した可能性があります。メールアドレス、生年月日、性別、会員IDで、うち約52万件は氏名・住所・電話番号も含まれます
- クレジットカード番号：2021年7月までに入会した MUJI Card の会員約109万件について、カード番号の全桁、MUJI Card ID、生年月日が流出した可能性があります。有効期限とセキュリティコードは含まれません
- なぜ残っていたか：カード番号は「会員判定とポイント付与のため」に保存していたもので、2021年7月に連携が終わったあとも削除されず、マスクもされずに残っていました
- 使えないカードの番号まで：約109万件のうち約74.5万件は、すでに解約や有効期限切れで使えないカードの番号でした
- さらに別の攻撃も：11月9日には、別のサイトから漏れたIDとパスワードを使う「リスト型攻撃」で、新たに約27万件が流出した可能性があると公表されました
- 会社の対応：MUJI Card の再発行手数料は良品計画が全額負担します。ネットストアでの販売は止めていて、再開の時期は決まっていません
何が起きたか（発表の経過）
| 日付 | 発表・出来事 |
|---|---|
| 10月30日 | MUJIアプリに不正アクセス。会員のメールアドレス、生年月日、性別が流出した可能性。この時点では「クレジットカード情報は含まれない」としていた |
| 11月4日 | 第二報。対象がネットストアの会員にも広がり、最大約2,726万件に。約52万件は氏名・住所・電話番号も。MUJI Card 約109万件のカード番号全桁が対象に加わる |
| 11月9日 | リスト型攻撃を受け、新たに約27万件が流出した可能性を公表 |
| 11月12日 | 清水智社長らが記者会見で謝罪。再発行手数料の全額負担を表明 |
第一報で「クレジットカード情報は含まれない」とされていたものが、5日後の第二報で、全桁のカード番号が約109万件という形に変わりました。カードを持っている人にとっては、最初の発表を見て安心していたところに、まったく違う話が出てきたことになります。
クレジットカード番号は、なぜ良品計画のシステムにあったのか
MUJI Card は、クレディセゾンが発行するクレジットカードです。本来、カード番号を管理するのはカード会社で、お店の側が全桁を持っている必要はありません。
それでも良品計画のシステムに全桁があった理由について、良品計画の広報は J-CAST ニュースの取材に、MUJI Card を無印良品のアプリに登録した客の「会員判定とポイント付与のために、過去に保存していたもの」と説明しています。
つまり、カード番号は支払いのためではなく、「この人は MUJI Card の会員か」を照合し、ポイントを付けるための値として使われていました。
報道によると、この連携は2000年10月に始まり、2021年7月に終わっています。2021年のシステムの変更で、それ以降はカード番号を保存しなくなりました。ところが、それまでに保存したデータが消されずに残っていました。
11月12日の会見で、宮澤高浩役員は次のように説明しています（FNNの報道より）。
マスクをしない状態で保管していたところが一番の課題だと。2021年の7月に対策を行って削除するべきだったが、その時点で削除ができていなかった。それまでのデータが残ってしまっていた。
同じ会見で、カード番号の全桁を持っていた理由を問われた良品計画は、「2021年7月まではカード番号を顧客の識別に利用していた」と答えています（ITmedia NEWS の報道より）。保管するときに、カード番号のマスキングや暗号化はしていなかったとしています。
カード番号は、ポイントのためにたまたま保存されていたのではなく、客を見分けるための値そのものとして使われていたことになります。
残っていた理由について、良品計画は「意図的に保管し続けたものではなく、データを運用管理するオペレーションに不適切な部分があった」と説明しています。削除漏れが人のミスによるものか、システムの問題によるものかは、まだ特定できていないとしています。
カード番号を「照合のための値」にすると、何が起きるか
良品計画が会見で認めたとおり、カード番号は客の識別に使われていました。それが何を招くのか、ここからは、システムを作る側としての当社の見方です。
会員を照合するための値（キー）には、本来、その会社の中でだけ意味を持つ番号を使います。会員番号や、MUJI Card ID のような番号です。この番号が漏れても、それだけでは買い物はできません。
ところが、クレジットカード番号そのものを照合のための値にすると、次のことが起きます。
- 照合のたびに全桁が必要になるので、マスク（一部を伏せること）をかけにくくなります。伏せてしまうと照合できないからです
- ほかのデータと結び付けて保存されるので、会員ID、生年月日、メールアドレス、住所と一緒に、ひとまとまりで盗まれやすくなります。今回も、有効なカードの一部は、メールアドレスや氏名・住所などと一緒に閲覧できる状態だったとされています
- 連携をやめても、データだけが残りやすいです。照合の仕組みを止めても、過去の照合の記録の中にカード番号が残り続けます。今回の約74.5万件の「使えないカードの番号」は、まさにこれです
カード会社と連携するなら、カード番号そのものではなく、カード会社が発行する別の番号（トークン）や会員IDで照合する設計にしておけば、お店の側が全桁を持つ必要はありませんでした。
今回、アプリやネットストアにカードを登録した約120件の方は、流出の可能性があるのはカード番号の先頭6桁と下2桁、カード名義で、全桁は含まれていません。支払いのためのカード情報は伏せて扱われていた一方、ポイントのための連携で受け取ったカード番号だけが全桁のまま残っていた、という違いが見えます。
国会で示されてきた「非保持化」
クレジットカード番号の扱いについては、2018年6月に施行された改正割賦販売法で、カードを扱う事業者に適切な管理が義務付けられました。
2020年5月22日の衆議院経済産業委員会で、経済産業省の藤木俊光政府参考人は、求めている基準について、国際基準の PCI DSS にのっとって管理することと、それが難しい場合は「そもそもカード情報の保存や処理を行わない、いわゆる非保持化、このどちらかを選択するようにということを求めているところでございます。」と答弁しています。
同じ年の5月12日、参議院経済産業委員会では、経済産業省の島田勘資政府参考人が、決済代行業者などに対しても「カード情報の非保持化、使ったらすぐにもう消すと、そういったことも求めていくということを検討しておるところでございます。」と答えていました。
11月12日の会見では、カード番号を持っていたことが法令違反に当たるのではないかという質問も出ました。良品計画は「非保持化については、当時から認識している」としつつ、「法律に抵触していたか否かは、現在確認をしている状況」と答えています（ITmedia NEWS の報道より）。
今回のカード番号は、支払いではなく、ポイントのための連携で受け取ったものです。ただ、漏れたときの危険は、受け取った目的が支払いでもポイントでも変わりません。「使ったらすぐにもう消す」という考え方は、支払い以外の目的で受け取ったカード番号にこそ必要だったと思います。
個人情報保護法の第22条も、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めることを事業者に求めています。
MUJI Card を持っている人が、いまやること
- 利用明細を確かめる：身に覚えのない請求がないかを確かめます。クレディセゾンは不正利用の監視を強めていると発表しています
- 不安なら再発行する：クレディセゾンは希望者にカードを再発行するとしていて、MUJI Card の再発行手数料は良品計画が全額負担すると会見で述べています
- 解約済みでも連絡が来ることがある：2000年10月からの入会者が対象で、すでに解約したカードの番号も含まれています
- 無印良品やカード会社を名乗る連絡に注意する：生年月日や氏名を言い当てられると、本物だと思いやすくなります。報道によると、良品計画はメールや電話でカード情報を尋ねることはないとしています
- パスワードを使い回さない：11月9日のリスト型攻撃は、別のサイトから漏れたIDとパスワードが使われたものです。ネットストアは、再開するときに会員にパスワードの変更を求めるとしています
有効期限とセキュリティコードは流出の対象に含まれていません。それでも、カード番号に生年月日やメールアドレスが組み合わさると、本人になりすますための材料が増えます。
会社として見直したいこと
今回の件は、攻撃を受けたこと以上に、使い終わったデータを持ち続けていたことが被害を大きくしました。どの会社にも当てはまることだと思います。
- カード番号を、会員の照合やポイントのための値に使っていないか
- 終わった連携や移行前の古いシステムに、カード番号や個人情報が残っていないか
- 保存しているカード番号は、マスクか暗号化がされているか
- 解約した人のデータを、いつ消すと決めているか、本当に消えているか
「消すと決めた」ことと「本当に消えている」ことは別です。データベースだけでなく、バックアップや、移行のときに作った一時的なコピーまで、実際に確かめる作業が欠かせません。
不正アクセスや情報漏洩のニュースと、そのあとに会社が確かめることを、次のシステムで整理しています。
調べ方
- 件数と経過は、良品計画の第二報を伝えた報道（J-CAST ニュース、ケータイ Watch、FNNプライムオンライン ほか）によります。良品計画の公式サイトは、当社の環境からは読み込めませんでした
- 会見での発言は、FNNプライムオンラインと ITmedia NEWS（11月12日「無印良品『21年までクレカ番号で顧客を識別していた』」）の記事によります
- 国会の答弁は、国立国会図書館の国会会議録検索システムで調べ、引用は原文のままです
- 有効なカードの件数は、報道によって約34.5万件・約35.5万件と分かれているため、本文では使えないカードの約74.5万件を書いています
- 当社は良品計画・クレディセゾンの関係者ではなく、システムの中身を独自に確かめてはいません。「カード番号を照合のための値にすると何が起きるか」は、当社の見方です
よくある質問
無印良品の情報漏洩で、クレジットカード番号は流出したのですか？
2021年7月までに入会した MUJI Card の会員約109万件について、カード番号の全桁、MUJI Card ID、生年月日が流出した可能性があると良品計画は発表しています。有効期限とセキュリティコード、カード名義は含まれていません。11月4日の第二報の時点では、ダークウェブへの流出や悪用は確認されていないとしています。
なぜ無印良品がクレジットカード番号を持っていたのですか？
MUJI Card をアプリに登録した客の「会員判定とポイント付与のため」に保存していたと、良品計画は説明しています。11月12日の会見では「2021年7月まではカード番号を顧客の識別に利用していた」と答えました。2021年7月にこの連携は終わり、それ以降は保存していませんが、それまでのデータが削除されずに、マスクもされないまま残っていました。
自分が対象かどうかは、どうすれば分かりますか？
対象の方には、良品計画からメールや郵送で、連絡先が分からない MUJI Card 会員にはクレディセゾンから連絡するとされています。2000年10月から2021年7月までに MUJI Card に入会した方が対象で、すでに解約したカードも含まれます。
MUJI Card は再発行した方がよいですか？
クレディセゾンは希望者に再発行するとしていて、再発行手数料は良品計画が全額負担すると会見で述べています。不安な方は再発行し、あわせて利用明細に身に覚えのない請求がないかを確かめてください。
無印良品のネットストアは使えますか？
11月12日の報道の時点で、ネットストアでの販売は止まっていて、再開の時期は決まっていません。再開するときは、会員にパスワードの変更を求めるとしています。
クレジットカード情報の「非保持化」とは何ですか？
カード情報を自社で保存したり処理したりしないことです。改正割賦販売法のもとで、カードを扱う事業者には、国際基準の PCI DSS に沿って管理するか、非保持化するかのどちらかを選ぶことが求められていると、経済産業省は国会で答弁しています。
