無印良品を展開する良品計画が12日午後、会見を開きました。
不正アクセスによる情報流出が相次いでいる問題について清水智社長が謝罪し、削除すべきクレジットカード番号を保管し続けたことが大規模な情報流出につながった可能性があると明らかにしました。
12日正午から始まったのは、無印良品を展開する良品計画の記者会見です。
その冒頭、清水社長は「このたび当社は外部からの不正アクセスを受け、お客さまの情報が流出した可能性がある事象が発生した。大変申し訳ございません」と述べ、約8秒間、頭を下げて謝罪しました。
良品計画は10月30日に公式アプリ「MUJIアプリ」において、顧客のメールアドレスや生年月日などの情報が最大で約2726万件流出した可能性があると発表。
この時はクレジットカード情報などは流出していないとしていました。
ところが、11月4日になってクレジットカード「MUJI Card」のカード番号が全ての桁にわたって約109万件流出した可能性があることを明らかにしたのです。
さらに、11月9日には第三者が不正に入手したパスワードなどの情報を使ってログインを試みる、いわゆる“リスト型攻撃”を受け、新たに約27万件の情報が流出した可能性があると公表しました。
リスト型攻撃とは、不正に入手したIDとパスワードを使って別のサイトへのログインを試みるサイバー攻撃のことで、複数のサイトで同じIDとパスワードを使っている場合、勝手にログインされてしまいます。
12日の会見で多くの質問が飛んだのが、16桁のクレジットカード番号がなぜ流出したかについてでした。
――大手各社不正アクセスを受けている中で、これだけクレジットカードの番号が漏れるのは珍しい。よりセキュリティーの高い方法で保存していなかったのか？
宮澤高浩役員：
今回に関しては、マスクをしない状態で保管していたところが一番の課題。
――マスクをしないことが理解できない。なぜできていなかった？
宮澤高浩役員：
2021年の7月に対策を行って削除するべきだったが、その時点で削除できていなかった。それまでのデータが残っていた。
良品計画によりますと、2021年以降はクレジットカード番号にマスクをかけて保管しているといいますが、それ以前はポイントの付与にカード番号を利用していたといいます。
一方で、クレジットカードの有効期限やセキュリティー番号は漏えいしていないとしています。
漏洩した顧客に対する補償については「対象となったMUJI Cardの再発行手数料を全額当社で負担することは方針として決めた」とした上で、被害の実態が明らかになった場合はきちんと向き合い補償する考えを示しました。
さらに会見では、情報流出が確認された後もネットストアでの販売を続けたことについても質問が及びました。
――ネットストアは11月4日まで、その時点では情報流出が発覚していた。経営判断は正しかった？
清水智社長：
そのときの判断としては、単一の攻撃であろうという想定があったので、ここを止血することによって継続して営業は可能だと判断した。今、振り返ってみればより早く対応していればよかったという反省はもちろんある。
ネットストアでの販売は現在中止していて、現時点で再開時期は未定。
再開する場合は、会員にパスワードの変更を求めるということです。
