会見で説明したのは古いカード番号の保管
良品計画は11月12日の会見で、顧客情報の流出可能性と情報管理上の不備について謝罪した。ITmedia NEWSによると、2021年7月まではMUJI Cardの番号で顧客を識別していたが、仕組みを変えた後も一部の番号を削除せず保管していたという。削除漏れが人の作業ミスなのかシステムの問題なのかは特定できておらず、会社は調査を続けると説明した。
約109万件の対象には入会期間の条件がある
クレディセゾンの11月4日付資料は、良品計画側で第三者のアクセス対象となった可能性があるMUJI Card情報を約109万件とする。対象は2000年10月から2021年7月までの入会者で、解約・期限切れなどのカードも含む。カード番号全桁や生年月日などが対象だが、有効期限やセキュリティコードは含まれないと説明する。これは全ての無印良品利用者のカードが対象という話ではない。
別のログイン攻撃を受けネットストア再開を延期
良品計画は11月9日、外部で入手された可能性のあるパスワード等を使う大量のログイン試行を確認したと発表した。この「リスト型攻撃」は、他所で得たIDなどを別のサービスでも試す手口だ。12日の会見報道は、カード情報へのアクセスにつながった攻撃とは異なると伝える。ネットストアは6日から停止しており、追加の安全確認のため再開を延期。繊研新聞の会見報道でも再開日は示されていない。
個別の対象確認と不審な案内への注意
良品計画は対象者へのメール・郵送での連絡を10日から順次始めると案内した。カード会社は明細を確認し、心当たりのない利用があれば問い合わせるよう求めている。また、不審な案内先にカード番号や暗証番号を入力しないよう注意を促す。過去資料にある監視状況だけで現時点の被害全容は判断できない。今後は調査結果、対象範囲の変更、正式な再開時期の発表を確認する。