無印良品を展開する良品計画は10月30日、公式アプリ「MUJIアプリ」で、会員のメールアドレス・生年月日・性別が外部に流出した可能性があると発表した。対象は最大約2,726万件で、すでに退会した人の情報も含まれると各社が報じている。
アプリを一度でも入れた人なら、対象に入っていてもおかしくない規模だ。アプリを消した人、退会したつもりの人も、今回は無関係とは言い切れない。
出た可能性がある3項目、含まれないもの
流出の可能性がある情報は、次の3項目だ。
- メールアドレス
- 生年月日
- 性別
クレジットカード情報、氏名、住所、電話番号などは含まれないと同社は説明している。外部からの不正なアクセスを検知したあと、該当する箇所へのアクセスを遮断し、修正を適用した。ダークウェブなどへの流出や、情報を悪用した被害は、現時点で確認されていないという。原因や侵入の経緯は明らかにされていない。
MUJIアプリと無印良品ネットストアは、通常どおり使える状態が続いている。
名前のない3項目が、何に使われうるか
氏名も住所もない3項目は、一見すると軽く見える。それでも、メールアドレスに生年月日と性別がそろえば、相手に合わせた文面のメールは作れる。同社も、この情報を悪用したなりすましメールが送られるおそれがあるとして注意を呼びかけている。
無印良品を名乗る「お詫び」「ポイント付与」「会員情報の確認」といったメールが届いたら、本文のリンクからは入らず、アプリやブックマークから開き直すのが確実だ。同社は対象者に順次連絡するとしているので、本物の連絡も届く。本物と偽物が同じ時期に届くことが、今回の難しさになる。
生年月日は、ほかのサービスで本人確認の質問に使われていることがある。そうしたサービスを使っているなら、確認の方法を変えられるかを見ておく手もある。ただ、生年月日そのものは変えられないし、出たかもしれない情報を取り戻す手段もない。利用者にできるのは、届くメールの扱い方を先に決めておくことだ。
退会した人も、対象から外れていない
退会者の情報が含まれる、という点は読み飛ばしにくい。アプリを使わなくなって何年もたつ人の情報も、今回の対象に入りうる。当時登録したメールアドレスを今も使っているなら、そこに同社からの連絡も、無印良品を装ったメールも届きうる。
次に確かめたいのは、良品計画のウェブサイトのお知らせだ。原因の説明と、対象者への連絡がどの手段で届くのかが、続報で示されるかを見たい。
ことば
- MUJIアプリ — 無印良品の公式アプリ。会員登録して使う仕組みで、登録したメールアドレスや生年月日などの会員情報は、退会後の分も含めて良品計画の側に保管されていた。
- なりすましメール — 実在の会社や人を装って送られるメール。本物の連絡が届きそうな時期を狙い、リンクから偽のページへ誘って、IDやカード番号を入力させようとする。
無印良品を名乗るメールが届いたら、あなたはそのリンクを押す前に何を確かめるだろうか？
