良品計画は11月4日、クレディセゾンが発行する MUJI Card の会員約109万件について、カード番号の全桁・MUJI Card ID・生年月日が外部からアクセスされた可能性があると発表した。対象は2021年7月までに入会した人で、すでに失効・解約したカードも含み、いま有効なカードは約34.5万件にあたる。
10月30日に公表した MUJIアプリへの不正アクセスを調べ直すなかで分かった。初報では「クレジットカード情報は含まれない」とされていたので、10月30日の記事を読んで安心した人ほど、今回は自分のカードを見直したほうがいい。
2021年7月までの入会者に、何が残っていたか
良品計画によると、2021年7月以前は独自の特典をつけるために MUJI Card 会員のカード番号・MUJI Card ID・生年月日を取得しており、それが社内のシステムに残っていた。クレディセゾンの案内では、対象は2000年10月から2021年7月までに入会した会員で、2021年8月以降に発行したカードは対象外だ。
カード名義、有効期限、セキュリティコードは含まれていないと両社は説明している。ダークウェブなどへの流出や、情報を悪用した被害は、現時点で確認されていないという。
ただし、番号だけで済まない人もいる。いま有効なカード約34.5万件のうち約16.8万件は、メールアドレス・生年月日・性別・会員IDと同じシステム上で見られる状態にあり、さらにそのうち約2.5万件は氏名・住所・電話番号も見られる状態だった。
初報から広がった範囲
今回の発表で、カード以外の範囲も広がった。
- 最大約2,726万件のメールアドレス・生年月日・性別は、MUJIアプリ利用者だけでなく、アプリを使っていない無印良品ネットストアの会員も対象だった。項目に会員IDが加わった
- そのうち約52万件は、氏名・住所・電話番号も対象になった
- アプリかネットストアにカードを登録していた約120件は、カード番号の先頭6桁と下2桁、カード名義が対象になった
不正なアクセスはすでに遮断され、アプリとネットストアは通常どおり使える。原因と影響範囲の特定は続いている。
明細を見続けるか、番号を替えるか
両社が対象者に求めているのは、まず利用明細の確認だ。身に覚えのない利用があればカード会社に問い合わせる。クレディセゾンは MUJI Card の不正利用の監視を強めており、身に覚えのない利用が見つかった場合は所定の調査をし、その結果に応じて対応するとしている。
もう一つの選択肢が再発行だ。希望すればクレディセゾンの Netアンサーかセゾン Portal から申し込めるが、届くまでに時間がかかると案内されている。番号を替えるなら、そのカードで払っている公共料金や通販、サブスクの登録を付け替える手間も出る。引き落としの多いカードほど、その手間は重い。
名義と有効期限がそろっていないことは救いになる。それでも、足りない情報を電話やメールで聞き出そうとする連絡には気をつけたい。良品計画は、同社からメールや電話でカード情報を尋ねることはないとしている。
対象者には良品計画からメールか郵送で順次連絡が届き、良品計画が連絡先を把握していない会員にはクレディセゾンから連絡が来る。クレディセゾンの専用窓口は 0120-227-190 で、受付は12月26日まで毎日10時から17時、2027年1月4日からは月曜から土曜だ。混み合ってつながりにくいこともあるという。
次に確かめたいのは、手元に届く個別の連絡と、良品計画の適時開示で示される原因の説明だ。ほかの漏えいの公表とあわせて、漏えいチェックのページでも対象と確かめ方を追っている。
ことば
- MUJI Card — クレディセゾンが発行する無印良品の提携クレジットカード。2021年7月までは無印良品独自の特典のために、カード番号などを良品計画の側でも持っていた。今回の範囲がこの時期で区切られているのはそのためだ。
- MUJI Card ID — MUJI Card の券面に書かれている無印良品メンバーID。カード番号とは別の番号で、無印良品の会員としての番号にあたる。今回は生年月日とあわせて対象になった。
- セキュリティコード — カードの裏面などに印字された数桁の番号。ネットで買い物をするとき、カードを手元に持っていることの確認に使われる。今回は含まれていないとされている。
2021年7月より前に作った MUJI Card が手元にあるなら、あなたは明細を見続けるか、番号を替えて登録を付け替えるか、どちらを選ぶだろうか？
