無印良品《最高益の裏で痛恨の失策》「カード情報は含まれません」から5日で一転…“109万件の番号全桁”が漏洩の可能性

　「クレジットカードを作れば特典が付きます」。買い物の際、そんな勧誘を受けた経験がある人は少なくないだろう。目の前の割引やポイントにひかれて入会しても、自分のカード番号が企業間でどのように共有され、いつまで残されるのかまで意識する機会は乏しい。 　「MUJI Card」も、良品計画とクレディセゾンがポイント付与などの特典を掲げて入会を勧めてきたカードである。無印良品の情報流出問題は、その見えにくい管理の実態を問い直すものだ。

　「クレジットカードを作れば特典が付きます」。買い物の際、そんな勧誘を受けた経験がある人は少なくないだろう。目の前の割引やポイントにひかれて入会しても、自分のカード番号が企業間でどのように共有され、いつまで残されるのかまで意識する機会は乏しい。 　「MUJI Card」も、良品計画とクレディセゾンがポイント付与などの特典を掲げて入会を勧めてきたカードである。無印良品の情報流出問題は、その見えにくい管理の実態を問い直すものだ。

■第1報からわずか5日後に、説明が大転換 　無印良品を展開する良品計画は11月4日、「MUJI Card」のカード番号全桁など約109万件に、外部からアクセスされた可能性があると発表した。 　10月30日の第1報では「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」としていた。そのわずか5日後に、説明が大きく変わった。 　事案全体では、アプリとネットストアの利用者のメールアドレスや生年月日など最大約2726万件が対象となり、うち約52万件は氏名や住所も含む。アプリやネットストアに登録された約120件のカード情報についても、番号の一部や名義などにアクセスされた可能性があるという。

　約109万件のうち現在有効なカードは約34万5000件で、残る約74万5000件は失効・解約済みとされる。約109万件のカード情報については、カード名義や有効期限、セキュリティコードは対象に含まれない。 　一方、良品計画によると、有効なカードのうち約16万8000件は、社内システム上でメールアドレスなどの会員情報とあわせて閲覧できる状態だった。このうち約2万5000件は、氏名や住所、電話番号も閲覧できた。

　11月4日の公表時点で、情報のダークウェブなどへの流出や、当該情報を悪用した被害は確認されていない。「アクセスされた可能性」と流出の確定は区別すべきだが、番号全桁が対象となった事態は重い。 【写真】3期連続最高益の“絶好調”からまさかの暗転…情報流出が明らかになった無印良品 　良品計画は無印良品の店舗やネットストア、会員サービスを運営する会社である。クレディセゾンは「MUJI Card」を発行するカード会社だ。「MUJI Card」は無印良品の名前を冠したクレジットカードだが、発行主体は良品計画ではない。

　では、なぜ小売会社のシステムにカード番号があったのか。クレディセゾンによると、カード特典のポイント付与のため、2000年10月から21年7月まで、良品計画へカード番号を連携していた。今回対象となった生年月日も、同社から渡った情報だという。その後は仕組みを変え、番号の連携を行っていない。 　ネットでカード決済をしても、販売会社には番号全桁が渡らない仕組みがある。利用者が入力した番号を決済代行会社に直接送り、販売会社は決済結果や番号に代わる識別情報を受け取る方式である。こうした方式を採用することで、小売会社はカード番号全桁を保管せずに決済を行うことができる。

　不正アクセスの対象となった可能性があるカード番号全桁の情報は、こうした決済時の情報取得とは異なり、提携カードの特典を付けるために、カード会社から小売会社へ渡されたものだった。 ■クレカ番号「全桁」を共有する必要性はあったのか 　問題は、カード番号の連携が21年7月に終了していたにもかかわらず、5年以上を経た現在も過去に取得した番号が残されていたことだ。良品計画は特典付与のために取得したと説明する。しかし、取得時の目的を示すだけでは、現在まで保管した理由の説明にはならない。

　過去の取引確認や紛争への対応など、一定期間の保存が必要な場合はある。だが、取引記録を残す必要性と、カード番号全桁を残す必要性は別である。別の会員番号などで代替できなかったのか。連携終了時に、保存の必要性と削除の対象を点検したのか。 　退会者についても、すべての情報を即時削除する法律上の一般原則はない。だからといって、期限も目的もあいまいなまま残してよいわけではない。対象の約7割は失効・解約済みのカードであり、利用を終えた人にも管理の問題が及んでいる。

　個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求める。努力義務であり、長期保管だけで直ちに違法とはいえない。しかし法の趣旨に照らせば、業務上の必要性と保管を続けるリスクを比べ、必要以上の長期保管は避けるべきだ。 　今回、保管に合理的な理由がなく、削除の点検も行われていなかったとすれば、ずさんな情報管理との批判は免れない。両社は、特典のために全桁を共有した必要性と、終了後の保存・削除の取り決めを明らかにすべきだ。

■一般向けに第2報を出すまでの「2日間」に何があったのか 　第1報の「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」という説明も看過できない。事故直後に全容がわからず、追加調査で対象が広がることはあり得る。新事実の公表は必要だが、それだけで最初の断定が正当化されるわけではない。 　確認した範囲で番号が見つからなかったことと、番号が対象に含まれないと確認できたことには違いがある。過去の特典制度で取得した情報まで調べたのか。対象外と言い切った根拠を説明してほしい。クレディセゾンによると、良品計画のシステムへの不正アクセスは10月29日に発生した。第1報は攻撃からわずか1日ほどで出されている。たった1日の調査で、なぜカード情報は含まれないと言い切れたのか。

　第1報を信じた利用者が、カードの明細を確認する必要はないと受け止めた可能性もある。公表の正確性は企業の評判だけでなく、消費者が被害を防ぐ機会にも関わる。 　クレディセゾンは、番号も対象となった可能性について、11月2日に良品計画から報告を受けたとしている。一般向けの第2報は11月4日である。この間に何を確認し、どのような被害防止策を講じたのか。 　日数だけで不当な遅延とは断じられないが、公表時期の判断も検証が必要だ。調査中なら、確認できた事実と未確認の範囲を分け、その段階で必要な注意を呼びかければよい。早く公表することと、根拠の乏しいまま「含まれない」と言い切ることは別である。

■クレディセゾンにも説明責任がある 　不正アクセスを受けたのは良品計画のシステムであり、保管と安全管理、公表判断について同社の説明責任は大きい。クレディセゾンのシステムへの不正アクセスや、そこからの流出は現時点で確認されていない。 　一方、カード会社側にも、渡した情報の扱いをどう取り決めていたのかを説明してほしい。委託、共同利用、第三者提供といった法的な関係や契約内容によって、検討すべき責任は異なる。

　個人情報保護法23条は必要かつ適切な安全管理措置を求め、26条は一定の漏洩等やそのおそれについて、個人情報保護委員会への報告と本人通知を原則として義務付けている。施行規則7条は、クレジットカード番号のように、不正利用によって財産的被害が生じるおそれのある個人データの漏洩などについて、件数にかかわらず報告対象としている。流出が確定するまで待てばよい制度ではない。 　割賦販売法も、カード番号などの適切な管理を求めている。実務上の対策は、加盟店が番号を保持しない「非保持化」や、保持する場合の「PCI DSS」という国際的な安全基準への準拠などである。

　ただし今回の番号は、決済のためではなく、提携特典などのためにカード会社から受け取ったものだ。良品計画がどの立場で同法の規律を受けるのかという適用関係を含め、保存形態と保護措置の確認が必要だ。 ■良品計画とクレディセゾンに問われる「管理の妥当性」 　利用者はセゾンPortalやNetアンサーなどで明細を確認し、身に覚えのない利用があれば発行会社に連絡してほしい。対象の有効な「MUJI Card」を使い不安がある場合は、再発行を相談することも考えられる。クレディセゾンは希望者の再発行を受け付けているが、手元に届くまで時間がかかるという。

　再発行や補償を装うメールにも注意したい。良品計画は、メールや電話でカード情報を尋ねることはないとしている。届いたリンクから番号や暗証番号を入力せず、公式の窓口から手続きすべきだ。両社は再発行の費用や条件、不正利用時の対応を明確に示し、利用者の負担を減らす必要がある。 　カードの勧誘では、入会時のメリット強調が目立つ。しかし企業の責任は、入会を獲得した時点で終わらない。利用中はもちろん、利用終了後や仕組みの変更後も続く。

　特典を付けるために集めた番号が、長年残って不安を生む。その管理の妥当性を、両社は消費者に説明しなければならない。