「MUJI Card、カード番号全桁」に目を奪われていないか？

不正アクセス事案で本当に見るべき「データのつながり」

「MUJI Cardのカード番号全桁、約109万件」

このニュースを見て、「カード番号全桁」という言葉に驚かれた方も多いのではないでしょうか。

良品計画は、MUJI Card会員に関する情報約109万件について、カード番号全桁、MUJI Card ID、生年月日などが第三者による不正アクセスの対象となった可能性があると発表しています。

そのうち現在も有効なカードは約34万5,000件、残りの約74万5,000件は解約済みや有効期限切れなどのカードです。

一方、公式発表では明確に次の点も示されています。

カード名義、有効期限、セキュリティコードは、今回アクセスされた可能性のあるMUJI Card情報には含まれていません。

ここまで聞くと、

「カード番号は全桁だけれど、有効期限もセキュリティコードもないのだから、不正利用の危険性は限定的なのでは？」

と感じる方もいるかもしれません。

確かに、これは利用者にとって重要な情報です。

しかし、ここで少し立ち止まって考えてみたいのです。

本当に、カード番号という一つのデータだけを見て、この事案のリスクを評価してよいのでしょうか。

その前に。「MUJI Card」は誰のカードなのか？

クレジットカードの仕組みに詳しくない方には、今回の構造は少し分かりにくいかもしれません。

「MUJI Card」という名前から、良品計画がカード番号、有効期限、セキュリティコードなど、決済に必要な情報をすべて持っているように思われるかもしれません。

しかし、そうではありません。

MUJI Cardを発行しているのはクレディセゾンです。

Visaなどの国際ブランドが付いたカードなら、その決済ネットワークを通じて、無印良品以外のさまざまな店舗でも利用できます。

では、なぜ良品計画のシステムにカード番号があったのでしょうか。

それは、カード決済を処理するためではなく、

「MUJI Card会員へのカード特典としてポイントを付与するため」

でした。

そのため、2000年10月から2021年7月まで、クレディセゾンから良品計画へカード番号などが連携されていました。

その後、ポイント付与の仕組みが変更され、現在はカード番号の連携を行っていません。

つまり今回、

「セキュリティコードがアクセスされなかったのは、攻撃者がそこまで到達できなかったから」ではありません。

そもそも、この過去のデータ連携にカード名義、有効期限、セキュリティコードが含まれていなかったのです。

ここまでは、少し安心できる情報かもしれません。

しかし、私が気になったのはここからです。

良品計画にあった情報は、それだけだったのか？

今回、不正アクセスの対象となった可能性が報告されたのは、クレディセゾンではなく、良品計画側のシステムです。

そこで視点を変えてみます。

良品計画が持っていた顧客に関する情報は、本当にこのMUJI Card関連情報だけだったのでしょうか。

同社の発表では、MUJIアプリや無印良品ネットストアの利用者、退会者を含む最大約2,726万件について、メールアドレス、生年月日、性別、会員IDなどが外部からアクセスされた可能性が示されています。

さらにそのうち約52万件については、氏名、住所、電話番号も対象に含まれています。

ここで一つの疑問が浮かびます。

これらの情報は、本当に完全に「別々のデータ」として独立していたのでしょうか。

攻撃者は、企業の管理区分どおりにデータを見てくれるのか

企業が事故を公表するとき、

「MUJI Card会員情報」

「MUJIアプリ会員情報」

「ネットストア会員情報」

など、システムやサービスごとに分けて情報を説明するのは当然です。

報道も、その発表に沿って情報を整理しているようです。

しかし、攻撃者はどうでしょう。

攻撃者が、

「これはカード情報だから、そのまま利用」

「これはアプリの会員情報だから、そのまま利用」

と、企業の管理区分に従ってデータを別々に利用してくるという保証はありません。

つなげられるデータがあれば、つなげて考える。

この視点が必要だと思うのです。

仮に同じ人物について、

カード番号全桁
＋ 生年月日
＋ MUJI Card ID
＋ 氏名
＋ 住所
＋ 電話番号
＋ メールアドレス

といった複数のデータを後で結び付けられたとしたら、カード番号単体の場合とは本人への影響が変わってきます。

実際、クレディセゾンの発表でも、MUJI Cardの対象者の一部では、カード番号全桁などに加えて、良品計画が保有していた氏名、住所、電話番号、性別、メールアドレスも不正アクセスの対象となった可能性が説明されています。

つまり、ここではすでに「情報の組み合わせ」という視点をもって本件を見ないといけなくなっているのです。

では、購買・注文データはどうだったのか？

ここは誤解のないよう、はっきり書いておきます。

私は決して「購買履歴や注文履歴もアクセスされた」と言っているのではありません。

現時点で確認されていないことを、事実のように扱うべきではないと理解しています。

だからこそ、私は知りたいのです。

小売やECでは一般に、商品の購入、ネット注文、配送、返品、ポイント利用など、顧客との取引に伴ってさまざまなデータが発生します。

今回、そうしたデータが置かれている領域に、第三者がアクセスできる状態だったのでしょうか。

それとも、そこはきちんと分離され、アクセスされていなかったのでしょうか。

アクセスされていないのであれば、それは利用者にとって大きな安心材料になります。

だからこそ、そのことを調査し、可能な範囲で公表してほしいと思います。

なぜなら、

「無印良品をご利用のお客様へ」

というタイトルで送られてくるフィッシングメールと、

自分の購入内容や注文に関連する情報を示されたうえで、

「お支払い情報の確認が必要です」

と書かれたフィッシングメールとでは、受け取る側が信じてしまう可能性が大きく違うからです。

足りないカード情報を「本人から引き出す」可能性

今回、カード名義、有効期限、セキュリティコードは、アクセスされた可能性のあるMUJI Card情報には含まれていません。

だからといって、二次被害まで含めて「完全に安全」と考えるのも早いと思います。

なぜなら、攻撃者には、

「足りない情報を本人に入力させる」

という方法があるからです。

例えば、

「MUJI Card情報に関する本人確認」

「カード再発行のための手続き」

「不正利用確認のためのセキュリティチェック」

などを装った偽メールやSMSを送り、正確な氏名や住所などを示して信用させたうえで、

• 有効期限

• セキュリティコード

• 暗証番号

などを入力させる。

こうした二次被害にも注意が必要です。

実際、クレディセゾンや良品計画も、不審なメール、SMS、電話などへの注意を呼びかけています。

今後、良品計画から説明してほしい5つのこと

この記事の目的は、調査中の企業を一方的に批判することではありません。

調査が進めば、新たに分かることも当然あるでしょう。

だからこそ、今後の調査結果に対しては、私は次の5点を特に知りたいと思います。

1．MUJI Card IDは、何とつながっていたのか

MUJIアプリやネットストアなどの会員情報と、どこまで関連付けられる構造だったのでしょうか。

2．攻撃者は、複数のデータ領域へアクセスできたのか

MUJI Card関連情報だけなのか、他の顧客情報にも横断的にアクセスできる状態だったのでしょうか。

3．同一人物の情報を結び付けられる状態だったのか

カード番号、生年月日、MUJI Card ID、氏名、住所、電話番号、メールアドレスなどを、同じ人物の情報として突合できる状態だったのでしょうか。

4．購買・注文・配送関連データは調査対象になっているのか

「漏れた」と決めつけるのではありません。

アクセスされていないことを確認できているのであれば、それも重要な公表情報だと思います。

5．2021年7月に連携を終了したカード番号が、なぜ2026年まで残っていたのか

ポイント付与という当初の役割が終わった後も、過去のカード番号を保持する必要があったのでしょうか。

保存期間はどう定められていたのでしょうか。

削除する時期や手続きは、どのように管理されていたのでしょうか。

これは良品計画だけの問題ではありません。

多くの企業が、自社のデータ管理を見直すうえで重要な論点だと思います。

情報は「集めたとき」だけ管理すればよいのではない

個人情報の管理というと、私たちはつい、

「取得するときに本人へ説明したか」

「安全に保存しているか」

というところに目が行きます。

しかし、データにはライフサイクルがあります。

取得する。
利用する。
他のシステムや事業者と連携する。
保存する。
そして、役割を終えたら適切に手放して安全に消滅させる。

今回、2000年10月から2021年7月までポイント付与のために連携されていたカード番号が、2026年の不正アクセス事案で改めて問題になりました。

「保存しているだけだから大丈夫」なのではありません。

保有し続ける限り、そのデータは将来のリスクにもなり得ます。

だからこそ、情報セキュリティだけではなく、データのライフサイクル全体を管理する必要があります。

「何が漏れたか」から「何と何がつながるのか」へ

私は以前、「文脈欠落報道」について書きました。

個人情報に関する事故では、どうしても、

「何件だったのか」

「どの項目だったのか」

という件数や情報項目に注目が集まります。

もちろん、それらは不可欠な情報です。

しかし、生活者が本当に判断したいのは、その先ではないでしょうか。

その情報は何のために集められたのか。

なぜ今も残っていたのか。

何と結び付いているのか。

ほかの情報と組み合わせると何が分かるのか。

そして、

その結果、本人に何が起こり得るのか。

ここまで伝わって初めて、私たちは事故のリスクを自分の問題として考えることができます。

報道機関は取材の際に、一つだけ質問を加えてほしい

これは報道機関への批判ではありません。

むしろ今回のような事件を私たち生活者が正しく理解するために、ニュースを伝える際に一つだけ質問を加えてほしいのです。

企業は、データをシステムや利用目的ごとに整理して発表します。

それは当然です。

しかし、

攻撃者は、企業の発表資料の表に従って、行儀よくデータを分けて使ってくれるわけではありません。

同じ企業から得た別の情報と組み合わせるかもしれない。

過去に別の場所から流出した情報と照合するかもしれない。

足りない情報を、フィッシングによって本人から取得しようとするかもしれない。

だから、私たちも「一つ一つの情報項目」だけを見るのではなく、

「この情報と、この情報をつなげたら何が分かるのか」

という視点を持つ必要があります。

「カード番号全桁」の向こう側を想像する

「MUJI Cardのカード番号全桁」

これは確かにインパクトのある言葉です。

そして、カード番号全桁が不正アクセスの対象となった可能性は、軽視してよい問題ではありません。

しかし、それだけを見ていても、本当のリスクは分かりません。

そのカード番号は、

なぜそこにあったのか。

何と結び付いていたのか。

ほかのデータと組み合わせることができたのか。

そして、組み合わされたとき、本人に何が起こり得るのか。

そこまで考える必要があります。

企業はデータを、一つ一つの項目として発表します。

しかし、攻撃者はデータをつなげて考えます。

だからこそ、私たちも、

「何が漏れたか」から「何と何がつながるのか」へ。

もう一歩、視点を進めてみてもよいのではないでしょうか。

「個人情報が●●●●万件漏えい」で、何が分かりますか？　　社会の思考停止を防ぐための「文脈欠落報道改善ガイドライン」を考える