【会見詳報】“無印良品” 不正アクセス受け情報流出の可能性　良品計画 清水社長「心よりお詫び」「システムの一部に脆弱性があった」「必要のない情報を持たない仕組みづくりを進める」

良品計画 清水智 代表取締役社長（会見冒頭 12日正午すぎ）
「代表取締役社長の清水でございます。本日はお忙しい中お集まりいただきまして、誠にありがとうございます。この度、当社は外部からの不正アクセスを受けまして、お客様の情報が流出する可能性がある事象が発生いたしました。関係者の皆様におかれましては、お客様も含め多大なご心配とご迷惑をおかけしましたことを心よりお詫び申し上げます。また私からは、とりわけ3つの点につきまして、お詫び申し上げたいというふうに考えております」

「1つは、不正アクセスそのものを防ぐことができず、お客様の情報が外部に流出した可能性があること。もう1つは、当然破棄して然るべきMUJIカードの番号などのデータがそのまま残っており、外部に流出した可能性のあること。無印良品ネットストアが現在停止をしておりますけれども、この停止期間がなお今延長されていることの3つを特にお詫び申し上げたいというふうに考えております。大変申し訳ございません」

「本日は経緯、流出した可能性のある情報の順で、順を追ってご説明をさせていただきたいと思っております。本日ご説明させていただく情報は11月11日時点の情報となっておりまして、これ以後新しい事実が出てきた場合には、リリース等で速やかにご説明・ご報告をさせていただきたいというふうに考えております。まずこれまでの経緯、ご説明をいたします。リリースごとにご説明をしてまいりますので、いつ何を把握し、どのような対応を取ったのかということをご確認いただければというふうに思います」

「まず第1報でございます。10月29日の早朝、MUJIアプリにおきまして、外部からの不正なアクセスを検知いたしました。当社は直ちに該当箇所へのアクセスを遮断をし、10月30日にかけまして修正を適用いたしました。その上で、10月30日に第1報として公表しております。MUJIアプリをご利用のお客様のメールアドレス、生年月日、性別などが外部からアクセスされた可能性があることをお伝えしております」

「次に第2報でございます。第1報の後も調査と監査を継続した結果、11月1日から2日にかけて新たな事実を把握をいたしました。無印良品ネットストアをご利用のお客様の氏名、住所、電話番号、そしてMUJIカード番号などがアクセスされた可能性がございました。当社は11月4日までに不正なアクセスを遮断し、モニタリングを継続し、カード発行会社の皆様にも不正利用のモニタリングを強化していただくようお願いをしてまいりました。そして11月4日にクレディセゾン様と同時に、第2報として公表させていただいたということでございます」

「続きまして第3報です。当社はお客様情報の保護を最優先にセキュリティ強化を続けてまいりました。その中で11月5日に今後の対応を協議の上、11月6日に無印良品ネットストアとMUJIアプリの一部を停止することを決定いたしました。この一時停止を11月6日に第3報として公表しております」

「最後に第4報でございます。11月7日、不正ログインの状況と対象となる情報の範囲につきまして、新しい状況を把握をいたしました。当社は11月9日まで情報の範囲の確認および不正なログインへの対応を進めてまいりました。調査の結果判明した内容を11月9日に第4報として公表いたしております。あわせてネットストアの再開延期も決定をしております。第三者が外部で不正に入手したと思われるパスワード等の情報を使用したリスト型攻撃による不正なログインの可能性が判明し、さらなる総合的なセキュリティ対策を講じる必要性を認識したと判断したためでございます。以上が経緯でございます」

「（流出した可能性のある情報）まず1つ目は、メールアドレス、生年月日、性別、会員IDなど、外部からアクセスされた可能性のある会員情報は最大2726万件でございます。このうち、氏名、住所、電話番号もアクセスされた可能性のあるものはうち75万件となっております」

「2つ目には、第三者による不正なログインが確認された会員アカウントは約27万件でございます。これにはマイページという場所にありますお客様の氏名、住所、お届け先などの情報を含む購入履歴やポイント、アドレス帳などが閲覧できる状態でございました」

「3つ目、2021年7月以前にMUJIカードにご入会をされたお客様のカード番号、MUJIカードID、生年月日にアクセスされた可能性がありました。これは約109万件でございます。このうち失効していない有効なカードは34.5万件でございます」

「4つ目、MUJIアプリには無印良品ネットストアにご登録のクレジットカードのうち、先頭6桁と下2桁、カード名義がアクセスされた可能性のあるものが120件でございます」

「5つ目、2020年1月2日から2025年2月10日までの代金引換配送でのご注文の配送先のお名前と郵便番号がアクセスされた可能性のあるものが44万件でございます。ご依頼主の情報は含まれておりません。」

「これら対象となるお客様に関しましては、11月10日からメールもしくは郵送にて順次詳細のご連絡をさせていただいております。またMUJIカードのお客様には、当社とクレディセゾン様よりご連絡を差し上げております。お客様によっては流出した可能性のある情報が様々異なりますので、個別のお知らせはそれぞれのお客様について流出した可能性のある情報を記載をしております。ご連絡先がわからない場合には、リリースを持ってこの連絡に変えさせていただきたいと存じます」

「次に今回の状況と当社の対応をご説明をいたします。主にシステムです。今回、外部から不正アクセスを許しましたのは、当社のシステムの一部に脆弱性があったためでございます。加えて、不正に入手されたとみられるIDとパスワードを使った大量のログインも検知しております。システムの一部に脆弱性があったことは当社の責任であり重く受け止めております。なお、詳しい不正アクセスの対策の具体的な内容につきましては、同様の攻撃を招く恐れがございますためご回答を控えさせていただきます。ご理解をいただけますと幸いでございます」

「当社はシステム開発・運用を委託しております開発会社や関連会社と共同いたしまして、次の3つの視点で状況と対応を整理しております。1つ目はシステムでございます。システムの一部に脆弱性があり、不正に情報アクセスできる状態となっておりました。不備を是正し、不正なアクセスを防ぐ修正を適用しております」

「2つ目はデータの運用です。全桁のカード番号や退会されたお客様の情報がシステムに残っておりました。必要のない情報を持たない仕組みづくりを現在進めております」

「3つ目はモニタリングです。監視を強めていた中で、リスト型攻撃による不正なログインの可能性が判明をいたしました。これに対してはモニタリングの強化、高度化を進めてまいります。またネットストアの再開を延期し、これにより総合的なセキュリティ対策を実行してまいりたいというふうに考えております」

「ここでMUJIカード情報について、改めてお詫びとご説明を差し上げたいというふうに思います。MUJIカードの情報につきましては、2021年7月以前にMUJIカードにご入会のお客様に当社独自の特典を付与するため、カード番号、MUJIカードID、生年月日を取得し保存をしておりました。この運用を変更した後も、これらの情報をシステムから破棄しておりませんでした。本来クレジットカードの番号はとりわけ厳重な管理が求められる情報です。改めて深くお詫び申し上げます。カード発行会社様には、不正利用のモニタリングを強化していただいております」

「次に無印良品ネットストアとMUJIアプリについてご説明をさせていただきます。11月6日からお客様情報の保護を最優先にセキュリティをさらに強化するため、無印良品ネットストアを一時停止をしております。ネットストアはウェブサイトの全サービスを、MUJIアプリに関しましては会員証の表示以外を停止をさせていただいております。ご利用のお客様には大変ご迷惑をおかけしております。11月9日には、リスト型攻撃による不正なログインの可能性が判明をいたしましたため、さらなる総合的なセキュリティ対策の確認が必要だという判断をいたしまして、再開の延期をさせていただいております」

「最後にお客様へのお詫びとお願いでございます。1つ目は個人情報についてです。当社もしくはクレディセゾン様よりお知らせが到着いたしましたら、内容をよくご確認いただきたいと存じます。当社やカード会社を装った不審なメールや電話にご注意いただきたいと思います。不審なメールに記載されたURLのクリックはお控えください。当社がパスワードやクレジットカードの情報をお尋ねすることはございません。相手がお客様のお名前や住所をご存知だった場合にも安易に信用することはせず、不審な場合には当社の窓口までご相談いただければ幸いです」

「2つ目、クレジットカードについてです。ご利用のクレジットカードの明細を是非ご確認をお願いしたいと思います。身に覚えのないご利用がある場合には、カードの発行会社様へお問い合わせをお願いします」

「3つ目、無印良品ネットストアについてです。申し訳ございません、再開を延期しております。再開時にはパスワードの再設定をお願いすることになろうかと存じます。この点是非よろしくお願いをしたいと思います」

「当社は、お客様の情報を厳重に扱うということに対する責任を重く受け止めております。信頼の回復に真摯に取り組んでまいりたいというふうに考えております。改めまして、お客様と関係者各位に多大なご迷惑をおかけしましたことは心から深くお詫び申し上げたいと思います。大変申し訳ございません」