無印良品を展開する『良品計画』が12日に会見を行い、不正アクセスによる情報流出の可能性について謝罪しました。約109万件のクレジットカード番号が“全ケタ”流出した恐れがあり、会社側は管理体制に不備があったことを認めています。
「システムの一部に脆弱性」
累計3億4999万8482件（東京商工リサーチ/1月～10月末）。今年、日本の人口の約3倍に相当する規模が漏洩した個人情報。12日もまた、相次ぐ不正アクセスについて、社長自ら会見で謝罪しました。
「システムの一部に脆弱（ぜいじゃく）性があったことは当社の責任であり、重く受け止めています」
良品計画が運営する『無印良品』は、いまや世界で約30の国と地域に展開するグローバルブランドです。不正アクセスを受け、アプリの会員情報、最大約2726万件が流出した可能性があるとしました。
クレカ全ケタ流出の可能性
深刻さを示したのは…。
（Q.独自のカードを発行していたのに情報流出に至ったが受け止めは）
「特に責任を痛感しなければならない。クレジットカード番号という極めて重要な情報が流出した可能性があるということに関しては、特に重く責任を受け止めています」
約109万件が流出した可能性があるとしたのは、クレジットカード『MUJI Card』の番号。2021年7月までに入会した人の分です。しかも、その全ケタを含む情報が流出したと発表しました。有効期限やセキュリティーコードの流出はないということです。
専門家は、大量の不正利用は起こりにくいとしつつも、安全とは言い切れないと注意を呼び掛けます。
「セキュリティーコードとカードの有効期限はケタ数に限りがあるので、総当たり攻撃で破られる可能性がある。身に覚えのない買い物があれば、すぐにカード会社に相談してください」
「対応そのものが不備」
「対応そのものが不備があった」
今回、攻撃側は何らかの方法で良品計画のシステムに侵入。保管されていた『MUJI Card』の番号を抜き取りました。そもそも、クレジットカードの情報は、日本クレジット協会のガイドラインで非保持化が推奨されています。それでも保持する場合は、カード番号を隠すマスキングや、厳重な暗号化といった国際的なセキュリティー基準を満たすなど、極めて厳格な管理が義務付けられています。
「マスクされない状態で16ケタ保存されていました」
（Q.マスクをしないとは）
「クレジットカード番号を“マスクする”というのは世界的な基準があり、そちらを守るべく2021年の7月に対策を行って削除するべきという形だが、その時点で削除ができていなかった。それまでのデータが残ってしまっていた」
マスキングをしないまま保管し、退会者の情報も削除せずに残していたといいます。
（Q.今後、個人情報収集の取りやめ、保管情報の削除など検討は）
「まず一定の安全性を担保するために、情報を持たないということを最優先に考えていきます。ここは1度ゼロに戻して考えてみるべきと。そのプロジェクトが現在進行している」
街の人は。
「金銭的な部分が関わってくるので怖い。正直、利用しているからこそ感じる」
「（企業から）メールが毎日来ているので、メールアドレスや電話番号は流出しているのが当然という感覚」
個人情報収集 見直しの動きも
相次ぐサイバー攻撃を受け、企業の情報管理も見直しを迫られています。外食大手も12日の決算会見で…。
「不必要な情報を持っていないかなどの見直しも含めて、全社的に今やっているところ」
企業が対応に追われる中、個人情報を極力持たないという決断も。会員情報が流出した可能性があると発表した、ゴルフスクールを手掛ける『ステップゴルフ』。
「不正アクセスされてしまったということに関しては、非常に重く受け止めています。今後、改善が必要だと考えています」
流出した可能性がある情報は名前や電話番号に顔写真、そして銀行口座です。
（Q.どんな声が）
「私の口座はどこまで漏れているんですか？という問い合わせが一番多い。そういった方に関しては顧問弁護士などと相談しながら、保険会社とも相談して対策をしているが難しい」
個人情報の流出は企業の信頼を揺るがすだけでなく、その後の対応にもコストが掛かります。
「今後はデータの最小化に立ち返って、店舗運営をしていこうと考えています」
この会社は、収集する個人情報を見直すことを検討。しかし、限界もあるといいます。
「本人と確認がとれるように顔写真の登録をお願いしている」
会員証の貸し借りなど不正が行われないよう、顔写真については依然として必要だといいます。
「本人ではない方が店舗に入って利用しているかなど、顔写真がないと確認ができない」
（Q.店舗運営に必要か）
「会員制のサービスなので必要だと考えています」
個人情報“集めすぎ”どう見直す？
相次ぐ不正アクセスによる情報流出をきっかけに、これまで“集めすぎ”だった個人情報の扱いを見直す企業も増えているようです。
なぜ企業は、膨大な個人情報を集めるようになったのでしょうか。マーケティングに詳しい、経済評論家の鈴木貴博さんに聞きました。
「2010年代のスマートフォン普及が転換点になった。1990年代は、百貨店や旅行会社などで顧客と対面で情報を入手し、顧客管理に役立てていた。2000年代に入ると、インターネットやスマートフォンが普及し、各企業が独自のアプリなどを提供するようになり、アパレル・カラオケ・飲食など幅広い業種で個人情報を取り扱うようになった。こうした情報を活用して、好みに合わせたサービス・広告の提供ができるようになり、売り上げにつながった。顧客のことをできるだけ知りたいという考えが、情報の“集めすぎ”という結果につながってしまった」
消費者側も情報の“集めすぎ”を感じているようです。今年行われた個人情報についての意識調査によると、約65％の人が「情報提供時に不便さ・不信感を感じたことがある」と回答しています。その理由として、「求められる個人情報が多すぎる」などが挙げられていました。
（Q.今後はどうなりそうですか）
「前提として、ビジネスをする上で、顧客情報を持つことの重要性は今後も変わらない。ただ“意識の変化”は必要。大企業だけではなく中小企業も、情報管理は自社ではなく、セキュリティーが強固なプラットフォームに管理を任せざるを得ないといった考え方を持つ必要がある。また、ヨーロッパでは個人情報が流出した場合、数十億の罰金を課す厳しいルールを定めていて、企業側は不必要な情報を持つことはリスクと考え、必要最低限な情報だけを持つことにしている。日本も同じ意識を持つべき」