無印良品の情報流出をめぐる追加発表に、Xでは「カードを登録していなければ大丈夫？」「もう解約したカードも関係あるの？」といった疑問が見られました。いつも使っているお店の名前だけに、自分が対象なのか気になった方もいるのではないでしょうか。

良品計画が11月4日に公表したのは、MUJIアプリやネットストアなどの情報に、不正なアクセスがあった可能性についての続報です。カード番号に関する説明も加わりました。ここでは3件の投稿を紹介しながら、利用者が迷いやすいところを公式発表と一緒に見ていきます。

まずは、何が変わったのか

  • アプリを使っていないネットストア会員も対象に含まれ、一部では氏名・住所・電話番号も含まれると発表されました。
  • MUJI Cardのカード番号全桁などが対象になった可能性があります。カード会社が示した約109万件には、解約済みなどのカードも含まれます。
  • 情報への不正アクセスの可能性と、不正利用の被害が確認されたことは別です。両社は調査・監視を続けています。

10月30日の第一報では、メールアドレス、生年月日、性別が挙げられ、カード情報などは含まれないと説明されていました。その後の調査で説明が追加されたため、以前のお知らせを読んだ方も、11月4日の第二報を確認しておきたいところです。

以下は、11月4日に確認できた個別の投稿です。ネット全体の意見や、投稿者の被害を示すものではありません。

「カードを登録していないけど…」

アプリは使っていても、カード情報は登録していない。そんな場合はどうなのか、という投稿がありました。

この戸惑いは、もっともだと思います。「アプリを使ったことがあるか」「カードを登録したか」「MUJI Cardを持っていたか」は、自分の中では別々の話ですよね。ところが、今回の発表には複数のサービスが出てきます。どの情報が自分に関係するのか、見分けるだけでもひと手間です。

良品計画の説明では、アプリを使っていないネットストア会員も対象に含まれます。そのため、カードを登録していないことだけで、メールアドレスなどの会員情報も対象外とは言えません。一方、アプリの利用者全員について、すべての種類の情報が対象になった、という発表でもありません。

JB NEWSとしては、サービスごとに「自分は何を確認すればよいか」が分かる案内が、これから一層大事になると感じます。大きな件数を知らせることに加えて、一人ひとりが自分の状況に引き寄せて読める説明があると、不安の中でも動きやすくなりそうです。

「解約したから大丈夫だと思った」

以前MUJI Cardを持っていたものの、解約していたため一度は安心した、という投稿も見られました。

もう使っていないサービスまで思い出さなければならないのは、気が重い話です。解約したときに、そのサービスとの付き合いも終わったと感じるのは、自然なことではないでしょうか。

ただ、クレディセゾンの発表では、今回対象になった可能性があるMUJI Cardの情報は約109万件です。このうち、現在使えるカードは約34.5万件。解約・有効期限切れなどで使えないカードは約74.5万件とされています。

対象は、2000年10月から2021年7月までの間に入会した会員の情報です。当時、カード特典のポイントを付けるために、カード番号などを良品計画へ連携していたと説明されています。良品計画側に、その過去の情報が残っていたことが分かりました。

2021年8月以降にMUJI Cardを発行された方は、カード会社が説明する今回の不正アクセスの対象外とされています。ただし、アプリやネットストアの会員情報まで一律に対象外になる、という意味ではありません。

「解約済みも含まれる」という言葉は、とくに分かりやすく届けてほしいと感じます。今使っているかどうかだけでは判断できない点が、今回の分かりにくさの一つだからです。使えなくなったカードで不正な決済ができると、決め付けることも避けたいところです。

「カード番号だけで何ができる？」

カード番号が知られた場合に何が起こり得るのか、今何を確かめればよいのか、という問いかけもありました。

こうしたとき、知りたいのは「大変なことが起きた」という説明だけではなく、今日どうすればよいかですよね。番号が対象になったと聞くだけでは、買い物を続けてよいのか、再発行した方がよいのか、判断に迷ってしまいます。

クレディセゾンによると、今回アクセスされた可能性のあるカード情報には、カード名義、有効期限、セキュリティコードは含まれていません。ただ、この説明から「番号だけなら必ず安全」「必ず不正利用される」のどちらかに結論を急ぐことはできません。同社は監視を強め、現時点でMUJI Cardの不正利用の増加は確認されていないとしています。

不安な気持ちに対して、安易に「心配いりません」と言い切るのも違うと思います。分かっていることと、調査中のことを分けて伝え、相談先までたどり着けるようにする。その方が、利用者にとって頼りになる案内ではないでしょうか。

いま確認したいこと

両社は、対象の方へメールや郵送で順次連絡するとしています。まだ連絡がないことだけで、対象外と判断しないようにしたいところです。

MUJI Cardを持っている方は、まず利用明細に覚えのない請求がないかを確認し、気になる利用があればクレディセゾンへ問い合わせてください。入会年月日は、セゾンPortalやNetアンサーの「お客様情報の確認・変更」から確認できると案内されています。

再発行は、希望する方から受け付けるとされています。全員に解約や再発行を求めているわけではありません。迷う場合は、公式の案内にある問い合わせ先を確認してみてください。

気をつけたいのは、この発表に便乗した連絡です。「カードを守るため」などと言われても、届いたメールやSMSのリンク先へ、そのまま番号や暗証番号を入力しないでください。カード会社も注意を呼び掛けています。普段の公式アプリや、自分で開いた公式サイトから確かめる方が安心です。

被害が確認された、という発表ではありません

良品計画は、不正なアクセスを遮断し、調査と監視を続けていると説明しています。第二報の時点では、ダークウェブ等への当該情報の流出や、その情報を悪用した被害は確認されていないとしています。アプリとネットストアは正常に使えるとのことです。

クレディセゾンも、同社のシステムへの不正アクセスや、同社システムからの情報流出が確認された案件ではないと説明しています。「カード番号が対象」という言葉から、カード会社のシステムが侵入されたと受け取らないよう、ここは区別しておきたいところです。

第一報の最大約2,726万件と、MUJI Cardの約109万件も、単純に足して被害人数を出せる数字ではありません。何の情報を、どの範囲で数えているかが違います。見出しの数字だけで話が大きくなってしまわないよう、続報も落ち着いて確かめたいと思います。

昔の情報にも、納得できる説明がほしい

3件の投稿を読んで感じたのは、「自分は関係あるのか」という、身近で切実な疑問です。企業側には同じシステムにある情報でも、利用者にとってはアプリ、ネットストア、昔のカードと、記憶の場所がそれぞれ違います。

とくに、カード番号の連携が終わった時点と、情報が保管されなくなる時点は同じではなかった、という点が気になります。利用者が過去の登録をすべて覚えておき、ニュースのたびに自分でつなぎ合わせるのは、なかなか大変です。

だからこそ、どんな目的で集めた情報が、どのように残っていたのか。自分が対象なのかを、どう確認すればよいのか。そうした説明を、専門用語に詳しくない人にも届く形で続けてほしいと思います。情報の保管が適法だったかを、ここで決め付けるものではありません。

大切なのは、不安を膨らませることでも、早々に安心してもらうことでもなく、次に何を確認すればよいかが分かることです。好きなお店を気持ちよく使い続けるためにも、利用者の素朴な疑問に、丁寧に答えてもらいたいですね。

出典とメモ