無印良品2726万件、退会した人の情報まで　なぜ消えていなかったのか

良品計画が10月30日、無印良品の公式アプリ「MUJIアプリ」から、お客さまの情報が外に出た可能性があると発表した。対象は最大で約2,726万件。出た可能性があるのは、メールアドレス、生年月日、性別の3つだ。発表には、件数のすぐあとにこう書き添えてある。「退会されたお客さまの情報を含みます」。

もうMUJIアプリを使っていない人まで、この数字に入っている。

退会しても、消えるとは書かれていない

良品計画の説明では、外部からの不正なアクセスを検知し、その場所へのアクセスを止めて、修正を当てた。クレジットカード情報、氏名、住所、電話番号は含まれていないという。「現時点では、ダークウェブ等への当該お客さま情報の流出、および当該情報を悪用した被害は確認されておりません」とも書いている。アプリと無印良品ネットストアは、今も普通に使える。

では、退会した人の情報は、なぜ会社の中に残っていたのか。公式のお知らせとプレスリリースを読むかぎり、理由も、いつまで持っていたのかも書かれていない。あるのは「含みます」の一言だけだ。

手がかりは法律のほうにある。個人情報保護法は、使う必要がなくなった個人データを「遅滞なく消去するよう努めなければならない」と定めている。努めなければならない、である。消さなかったら違法、という書き方ではない。退会した人のデータが会社の中に残っていたとしても、それだけで法律違反とは言えない。

アプリを消しただけでは、退会にならない

元会員の側にも事情がある。MUJIアプリのよくある質問には、アプリをアンインストールしたあとの手続きが書いてある。アカウントを削除できるのは、使っていたMUJI Members IDが分かって、本人確認ができた場合だけ。そして「MUJI Members IDがわからない場合は削除ができません」とある。

スマホを買い替えるときにアプリを消して、それで終わったつもりになった人は多いはずだ。だが、その人たちは会員のまま残っている。2,726万件の中に、そういう人が混じっていてもおかしくない。

発表が出たのは、無印良品週間の最中だった。会員が原則10%オフで買える期間で、cokiは10月23日から11月3日までと伝えている。良品計画は、出た情報を使ったなりすましメールに気をつけるよう呼びかけ、不審なメールのURLを開かない、個人情報を入力しないよう求めている。対象のお客さまには順次連絡するという。問い合わせは0120-64-0772で、月曜から土曜の9時30分から17時まで。

ネットの評判

スポニチアネックスは、SNSに困惑の声が上がったと伝えている。紹介されているのは「今、無印良品週間だよ」と「こわい」の2つ。セールの真ん中でこの知らせが来たことへの戸惑いだ。一方で、報じた各社は「クレジットカード情報や氏名、住所、電話番号は含まれない」と添えている。被害の範囲は限られる、という読み方もできる。退会した人の情報がなぜ残っていたのかを問う声は、出典で確かめられたかぎりでは見当たらなかった。

財布の話をすると、今回出た可能性があるのはカード番号ではない。口座からお金が抜かれる筋の話ではない。ただ、メールアドレスと生年月日と性別がそろえば、本人を知っているふりをしたメールは作りやすくなる。

メールアドレスは、作り直せる。生年月日は、作り直せない。