無印良品のカード番号流出、なぜ5年も消さなかった？　社長「落ち度」

無印良品を運営する良品計画は11月12日に記者会見を開き、清水智社長らが謝った。2021年7月までに「MUJI Card」に入った会員のカード番号など約109万件が、本当は消すはずだったのに社内のシステムに残り、不正アクセスで外に出たかもしれないという。そのうち約34万5000件は、いまも使えるカードだ。10月30日の最初の発表では「カードの情報は含まれない」としていて、番号の話が加わったのは11月4日の2回目の発表からだった。

消すはずの番号が、5年あまり残った

なぜ、そんな番号を持っていたのか。良品計画は2000年10月から2021年7月まで、MUJI Cardの会員に独自の特典を付けるため、カードを出しているクレディセゾンから番号を受け取っていた。21年7月に仕組みを変え、番号はもう使わなくなった。

会見で会社は、そのとき「消すべきだ」と分かっていたのに、結果として消せていなかったと説明した。16桁の番号は、一部を伏せる処理もされず、全部の桁のまま残っていたという。理由を聞かれた清水社長は「私どもの落ち度だ」と話した（WWDJAPANの報道）。人のミスか、システムの問題かは、まだ調べている途中だ。名義、有効期限、セキュリティコードは含まれていない。

ここで、話の見え方が変わる。2018年6月に始まった改正割賦販売法のもとで、お店はカード番号を自社で持たない非保持化が基本だ。会社は、この法律との関係も確かめていると話した。ITのニュースサイトinnovatopiaは「持っていないデータは漏れない」と書いている。

会員、投資家、カード会社

怒っているのは会員だ。ANNの記事のコメント欄では、不正アクセスそのものより「消したはずの番号が消えていなかった」ことを責める声が目立つ。

投資家の見方は、少し違う。良品計画の株価は、ネットストアの停止を発表した11月6日に7.36%下げたが、9日には5.05%戻した。会見の日の12日は、前の日より2.13%安い4,770円で終わっている。下げてはいるが、売られ続けてはいない。

カード会社の現場は、後始末を受け持つ。クレディセゾンは不正利用の見張りを強め、カードの作り直しを受け付けている。会社が連絡先を知らない会員には、クレディセゾンから連絡する。作り直しの手数料は良品計画が全額払い、もし被害が出たら一件ずつ補償するという。

ネットの評判

Yahoo!ニュースに載ったANNの記事には、11月12日夕方の時点で460件を超えるコメントが付いた。多いのは「ルールを作っても、守られているか確かめる仕組みがなかったのでは」という声だ。「流出したときの責任を、もっと重くしてほしい」という意見もある。ポイントカードを作るだけで住所や生年月日を求められることへの疑問や、長く使っていないアカウントは消すべきだという声も出ている。

11月12日の会見の時点で、悪用された被害は確認されていない。ネットストアの再開の日も決まっていない。会社は、明細に覚えのない利用がないか確かめるよう呼びかけている。

今回漏れたかもしれない番号は、買い物に使うためではなく、特典を付けるために預けたものだった。その特典の仕組みは、5年前にもう終わっている。