この記事の要点
- 良品計画は11月9日、無印良品ネットストアの再開延期と新たに約27万件漏えいの可能性を公表した。
- 氏名・住所・電話番号を含む情報は75万件程度に修正され、代金引換配送の受取先約44万件も対象となった。
- 再開時は全利用者にパスワード再設定を求める方向で準備し、他社と異なるパスワード設定を呼び掛けている。
良品計画は11月9日、6日から一時停止している「無印良品ネットストア」の再開を延期すると発表した。外部で不正に入手した可能性のあるIDとパスワードを使ったリスト型攻撃を第三者から受け、新たに約27万件の情報が漏えいした可能性が分かったという。
事案の詳細
良品計画（東京都文京区）は、無印良品ネットストアを11月6日から一時停止していたが、11月9日に再開の延期を発表した。理由として、第三者からリスト型攻撃を受け、新たに約27万件の情報が漏えいした可能性が分かったとしている。
リスト型攻撃で流出した可能性がある情報は、メールアドレス、生年月日、氏名、住所、電話番号、購入履歴、ポイントなど。対象の情報を悪用した被害は、現時点で確認していないという。
対象者には10日から、良品計画と、クレジットカード「MUJI Card」を発行するクレディセゾン（東京都豊島区）が、メールや郵送で順次連絡する。
影響と背景
良品計画は、既に発表した漏えい件数についても一部を改めた。これまで最大約2726万件のうち、氏名・住所・電話番号を含む情報を52万件程度としていたが、75万件程度に変更した。
さらに、2020年1月2日から2025年2月10日までに無印良品の店舗やネットストアで受注した代金引換配送の受取先約44万件も流出した可能性があるとしている。
対策・今後の展望
ネットストアの再開時期は、必要な対策と確認を終えた後に改めて知らせるという。再開時には全利用者にパスワードの再設定を求める方向で準備している。利用者に対しては、他社のサービスとは異なるパスワードを設定するよう呼び掛けている。
- 再開時期：必要な対策と確認を終えた後に改めて告知
- 再開時の対応：全利用者にパスワード再設定を求める方向で準備
- 利用者への呼び掛け：他社サービスとは異なるパスワード設定
CSRIからのアドバイス
リスト型攻撃は、外部で入手されたID・パスワードの組み合わせを使い、会員制サービスやネットストアなどログイン機能を持つサイトへの不正ログインを試みる攻撃だ。購入履歴や連絡先など、アカウントにひも付く情報の範囲が広いほど影響も広がる。
例えるなら、どこかで合鍵の束が流出し、その合鍵を使って別の家の鍵穴を次々試されるようなものだ。つまり、同じパスワードを使い回していると、1カ所の情報がきっかけで別サービスの不正ログインにもつながり得る。
まず社内で、利用中の業務サービスに「同じパスワードを使っていないか」を確認し、使い回しがあれば変更する。次に、従業員へ「サービスごとに異なるパスワードにする」運用を周知する。加えて、取引先やカード会社などから届く案内は、メールと郵送の双方を落ち着いて確認する。
良品計画は10月30日、公式アプリ「MUJIアプリ」への不正アクセスで最大約2726万件の会員情報が外部に漏えいした可能性があると発表していた。11月4日の第2報では、MUJI Cardのカード番号などにも対象を広げたとしている。さらに11月6日午後4時には、さらなるセキュリティ強化のためネットストアを一時停止し、MUJIアプリも会員証のバーコード表示以外の機能を止めていた。
