Signal
📡 Signal｜無印良品の MUJI アプリに不正アクセス、最大約 2,726 万件
良品計画の MUJI アプリに不正アクセス。メールアドレス・生年月日・性別など最大約 2,726 万件が流出したおそれ。カード情報は含まれない。
「無印良品」を展開する良品計画は 10 月 30 日、公式アプリ「MUJI アプリ」が外部から不正アクセスを受け、顧客情報が最大約 2,726 万件流出したおそれがあると発表した。退会した利用者の情報も含まれる。
対象の情報はメールアドレス・生年月日・性別で、クレジットカード情報や氏名・住所・電話番号は含まれないとされる。数は大きいが、中身は「連絡先と属性」に限られている。その分、被害が出るとすれば、この情報を使ってなりすましのメールを送る形になる。
何が、どこまで
ITmedia NEWS などの報道によると、良品計画は不正アクセスを検知したあと該当箇所へのアクセスを遮断し、修正を適用した。対象者には順次連絡するとしている。ダークウェブなどへの流出や、情報の悪用による被害は確認されていないという。外部への流出が実際に確認された場合は、改めて公表する。
公式の通販サイト「無印良品ネットストア」は通常どおり使える。発表は、会員向けのセール「無印良品週間」の期間中だった。
侵入の経路や手口、不正アクセスがいつからいつまで続いていたかは、報道からは分からない。件数に退会者が含まれることは、アプリを使わなくなった人の情報も残っていたことを意味する。
1 週間で 2 件目の数千万件
LiveMakers は 10 月 23 日に、佐川急便の不正アクセスで流出のおそれが最大約 5,323 万件に上ったことを取り上げた。それから 1 週間で、数千万件の規模の公表がまた出た。個人情報保護委員会の 10 月 28 日の資料では、4 月以降に不正アクセスで個人データが漏えいした、またはそのおそれがある本人は延べ約 2 億 6,000 万人にのぼる（別の記事）。今回の件数は、その集計の締め日より後に公表されたものだ。
大量の会員を抱えるアプリや配送の基盤ほど、1 回の侵入で動く件数は大きくなる。名前や住所が無くても、メールアドレスと生年月日の組み合わせは、本人確認を装うメールの材料として使える。読者にとっての実務は、無印良品を名乗るメールのリンクを開かず、公式アプリや公式サイトから確かめることに尽きる。
次に見るもの
確認先は良品計画の公式サイトのニュースページだ。外部への流出が確認されたかどうか、侵入の経路と期間、対象者への連絡の開始が、続報として出るかを見る。個人情報保護委員会への報告の内容は、委員会の次の取りまとめで件数として表に出る。
ことば
- 不正アクセス — 他人の ID やシステムの弱点を使い、権限なくサーバーやサービスに入り込むこと。今回はアプリの顧客情報が置かれた箇所が狙われた。
- なりすましメール — 実在の企業を名乗り、偽のサイトに誘導して ID やカード番号を入力させるメール。流出したメールアドレスに送られやすく、良品計画も注意を呼びかけている。
- ダークウェブ — 通常の検索では見つからず、特別なソフトでしか接続できないネット上の領域。盗まれた個人情報が売買される場所として知られる。
🔗 一次ソース
