無印良品アプリ最大2726万件流出か 退会者のメールと生年月日も

最大約2,726万件。無印良品の公式アプリ「MUJIアプリ」から流出した可能性がある件数で、すでに退会した人の情報まで含みます。一方で、項目はメールアドレス、生年月日、性別の3つだけで、氏名も住所も電話番号も含みません。

無印良品を展開する良品計画が10月30日に発表し、ITmedia NEWSとINTERNET Watchが同じ日に伝えました。情シスに関わるのは、社員に届くおそれのある偽のメールと、自社の会員データに残る退会者の分の2つです。

報道が伝えた中身と、まだ分からないこと

良品計画のお知らせの原文は確認できていないため、2つの報道が伝えた範囲で書きます。

公表の時点で、MUJIアプリも無印良品ネットストアも通常どおり使えます。松屋は、28日の夜からアプリと公式サイトを止めています。アプリを開いて案内を確かめられる状態が続いているので、社員にも「メールより先にアプリを見る」と伝えやすいでしょう。

件数の「最大」は、範囲を広めに取った数字です。10月にアンケートサイト「infoQ」への不正アクセスを公表したGMOリサーチ&AIも、第1報の最大94万8,498件を、第2報で89万4,082件に確定させました。2,726万件も、調査が進めば動くかもしれません。

一方で、原因と経緯、いつ気づいたか、2,726万件のうち退会した人が何件で、いつまでに退会した人が含まれるのかは、報道からは分かりません。ネットストアだけの会員が対象に入るかも不明です。続報が出たら、この記事に書き足します。

同じ日の松屋とは、漏れた項目が逆

同じ10月30日には、松屋フーズホールディングスも、松屋のアプリなどから約238万件が漏えいしたと公表しました。2件を並べると、漏れた項目がちょうど逆です。

松屋のアプリ会員2,000件は、生年月日とメールアドレスも含みます。ただ、約238万件の大半で漏れたのは、氏名と電話番号と住所です。

偽の連絡がどこから来るかは、漏れた項目しだいです。松屋の件では電話とSMSを警戒しましたが（松屋の件の記事）、MUJIアプリの件で警戒するのはメールです。

氏名が漏れていないので、この件の情報だけで作る偽のメールは、宛名を「お客様」のようにぼかすしかありません。とはいえ、ほかの事故で出回った名簿と組み合わせれば、名前を足すことはできます。宛名に本名があるかどうかで、本物かを決めないほうがよいでしょう。

生年月日がそろえば、誕生月の特典やクーポンをうたう文面も作れます。生年月日を本人確認に使っている窓口が社内にあるなら、バーガーキングの件の記事で書いた見直しが、そのまま当てはまります。

お詫びとセールの案内に、偽のメールが混じるおそれ

ITmedia NEWSによると、公表は会員向けのセール「無印良品週間」の最中でした。良品計画は対象の人へ順次連絡するとしたうえで、流出した可能性のある情報を悪用した「なりすましメール」への注意も呼びかけたといいます。

無印良品からのメールを待っている人が多い時期に、本物のお詫び、本物のセールの案内、偽のメールの3つが並ぶおそれがあります。文面や見た目で見分けさせるのは難しいと考えます。

社員に伝えることは、2つに絞れます。

1つは、メールのリンクからは開かず、スマホに入れたMUJIアプリか、自分で打ち込んだ公式サイトで案内を見ることです。もう1つは、会社のアドレスに届いた不審なメールを、開かずに情シスへ転送してもらうことです。社用のメールアドレスでMUJIアプリに登録した社員がいれば、偽のメールは会社の受信箱にも届くおそれがあります。考え方はカプコンの件の記事と同じです。

退会した人のデータは、消す時期で漏れる範囲が変わる

MUJIアプリの件でもう1つ気になるのは、退会した人の分まで対象に入った点です。10月の発表を見ると、退会した人の扱いは会社ごとに違いました。

GMOリサーチ&AIは「退会から2か月」、So-netは「2月末日まで」と、退会者の範囲を日付で区切って示せました。消す時期を決めていたからこそ引けた線だとみています。期間が7年と長かったタイムズカーは、事故のあとでルールそのものを改めました。期限を決めずに持ち続ければ、事故の件数は退会者の分だけ膨らむ計算です。

個人情報保護法は、使う必要がなくなった個人データを、遅滞なく消すよう努めることを事業者に求めています。¹罰則のある義務ではなく努力義務ですが、ガイドラインによると、「消去」にはデータを削除することのほか、特定の個人を識別できないようにすることも含まれます。

GMOリサーチ&AIは、会員の記録そのものは残しつつ、個人情報だけを消していました。ガイドラインの言う、識別できない形にする消し方にあたるとみられます。利用の統計や不正の調査に記録を残したい会社でも、取りやすい方法だとみています。

会員の仕組みでは、退会したら行に印を付け、ログインできなくするだけの設計をよく見かけます。画面からは消えても、データベースの中では現会員と同じ表に残ったままです。印だけの形だと、退会者がすべて件数に入ります。自社の仕組みがどちらの形かは、今日のうちに調べられるはずです。

影響するのは、アプリを使う社員と会員データを持つ会社

まず、MUJIアプリを使っている、または使っていた社員です。本人あてのお詫びと偽のメールの両方が届くおそれがあり、社用のアドレスで登録していれば会社の受信箱も同じです。退会済みの人も対象です。

店で買うだけでアプリに登録していない人は、報道が伝える対象の外です。クレジットカード情報は含まれないとされているので、カードの再発行までは要らないでしょう。

もう1つは、自社でアプリや通販、会員サイトを運営している会社です。今回の事故の影響は受けませんが、退会した人のデータをどう持つかは、同じ形の事故が起きた日に件数を左右します。

退会者の行を数えて、消す時期を決める手順

1. 今日のうちに、上の文面で社員に知らせます。メールのゲートウェイで、件名に「無印良品」「MUJI」「良品計画」を含むメールを検索し、急に増えていないかも見ておきます。
2. 自社の会員データベースで、退会した人の行が残っているかを調べます。退会日の列があれば年ごとに数え、最も古い退会日を出します。退会日が無く印だけなら、期限で消せない設計だと分かります。
3. プライバシーポリシーや利用規約に書いた「退会後の扱い」と、実際の動きを比べます。メール配信やCRMなどの委託先と、バックアップにも同じデータが残っていないかを、担当者と委託先に聞きます。
4. 残す理由ごとに期間を決めます。最終月の請求、問い合わせ、不正の調査など、理由が無くなった分は消すか、氏名や連絡先など個人を識別できる項目を消します。残した会員IDが、ほかの表やバックアップと突き合わせられないかも確認します。法令で保存期間が決まっているものは、別に扱います。
5. 事故の日に、退会者の件数をすぐ出せるかを確認します。委員会への速報は知ってから概ね3〜5日、確報は30日以内で、不正アクセスのように不正の目的が疑われる事態なら60日以内です。委員会への報告の期限で、公表の期限ではありません。²

2,726万件のうち、何割が退会した人なのか。続報で退会者の内訳と期間が出れば、自社の期間を決めるときの比べる相手になります。