2026年11月4日、無印良品を運営する良品計画で、クレジットカード番号の全桁を含む約109万件の情報が流出した可能性が判明しました。また、メール配信サービスを提供するアララへの不正アクセスでは、ビックカメラグループやアソビューなど、複数の企業に被害が広がっています。
今回の問題で注目したいのは、企業のシステムだけでなく、業務を委託している外部サービスが攻撃を受けることで、多数の企業の顧客情報が一度に危険にさらされる点です。それぞれの情報流出の内容と、利用者が注意したいことを確認します。
無印良品でカード番号の全桁が流出した可能性
無印良品を運営する良品計画は11月4日、クレジットカード「MUJI Card」の会員情報など、約109万件が流出した可能性があると発表しました。
対象となるのは、2021年7月までにMUJI Cardの会員として登録した顧客の情報です。流出した可能性がある情報には、クレジットカード番号の全桁、カードID、生年月日などが含まれています。このうち、現在も有効なカード情報は約34万件とされています。
特に注意したいのは、カード番号が一部ではなく、全桁流出した可能性があることです。セキュリティーコードは含まれていないとされていますが、カード番号と有効期限など、ほかの情報と組み合わされることで不正利用につながるおそれがあります。
良品計画は10月30日にも、アプリ会員のメールアドレスなど最大約2726万件が流出した可能性を公表していました。当初はクレジットカード情報や氏名、住所は含まれないとしていましたが、その後の調査で、氏名や住所など約52万件に加え、カード番号の一部も流出した可能性が判明しています。
当初の発表から対象情報が拡大していることからも、情報漏えいの調査には時間がかかり、最初の公表内容だけでは被害の全体像が分からない場合があることが分かります。
アララへの不正アクセスでビックカメラなどにも影響
今回の情報流出では、アララ株式会社が提供するメール配信サービス「アララメッセージ」への不正アクセスも問題になっています。
アララは10月29日に不正アクセスを公表し、11月2日の第2報では、情報流出のおそれがあるメールアドレスが約7700万件に拡大したと説明しました。影響は最大約380社の契約企業に及ぶ可能性があります。
アララのメール配信サービスを利用していた企業では、複数の情報流出が明らかになっています。これまでに、ビックカメラグループ（ビックカメラ、コジマ、ソフマップ）やアソビューのほか、大阪市、モスバーガー、小田急トラベルなども顧客情報が流出した、または流出した可能性があると公表しています。
対象はメールマガジンに登録した顧客のメールアドレスなどです。一方、クレジットカード情報や各社の通販サイトのログイン情報はアララメッセージでは取り扱っていないため、今回の流出対象には含まれないとしています。
現時点で具体的な二次被害は確認されていませんが、各社やアララを装った不審なメールには注意が必要です。
アソビューでは約1582万件の会員情報が流出
同じくアララメッセージを利用していた企業として、レジャー施設や体験サービスの予約サイト「アソビュー！」を運営するアソビューも、11月3日に情報流出を公表しました。
流出した情報は約1582万件で、メールアドレス、会員ID、氏名、性別、生年月日、電話番号、郵便番号、居住地域などが含まれています。さらに、チケットの購入日時や利用施設名、利用日時、参加人数といった利用履歴も対象です。
一方、パスワードとクレジットカード情報は委託先に預けていなかったため、今回の流出対象には含まれないとしています。
ただし、氏名や電話番号だけでなく、実際に利用した施設や日時まで知られてしまう可能性がある点は気になります。こうした情報を使えば、実際の利用履歴に触れながら、本人を信用させるような偽メールや電話を仕掛けることも考えられます。
対象となる会員の特定はまだ完了しておらず、アソビューはアララから調査結果を受け取ったうえで、該当する会員に個別に連絡する方針です。
なぜ委託先への不正アクセスで被害が広がるのか
今回のアララの問題で考えさせられるのは、一つの企業への不正アクセスが、取引先やサービスの利用者にまで影響を及ぼしていることです。
メール配信サービスは、企業が顧客にメールマガジンやお知らせを送るために利用する外部サービスです。企業が自社でメール配信システムを管理する代わりに、専門の事業者に業務を委託することで、効率的に大量のメールを送信できます。
しかし、その委託先がサイバー攻撃を受ければ、預けていた顧客情報まで流出する可能性があります。今回のアララの事案では、最大約380社の契約企業に影響が及ぶ可能性が公表されています。
なお、約7700万件という数字は流出した可能性のあるメールアドレスの件数であり、7700万人の個人情報が流出したという意味ではありません。また、契約企業ごとに預けていた情報は異なるため、すべての企業で氏名や住所などが流出したわけではありません。
自社のシステムを安全に管理していても、業務委託先のセキュリティーに問題があれば、顧客情報を守りきれない可能性があるということです。企業には委託先の選定だけでなく、情報管理体制やセキュリティー対策を継続的に確認する責任があります。
利用者が注意したいこと
今回の情報流出について、現時点では各社とも具体的な二次被害は確認されていないとしています。ただし、流出した情報が悪用される可能性は残っています。
特に注意したいのが、フィッシング詐欺です。メールアドレスだけでなく、氏名、生年月日、電話番号、購入履歴などが流出していれば、実際に利用したサービスや購入した商品に触れた、もっともらしいメールやSMSが送られてくる可能性があります。
例えば、「会員情報の確認が必要です」「不正利用が確認されたためカードを停止しました」などと偽り、偽サイトに誘導してクレジットカード番号やパスワードを入力させる手口です。
利用者としては、次の点に注意したいところです。
・企業から届いたメールやSMSに記載されたURLを安易に開かない
・カード番号やパスワードの入力を求められても、メール内のリンクから手続きしない
・不審な連絡があった場合は、公式サイトや公式アプリから確認する
・クレジットカードの利用明細を定期的に確認する
無印良品のMUJI Cardについては、2021年7月までに入会した人が対象となるため、該当する可能性がある場合は、カード発行会社からの案内を確認することが大切です。クレディセゾンも不正利用の監視を強化するとしています。カード番号の全桁が対象となった可能性があるため、心配な場合はカード会社に問い合わせて対応を確認したほうがよいでしょう。
まとめ
今回の一連の情報流出では、無印良品のようにクレジットカード番号の全桁が対象となるケースもあれば、ビックカメラやアソビューのように、メールアドレスや会員情報、利用履歴などが対象となるケースもあります。
共通しているのは、インターネット上のサービスに登録した個人情報が、企業やその委託先への不正アクセスによって流出するリスクがあることです。
最近は、通販サイトや予約サービス、金融サービスなど、日常生活のさまざまな場面で個人情報を登録しています。利用者がどれだけ注意していても、サービスを提供する企業側で情報が流出してしまえば、防ぐことはできません。
個人情報を預かる企業には、委託先も含めた厳格なセキュリティー管理が求められます。 不正アクセスが発生した後の対応だけでなく、そもそも顧客情報を外部に預ける必要があるのか、保管する情報を最小限にできないのかという点も、改めて考える必要がありそうです。
