無印良品個資外洩：109萬筆信用卡全碼恐流出 未刪應廢棄資料 社長承認管理疏失

無印良品營運公司良品計畫為資安事件道歉，坦承應刪除的完整信用卡號仍留在系統，保存時也未加密。涉及約109萬筆MUJI Card資料，包含已退卡或卡片失效的會員。

良品計畫社長清水智在記者會承認，公司在資料管理上有疏失，應負起責任。這批卡號原本用來辨識顧客、提供會員優惠，相關系統早在2021年7月就已更換，部分舊資料卻沒有跟著刪除。

事件最初公布時，公司將信用卡資料排除在影響範圍外，後續調查才發現完整卡號也可能遭外部存取。發卡公司Credit Saison 11月4日公告，良品計畫的系統遭到入侵，涉及過去由發卡公司提供給良品計畫的MUJI Card資料。

良品計畫說明，過去為了向MUJI Card會員提供專屬優惠，會取得完整卡號，並用來識別顧客。2021年7月更換點數發放機制後，發卡公司已停止向良品計畫提供卡號，但良品計畫先前取得的部分卡號仍保存在系統內。

這些資料沒有加密，也未遮蔽部分號碼。負責電商與資訊服務的主管宮澤高浩承認，當時就應該刪除，卻讓舊資料留了下來。

公司表示，並非刻意繼續保留卡號，資料管理的執行流程出了問題。主管高橋廣隆也坦承，公司雖有資訊安全與個資保護方針，卻沒有落實，最後只停留在宣示。

依發卡公司公告，這次涉及2000年10月至2021年7月間申辦MUJI Card的會員，範圍包含已解約、卡片過期等資料。其中仍可使用的卡片約34.5萬張；2021年8月以後發行的MUJI Card則不在這次範圍內。

可能遭存取的資料包括完整卡號、生日及無印良品會員ID，部分會員還涉及姓名、地址、電話、性別與電子郵件。卡片名義、有效期限及安全碼不在這次涉及的卡片資料內。

這次信用卡資料事件之外，無印良品網路商店也遭到大量嘗試登入。良品計畫說明，攻擊者使用疑似從外部非法取得的帳號密碼，從多個IP位址長期嘗試登入；這與存取信用卡資料的攻擊不同。

良品計畫已決定，全額負擔受影響MUJI Card的補發手續費。發卡公司也加強交易監控；良品計畫將以電子郵件或郵寄方式陸續個別通知涉及的會員，良品計畫沒有聯絡方式的MUJI Card會員則由發卡公司聯繫。

發卡公司請會員檢查交易明細，發現非本人消費時與公司聯繫。若收到冒用發卡公司或良品計畫名義，要求輸入卡號、密碼或安全碼的郵件與簡訊，也不要在其中的連結填入卡片資料。 （相關報導： 日本企業「駭」不完！無印良品、松屋與信用卡公司相繼中鏢，半年累計2.6億人個資外流 ｜ 更多文章 ）

清水智表示，公司正重新檢討個資的蒐集與保存，優先考慮不持有資料，相關專案已在進行。良品計畫也將檢討資訊管理體制，並強化資安措施。