D5/100
情報漏えい · 高
無印良品「21年までクレカ番号で顧客を識別していた」 “全ケタ保有＆漏えい“巡り謝罪 削除漏れなぜ発生
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： MUJI Card会員のクレジットカード番号
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · シークレットの流出
要点
- 良品計画は11月12日の謝罪会見で、2021年7月までクレジットカード番号で顧客を識別していたと説明した
- システム変更後もカード番号を削除せず、16桁をマスクせずに保存していた
- 不正アクセスによりカード番号が全桁漏えいした問題で、運用上の不備を認めた
なぜ重要か
利用を終えたカード情報でも不要になった時点で削除し、保存する場合もマスクすることが必要である。個人情報や決済情報の保持期間と削除の運用を見直す契機になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| いいえ | 開発者に影響 | 良品計画は小売企業で、今回の影響は自社の顧客情報に限られるため、開発者向けの製品やサービスではない |
| いいえ | 基幹インフラ | 無印良品の顧客情報管理の問題であり、多くのチームが運用する基幹ソフトウェアの問題ではない |
| いいえ | 人気ツール | 対象はMUJI Cardの会員識別に使われた自社システムであり、広く使われる開発技術ではない |
| はい | 悪用確認済み | ITmedia NEWS: 良品計画が不正アクセスを巡り謝罪会見を開いたと報じられている |
| いいえ | 公開エクスプロイト | ITmedia NEWSとCNETの記事に、エクスプロイトや攻撃手順の公開に関する記述はない |
| いいえ | 認証不要のリモート攻撃 | ITmedia NEWSとCNETの記事に、攻撃経路や認証要否に関する記述はない |
| いいえ | 完全な乗っ取り | ITmedia NEWSとCNETの記事に、コード実行や管理者権限の取得に関する記述はない |
| はい | シークレットの流出 | CNET: クレジットカード番号の全桁が流出し、16桁をマスクせずに保存していたと報じられている |
| いいえ | サプライチェーン | ITmedia NEWSとCNETの記事に、パッケージや更新経路を通じた悪意あるコード配布の記述はない |
| いいえ | 修正なし | ITmedia NEWSとCNETの記事に、修正版の有無や修正状況に関する記述はない |
タイムライン
すべての報道 · ソース2件
- 1時間前 ↗
feed.japan.cnet.com
無印良品、クレカ番号「全桁流出」の経緯説明--「不要になっても16桁をマスクせずに保存」 - 4時間前 ↗
ITmedia NEWS 最新記事一覧
無印良品「21年までクレカ番号で顧客を識別していた」 “全ケタ保有＆漏えい“巡り謝罪 削除漏れなぜ発生