無印良品の情報漏洩 記者会見をみて唖然としました

無印良品を展開する「良品計画」。
クレカ情報を含む個人情報の漏洩が問題になっていましたが、今日の記者会見を見ると、正直いって「唖然」とするものでした。

【記事の内容】
無印良品を運営する良品計画は、MUJI Card会員向け特典の付与に利用していたクレジットカード番号を、運用変更後も削除せず保存していたと説明した。2021年7月までは会員識別にカード番号を利用していたが、識別方法変更後も取得済みデータが残り、16桁のカード番号をマスクせず保管していたことが判明した。第三者による不正アクセスで、約109万件分のカード番号や生年月日、MUJI Card IDなどが漏えいした可能性がある。現在利用中のカードは約34万5000件で、カード名義や有効期限、セキュリティコードは含まれないという。良品計画は管理体制の不備を認め、原因を調査中で、対象者には順次連絡するとしている。

以前から無印良品のシステムはセキュリティが弱いみたいだな～とは感じていたのですが、まさか、自社ブランドのカードとはいえ、会員番号を暗号化やハッシュ化することなく平文で保存していて、しかも、運用上は削除すべきものを保存していたなんて信じられません。

一旦はカード番号を変更することで不正利用される可能性は減りますが、そうは言っても、ユーザーにすれば、水道や電気、携帯電話などの支払いに使っていたらカード番号変更の手続きをしないといけないし、カード番号を変えるって結構エネルギーが必要です。

今の情報漏洩を見ていると、
きちんとした対策をしていて、最小限のデータ漏洩で済んでいる企業は仕方ないとして、きちんとした対策をしないで重大な情報を漏洩した企業は何らかのペナルティを与えるような仕組みにしないといけないのではと思います。