無印良品、21年までクレカ番号で顧客識別、情報削除漏れで謝罪

■ 背景: 無印良品を展開する良品計画は、不正アクセス事案に関する記者会見で、2021年7月までクレジットカード番号を用いて顧客を識別していたという衝撃的な事実を明かした。さらに、システム変更に伴い、本来削除すべきだった一部のクレジットカード情報を削除せずに保管していた運用上の不備も認めている。これは、一般的にクレジットカード番号は決済完了後速やかに削除・非保持化されるべきという、 PCI DSS（Payment Card Industry Data Security Standard）などの国際的なセキュリティ基準に照らしても、極めて異例な管理体制であったと言わざるを得ない。

■ なぜ重要か: クレジットカード番号は、個人情報の中でも特に機密性が高く、漏洩した場合の被害が甚大になる可能性がある情報である。良品計画の場合、2021年7月までという比較的最近まで、顧客識別という重要な情報としてカード番号を利用していたという事実は、同社が顧客情報管理において、セキュリティ意識や最新の業界標準への対応が遅れていた可能性を示唆している。仮に今回の不正アクセスでカード番号が漏洩していた場合、数百万件規模に及ぶ顧客への影響が懸念される。これは、個々の消費者のみならず、ECサイト運営企業全般に対する信頼性にも影響を与えかねない事案だ。

■ 編集部の見立て: 今回の事態は、単なるシステム上のミスや運用上の不備というレベルを超え、企業における顧客情報管理の根幹に関わる問題提起となっている。良品計画は、なぜ2021年7月までクレジットカード番号で顧客を識別する必要があったのか、そしてシステム変更後も削除漏れが発生した具体的な運用フローについて、より詳細かつ透明性のある説明が求められるだろう。また、今回の件を教訓に、同社が今後どのようにして顧客情報のセキュリティ体制を抜本的に見直し、再発防止策を講じていくのか、その具体的な取り組みと進捗が注視される。消費者の信頼回復には、迅速かつ誠実な対応が不可欠である。