無印良品のずさん過ぎる情報管理：投資家は企業のセキュリティ体制も評価すべき

「無印良品」を展開する良品計画で、公式アプリ「MUJIアプリ」などの顧客情報最大約2726万件に外部から不正アクセスがあった可能性が明らかになり、大炎上しています。

さらに、2000年10月から2021年7月までの間にクレジットカード「MUJI Card」に入会した顧客約109万件について、カード番号の全桁が外部からアクセスされた可能性も明らかになりました。

さらに驚くべきことに、カード番号の一部を削除せずに保管しており、2021年7月まではカード番号を顧客の識別に利用し、保管時にはカード番号のマスキングや暗号化を行っていなかったというのです。

IT業界にいる者からすると、あり得ません。

そもそも良品計画はその辺のお土産屋でも、無人販売の店でもなく、一応大企業です。大企業というのは、情報システム部がきちんとあって、セキュリティの予算が存在しています。個人事業主ではありません。

その状況で、この恐ろしくずさんなオペレーションの体制は、まさに想定外です。

2026年12月8日に発売される私の新作書籍『世界のニュースを日本人は何も知らない8』で詳しく解説しましたが、日本の企業は大企業でもセキュリティが極めて緩いのです。

そして、この事件がなぜこんなに驚くべきことかというと、まずこのレベルの企業だと、普通は内部監査と外部監査が入っています。

そこで指摘がなかったのでしょうか。

普通は指摘があるはずなんです。

私がなぜこんなことを知っているかというと、私は専門がITガバナンスで、監査の担当者とも密接に仕事をしてきたからです。

次に、法令違反の可能性です。

この運用状況だと、PCI DSS（Payment Card Industry Data Security Standard）に準拠していない可能性があります。これは国際的なセキュリティ基準です。2018年6月施行の改正割賦販売法違反の可能性もあります。

普通はカード番号をユーザーのIDにするということはあり得ません。運用上不便ですし、あまりにもリスクが高いからです。このずさんな運用では、カード会社との契約解除や高額な罰金の対象になる可能性があります。

3つ目に、誰がいつこのようなオペレーションを企画し、実施の許可を出したのか。監査は誰が、いつ、どこで実施し、誰が最終的な検収を行ったのか。

つまり、このような状況を見ますと、この企業ではITガバナンスに非常に大きな穴があったということです。そして、意思決定を行った人々に業界の常識的な知識がなく、教育が極めて欠けていたということがはっきりしています。

また、内部から問題を指摘する声があったのかどうか。おそらく現場の運用担当者は何か言っていた可能性がありますね。なぜなら、ITセキュリティのごく常識的な知識があれば、これはあり得ない状況だからです。

そして、私がこの件でとにかく指摘したいことは、企業に投資をする方々は、その企業のセキュリティ体制も評価するべきだということです。

今やどこの企業も情報が生命線でありますから、その設計や運用がずさんであれば、必ず事故が起きるわけです。

これは、例えばメンテナンスを全くやらない鉄道と同じです。

しかし、投資家の皆さんの多くは、書類上の数字だけを見て、どれだけ儲かっているかしか見ません。しかし、土台が腐っていてはまともな商売はできません。

もちろん、企業の内部のセキュリティ体制をすべてチェックすることは不可能に近いですし、内部監査、外部監査が機能していないのであれば、どうしようもありません。

しかし、皆さんご自身がセキュリティに関する知識をお持ちになれば、些細なことから、この体制はこうなっているのかもしれないなと推測することができます。

そういった点で、少なくともシステムのインフラはどこに依存しているのか、どんなシステムを使い、どこの外注を使っているかということも、お調べになったほうがよろしいと思います。

もちろん企業としては、セキュリティの観点からこういった情報のすべてを明らかにすることはできないわけですけれども、自分の会社がきちんとやっているということを提示することは可能なはずです。

そして今回明らかになりましたのは、無印良品のセキュリティ幹部、情報システム部幹部、上級幹部には、CISSPレベルの知識すらないということです。

セキュリティも「無印」だったとは、実に皮肉でありますね。

■

【関連記事】

コメント