日本無印良品母公司良品計畫11月12日召開記者會，社長清水智為顧客資料遭不正當存取一事公開道歉。2000年10月至2021年7月間加入「MUJI Card」信用卡的會員，約109萬筆完整卡號可能遭外部存取。
良品計畫在會中坦承，2021年7月以前一直拿信用卡號來識別顧客，系統改版後卻沒刪除舊資料，保存時也沒有遮罩或加密，「資料的運用管理有缺失，是我們的疏失。」
事件如何一路擴大到信用卡號？
良品計畫10月30日先公布，「MUJI App」等服務最多約2,726萬筆顧客資料可能遭外部不正存取，當時表示信用卡資訊不在範圍內。到了11月4日，良品計畫再度發布公告，追加約109萬筆MUJI Card卡號全碼也可能遭存取。
MUJI Card由日本信用卡公司Credit Saison發行。Credit Saison同日公告指出，不正存取發生在10月29日凌晨1點左右，遭入侵的是良品計畫的系統，Credit Saison自家系統並未發現遭入侵或資料外流。
11月4日追加公告信用卡資料，時間正好碰上「無印良品周間」特賣尾聲：門市特賣已於11月3日結束，網路商店則到11月4日上午10點才收尾。
記者會上因此有記者追問，公布時機是否與特賣有關？對此良品計畫否認刻意挑選時間，清水智說明，釐清信用卡資料的影響範圍必須向其他公司確認，並認為公司已在最短時間內公布。
攻擊手法方面，良品計畫11月9日公布，網路商店遭到「撞庫攻擊」（credential stuffing），也就是拿可能在外部遭不當取得的帳號密碼，大量反覆嘗試登入。
良品計畫在記者會上說明，網路商店長期遭多個IP位址大量嘗試登入，但與信用卡資料遭存取有關的攻擊，和撞庫攻擊是不同手法；攻擊模式多樣，全貌花了不少時間才釐清。
完整卡號為何沒刪、也沒加密？
據Credit Saison說明，2000年10月至2021年7月間，為了替MUJI Card會員發放卡片優惠點數，Credit Saison會把卡號串接給良品計畫。良品計畫在記者會上進一步承認，2021年7月以前也直接拿這組卡號當作辨識顧客的依據。
2021年7月，良品計畫更換點數機制、停止串接卡號，但改版前取得的部分卡號沒有清掉。換言之，這些本該刪除的完整卡號以未加密的形式留在系統裡，到這次遭入侵時已超過5年。
良品計畫的說法是「不是刻意持續保存，而是資料運用管理的作業有不當之處」，但究竟是人為疏失還是系統問題，仍在調查。
記者會上也有人追問是否違法？日本2018年6月施行的修正版《割賦販賣法》（規範信用卡交易的法律），要求刷卡特約商店原則上不保存卡片資料，或者必須符合國際資安標準PCI DSS（支付卡產業資料安全標準）。良品計畫表示「關於不保存卡片資料的要求，當時就已經知道」，至於是否牴觸法律，「正在確認中。」
持卡人風險有多大？
依Credit Saison公告，這109萬筆卡號中，仍可使用的卡約34.5萬張，其餘約74.5萬張已解約或過期；2021年8月以後發卡的會員不在範圍內。
可能遭存取的資料包括卡號全碼、生日與MUJI Card ID（無印良品會員ID），部分會員另含良品計畫自有的姓名、地址、電話等會員資料；不過卡面上的持卡人名義、有效期限與安全碼，都不在可能外洩的範圍內。
截至11月4日公告，Credit Saison未發現MUJI Card遭盜刷的情況增加，並已加強監控刷卡紀錄。持卡人可申請換發新卡，良品計畫表示換卡手續費由公司全額負擔。
至於台灣無印良品，10月30日另外公告的是第三方雲端服務商91APP的訂單資料庫遭駭一事，涉及2025年4月4日至2026年10月14日間的官網訂單，但不包含信用卡資訊與會員登入密碼，實體門市的消費資料也不在範圍內。
資料來源：《ITmedia》、Credit Saison官方公告、台灣無印良品聲明公告
本文初稿為AI編撰，整理．編輯/ 李先泰
