震度6
MUFGカード
三菱UFJニコス株式会社
個人情報約40万人
閲覧可能状態クレジットカード番号 / 銀行口座設定不備・誤公開 · 封じ込め済
監視モニターでこの事案を見る ▶- 公表
- 2025/02/06
- 検知
- 2024年12月
- 検知から公表まで
- 67日
- 確度
- 閲覧可能状態
- 種別
- 設定不備・誤公開
- 状況
- 封じ込め済
- 対策投資
- 未調査
- 補償
- 発表なし・未定
漏えいした情報
金融・決済クレジットカードの番号、有効期限、口座番号
アカウント情報入会日
規模
- 対象となる顧客（重複を含むのべ） 約40万人
- システムを利用するフランチャイジーおよび委託先（同社を含む） 16社・団体
対象者
- MUFGカードのフランチャイジーの顧客
原因
システム改修時の誤設定により、本来は自社顧客のカード情報のみ閲覧できるところ、他フランチャイジーの顧客のクレジットカード情報が各事業者の業務端末から閲覧できる状態になった
時系列
- 検知・発覚
- Security NEXT報道日
対応
- 設定見直し
問題発覚後、閲覧できないよう対策を講じた
あなたがすべきこと
- カード会社に連絡し、カードを再発行。明細を毎日確認し、利用通知をオンにする
- 口座番号を知った詐欺師は「返金のため」と言って近づく。銀行や会社が暗証番号を聞くことはない
- 会社からの通知メール・公式発表で、自分が対象か確認する
事業者への教訓
- 共有・キャッシュ設定の変更は二人で確認し、公開前にテストする。クラウド設定は自動監視（CSPM）
- 把握した不具合を放置しない。変更は検証してから本番へ
- 本人確認書類・口座情報は保存しない。確認後に破棄するか外部の本人確認サービスに任せる
- 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
- レッドチーム演習とAIによる防御強化を行い、その投資額を公表する
出典
- Security NEXT 報道 · 2025/02/06