무인양품 운영사 양품계획, 과거 고객정보 일부에 카드번호 전체 자릿수 남겨…외부 접근 가능성
양품계획은 MUJI Card 회원 혜택에 쓰던 카드번호 전체 자릿수가 담긴 과거 정보 일부를 삭제하지 않아, 가입 고객과 관련한 약 109만 건의 정보에 외부 접근 가능성이 있다고 밝혔습니다. 카드번호 연계는 2021년 7월 끝났지만 이전 정보 일부는 시스템에 남았습니다. 저장 당시 마스킹·암호화를 하지 않았다는 내용은 ITmedia NEWS가 보도했으며, 삭제 누락 원인과 법 위반 여부는 조사 중입니다.
무인양품 운영사 양품계획은 2026년 11월 12일 기자회견에서 과거 고객 식별에 사용한 MUJI Card 카드번호 전체 자릿수가 포함된 정보 일부를 삭제하지 않은 채 보관했다고 설명하고 사과했습니다. ITmedia NEWS는 카드번호를 저장할 당시 마스킹이나 암호화를 하지 않았다고 보도했습니다.
양품계획은 10월 30일 MUJI 앱 등 고객정보에 외부 접근 가능성이 있다고 처음 발표하면서 신용카드 정보는 대상에서 제외했습니다. 조사 뒤 11월 4일에는 2000년 10월부터 2021년 7월까지 MUJI Card에 가입한 고객과 관련한 약 109만 건의 정보에도 외부 접근 가능성이 있다고 밝혔습니다. 회사 발표에 따르면 해당 정보에는 카드번호와 MUJI Card ID, 생년월일이 포함됐습니다. 양품계획은 당시 다크웹 등으로의 유출이나 정보 악용 피해를 확인하지 못했다고 밝혔습니다.
양품계획은 MUJI Card 회원에게 독자 혜택을 제공할 때 고객을 식별하는 용도로 카드번호를 사용했습니다. 2021년 7월 혜택 부여 시스템을 바꾸면서 카드번호 연계를 끝냈지만, 그 전에 취득한 번호가 포함된 정보 일부는 시스템에 남았습니다.
회사는 정보를 의도적으로 계속 보관한 것은 아니며 데이터 운용·관리 업무에 부적절한 부분이 있었다고 설명했습니다. 삭제 누락이 사람의 실수인지 시스템 문제인지는 아직 특정하지 못해 조사를 이어가고 있습니다.
2018년 6월 시행된 개정 할부판매법은 가맹점에 카드정보를 적절히 관리할 의무를 부과합니다. 경제산업성 FAQ는 실무 지침으로 가맹점의 카드정보 비보유화와, 보유하는 경우 국제 보안 기준인 PCI DSS 준수 등을 제시합니다. 양품계획은 카드정보 비보유화의 필요성을 당시부터 알고 있었다고 답했지만, 카드번호 보유가 법에 저촉됐는지는 확인 중이라고 밝혔습니다.
양품계획은 카드정보에 접근한 공격이 11월 9일 별도로 발표한 온라인몰 대상 리스트형 로그인 공격과는 다른 공격이라고 설명했습니다. 리스트형 공격은 외부에서 부정하게 입수했을 가능성이 있는 ID와 비밀번호를 이용해 로그인을 반복하는 방식입니다. 회사는 대상 카드 재발급 수수료를 전액 부담할 방침입니다.