無印良品に不正アクセス、MUJI Card会員約109万件も流出の可能性

10月30日に「含まれない」としたカード情報も流出の可能性

良品計画は10月30日に、流出した可能性があるのはメールアドレス・生年月日・性別だけで、クレジットカード情報と氏名・住所・電話番号は含まれないと公表していました。ところが良品計画は11月4日、2021年7月までに入会したMUJI Card会員のカード番号など約109万件にも、外部からアクセスされた可能性があると発表しました。

MUJI Cardは、クレディセゾンが発行する無印良品のクレジットカードです。10月にはソースネクストも、会員情報の流出を公表しました。国内企業が公表した情報漏えいの件数と原因は、時系列一覧にまとめています。

どの情報に外部からアクセスされた可能性があるのか

良品計画は11月4日の発表で、外部からアクセスされた可能性がある対象と情報を整理して公表しました。つまり、対象はアプリとネットストアの会員、MUJI Card会員、カードを登録した顧客の3つです。 それぞれの情報と件数を表にすると、次のようになります。

外部からアクセスされた可能性がある対象と情報（良品計画、11月4日の発表より）

対象	情報	件数
MUJIアプリと無印良品ネットストアの会員（退会者を含む）	メールアドレス・生年月日・性別・会員ID	最大約2,726万件
上のうち一部の会員	上の情報に加えて氏名・住所・電話番号	約52万件
2021年7月までに入会したMUJI Card会員	カード番号（全桁）・MUJI Card ID・生年月日	約109万件
アプリかネットストアにカードを登録した顧客	カード番号の先頭6桁と下2桁・カード名義	約120件

MUJI Card会員情報に、カード名義・有効期限・セキュリティコードは含まれていません。カードを登録した顧客の約120件も、有効期限とセキュリティコードは含まれないとのこと。カード番号だけでは、オンライン決済に必要な情報が不足します。

ただし良品計画によると、有効なMUJI Card約34.5万件のうち約16.8万件は、メールアドレスなどの会員情報と社内システム上で一緒に閲覧できる状態でした。さらにそのうち約2.5万件は、氏名・住所・電話番号とも一緒に閲覧できたといいます。この約2.5万件では、カード番号と氏名・住所・電話番号が本人ごとにひも付いていました。

約2,726万件にはネットストア会員と退会者も含まれる

10月30日、良品計画は約2,726万件をMUJIアプリユーザーの件数として公表していました。ところが11月4日に良品計画は、この数字にMUJIアプリを使っていないネットストア会員も含まれると改め、会員IDも流出した可能性があるとしました。 現在MUJIアプリを使っていない人でも、ネットストアに登録したことがあれば、情報が流出した可能性があるとのこと。

約2,726万件という数字は「最大」で、流出した「可能性」がある件数です。流出が確定した人数ではありません。約52万件も、良品計画は「現時点」の数字としています。ご自身の情報が含まれているかどうかは、良品計画から対象者へ順に届く連絡で確認することになるでしょう。

カード番号はなぜ良品計画のシステムに残っていたのか

MUJI Cardを発行しているのは、良品計画ではなくクレディセゾンです。ところが良品計画によると、2021年7月以前に独自の特典を付けるため取得したMUJI Card会員のカード番号などが、システムに残っていたとのこと。

クレディセゾンの説明では、カード特典のポイントを付けるために、2000年10月から2021年7月までカード番号を良品計画へ渡していました。その後ポイントの付け方を変え、現在はカード番号を渡していません。

流出した可能性がある約109万件のうち、現状利用できるカードは約34.5万件です。残りの約74.5万件は、解約や有効期限切れなどで利用できなくなったカードでした。2021年8月以降に発行されたMUJI Cardは、今回流出した可能性のあるカードに含まれていません。

良品計画は不正アクセスを遮断、原因と影響範囲は調査中

良品計画は10月30日から11月6日までの1週間で、3回発表しました。ただ、不正アクセスを遮断し、11月6日にはネットストアも一時停止したものの、原因と影響範囲の特定はまだ継続しています。 11月4日、良品計画は外部からの不正アクセスを遮断したうえで、他のシステムにも影響がないかを引き続き監視しているとのこと。

11月4日に対象者の範囲が拡大し、11月6日にはネットストアも停止しました。良品計画は、新しく公表すべき事実が判明すれば速やかに通知するとしています。

ネットストアは11月6日から停止、アプリは会員証だけ使える

良品計画は11月4日、MUJIアプリとネットストアは通常どおり使えると公表していました。ところが良品計画は11月6日、顧客情報の保護を最優先にするとしてネットストアを一時停止し、MUJIアプリも会員証のバーコード表示以外を使えなくしました。 良品計画は11月6日の発表を、一連のお知らせの3回目と位置づけています。止まっている機能は次の2つです。

• 無印良品ネットストア：すべてのサービスと機能
• MUJIアプリ：会員証（MUJI Members）のバーコード表示を除く、すべてのサービスと機能

良品計画は1〜2日以内の再開を目途としていましたが、11月8日時点でもネットストアの画面は停止のお知らせに切り替わったままでした。（追記：2026年11月9日、良品計画が第四報を公表。ネットストアでリスト型攻撃による不正ログインの可能性が約27万件あったとして、再開を延期した。再開時は全利用者にパスワードの再設定を求める方向で準備している。）無印良品の店舗は通常どおり営業しています。

悪用やダークウェブへの流出はまだ確認されていない

11月4日の発表時点では、ダークウェブなどへの流出も、情報を悪用した被害も確認されていません。 クレディセゾンも、MUJI Cardでの不正利用が増えている様子は確認していないとしています。

ダークウェブは、盗まれた個人情報などが売買されるサイトです。そこで情報が見つかるかどうかは、被害の規模を測る目安になります。

侵入経路と原因はまだ公表されていない

良品計画は10月30日と11月4日の発表で、不正アクセスの発生日時を明らかにしていません。一方、クレディセゾンは、不正アクセスが10月29日午前1時頃に発生したとしています。 侵入経路と原因は、11月4日時点で公表されていないままです。 良品計画は11月2日、カード番号も外部からアクセスされた可能性があるとクレディセゾンへ伝えました。

アプリのどの仕組みが狙われたのかも、まだ公表されていません。クレディセゾンは、自社システムへの不正アクセスも、そこからの流出も確認していないとしています。

対象者は利用明細を確認し、なりすましメールに注意

対象者には、良品計画とクレディセゾンから順次連絡がある予定です。そこで良品計画は対象者に、カードの利用明細を確かめ、良品計画やカード会社を装ったメールや電話に注意するよう呼びかけています。 なりすましメールとは、実在する会社やサービスを装って送信される不正なメールのことで、偽サイトへ誘い込んでパスワードやカード番号などを入力させる手口がよく使われます。

良品計画は、メールや電話でクレジットカード情報を聞くことはないとしています。カード番号を入力させようとする連絡が来たら、それだけで偽物を疑ってよいことになります。

身に覚えのない利用と再発行はクレディセゾンへ

MUJI Cardの不正利用はクレディセゾンが重点的に監視しており、カード再発行もクレディセゾンが受け付けます。 利用明細に身に覚えのない支払いがあったときも、問い合わせ先は同じです。

• 再発行：Netアンサーかセゾンポータル（セゾンPortal）から申し込む
• 電話：0120-227-190（フリーダイヤル）
• 受付時間：10時〜17時（12月26日までは毎日。2027年1月4日からは月曜〜土曜）

ご自身がいつMUJI Cardに入会したかは、Netアンサーかセゾンポータルの「お客様情報の確認・変更」で確かめることができます。再発行したカードが届くまでには時間がかかるとのこと。

不審なメールのURLはクリックせず、個人情報も入力しない

良品計画は対象者へメールか郵送で順次連絡するため、本物の連絡となりすましメールが同じ時期に届く可能性があります。 連絡先が分からないMUJI Card会員には、クレディセゾンから連絡が届くとのこと。不審なメールを受け取ったときは、本文のURLをクリックせず、個人情報も入力しないことが基本です。

無印良品やクレディセゾンを装ったメールやSMSが届いたら、リンクではなく、それぞれの公式サイトにご自身でアクセスして確認すると安全です。メールの内容に不安があるときは、次の窓口へ問い合わせることもできます。

問い合わせはお客様相談室のフリーダイヤルへ

良品計画のお客様相談室は0120-64-0772で、12月26日までは毎日9時30分から17時まで受け付けています。 11月4日の発表に、今回の不正アクセスの問い合わせ先として記載されている窓口です。

• 窓口：良品計画 お客様相談室
• 電話：0120-64-0772（フリーダイヤル）
• 受付時間：9時30分〜17時（12月26日までは毎日。2027年1月4日からは月曜〜土曜）

電話をかけるときは、メールに記載の番号ではなく、良品計画の発表に掲載されている番号を使いましょう。ネットストアの注文についての問い合わせは、専用の問い合わせページで受け付けています。

特典用のカード番号が残っていた件から会社と個人が見直すこと

個人情報保護委員会は会社に利用する必要がなくなった個人データの消去を、消費者庁は個人にメールのURLではなく正規のサイトやアプリからアクセスすることを勧めています。 クレディセゾンからのカード番号の提供は2021年7月に終わっていましたが、それまでに受け取った番号が良品計画のシステムに残っていました。利用できなくなったカード約74.5万件と、退会した人の情報も対象です。

10月には個人情報保護委員会が事業者向けに、消費者庁が消費者向けに注意喚起を出しました。使わなくなったデータの消去は事業者向けの注意喚起に、なりすましメールへの備えは消費者向けの注意喚起に記載されています。

会社側：利用する必要がなくなった個人データの消去

個人情報保護委員会は10月7日、消去が徹底されないと漏えいがより深刻になるとして、個人情報保護法第22条にもとづく消去の努力を事業者に改めて求めました。 第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう事業者に努力を求める規定です。

良品計画は、なぜカード番号を残していたのかを明らかにしていません。それでも、提携先からデータを受け取っている会社にとっては、連携を終えた後のデータや退会した人の情報が残っていないかを点検するきっかけになります。残しているなら、その理由を説明できるかも確認しておきましょう。

個人側：ネットストアへはブックマークか公式アプリから

事業者から届いたメールでもフィッシングを疑い、ブックマークした正規のサイトか公式アプリからアクセスするのが安全です。 フィッシングとは、実在する会社やサービスを装ったメールやSMSで偽サイトへ誘導し、IDやパスワード、カード番号などを盗み取る手口のことで、なりすましメールもこの手口に使われます。

無印良品ネットストアのように普段から使う通販サイトは、正規のURLをブックマークするか、公式アプリからアクセスするようにしておくとよいでしょう。ネットストアの再開後もそうしておけば、メール内のリンクにアクセスする機会が減ります。あわせて、安全なパスワードを設定して使い回しを避けることも大切です。不安なときは消費者ホットライン188に相談しましょう。