事案の概要データ
| 公表日 | 2026年11月4日（クレディセゾン） |
|---|---|
| 発端 | 株式会社良品計画のシステムへの第三者による不正アクセス（MUJIアプリ関連。良品計画は2026年10月30日に第二報を公表） |
| 件数 | 約109万件（退会者を含む） |
| アクセスされた可能性がある情報 | MUJI Cardのカード番号（全桁）、生年月日など |
| 報告の経路 | 良品計画からクレディセゾンへ報告 |
| クレディセゾンの自社システム | 流出は確認されていない |
| 関連する既掲載の事案 | 良品計画「MUJIアプリ」最大約2,726万件（2026年10月30日・第二報でカード番号 全桁を含むと判明）、無印良品オーダーカーテンの再委託先への不正アクセス（2026年11月2日） |
図解：この事故の構造
何が起きたのか
株式会社クレディセゾンは2026年11月4日、良品計画のシステムへの第三者による不正アクセスで、過去に良品計画からクレディセゾンへ連携していたMUJI Cardのカード番号（全桁）、生年月日などに第三者がアクセスした可能性があると良品計画から報告を受けたと公表しました。
対象は退会者を含め約109万件。クレディセゾン自社のシステムからの流出は確認されていないとしています。
本サイトでは、発端となった良品計画「MUJIアプリ」の事案（最大約2,726万件、第二報でクレジットカード番号 全桁を含むと判明）を2026年10月30日に掲載しています。本件は、そのカード番号がどの会社の発行分で何件かを、カード会社側が公表したものです。
「カード番号 全桁」が持つ重さ
情報漏えいの公表文では、カード番号について「下4桁のみ」「マスキングされている」という表現をよく見ます。本件は違います。全桁です。
全桁が漏れると何が起きるか。
①セキュリティコード（裏面の3桁）と有効期限がそろえば、そのまま決済に使われる可能性があります。 本件でそれらが漏えいしたという発表はありませんが、他で漏れた情報と組み合わせられるおそれは残ります。
②カード番号は、本人確認の材料として使われます。 「お持ちのカードの番号をお教えください」ではなく「○○○○で始まる番号のカードですね」と先に言われると、相手を信じてしまいます。
③退会した人も対象です。 退会後にカード番号は使えなくなりますが、「以前お使いだったカードについて返金があります」という詐欺の材料にはなります。
利用者がやるべきことは3つです。①カードの利用明細を毎月見る。少額の見慣れない請求を探す。②不審な請求があればカード会社に連絡し、カードを再発行してもらう。③カード会社や無印良品を名乗る連絡で、カード番号・セキュリティコード・暗証番号を伝えない。
カードの再発行は、不安であれば自分から申し出てかまいません。費用はかからないことが多く、番号が変われば古い番号は使えなくなります。
「連携していた」データが残っていた
本件の構造で重要なのは、この表現です。「過去に同社へ連携していた」MUJI Cardの情報。
つまり、カード会社からカード番号を受け取り、良品計画のシステム側に置いていたということです。しかも退会者を含む約109万件。
なぜ加盟店側がカード番号の全桁を持つのか。考えられるのは、アプリとカードを結びつけて、来店時に自動でポイントを付けたり、カードの利用に応じた特典を出すためです。実際、MUJI CardとMUJI passportを連携させたサービスは以前から案内されています。
便利ではあります。しかし、便利のために持ち続けた全桁のカード番号が、そのまま漏えいしました。
中小企業に当てはめて考えてください。
①カード番号を自社で保存していませんか。 決済代行会社に任せて自社では持たない（非保持化）のが原則です。本サイトで同じ11月に掲載したノジマの事案では、非保持化していたためカード情報が守られました。
②FAXや紙の申込書にカード番号が書かれていませんか。 紙も立派な保存です。シュレッダーの運用まで含めて見直してください。
③メールでカード番号を送ってもらっていませんか。 受信トレイに残ります。
④「連携」で他社から受け取っているデータはありませんか。 受け取った側にも管理責任が生まれます。
なお、良品計画については2026年10月30日のMUJIアプリ、11月2日のオーダーカーテン委託先（再委託先のサーバー）と、短期間に複数の経路で公表が続いています。1つの会社でも入口は複数あるという例として記録しておきます。
時系列で見る経過
- 2026年10月下旬良品計画のシステム（MUJIアプリ関連）への第三者による不正アクセス
- 2026年10月30日良品計画が第二報を公表。最大約2,726万件、クレジットカード番号（全桁）を含むと判明
- 2026年11月2日良品計画が、オーダーカーテンの委託先の再委託先サーバーへの不正アクセスについても公表
- 2026年11月4日クレディセゾンが、MUJI Cardのカード番号（全桁）等 約109万件（退会者を含む）にアクセスされた可能性を公表
中小企業が学ぶべきポイント
- 「カード番号 全桁」が漏れた。下4桁やマスキング済みとは危険の度合いが違う。
- カード番号は本人確認の材料にもなる。先に番号を言われると相手を信じてしまう。
- 退会した人も対象。「以前お使いだったカードの返金」という詐欺の材料になる。
- 利用明細を毎月見る。不安ならカードの再発行を自分から申し出る。費用はかからないことが多い。
- 加盟店側が全桁のカード番号を保存していた。便利さのために持ち続けたものが、そのまま漏えいした。
- カード情報は決済代行会社に任せて自社では持たない（非保持化）。紙やメールの中の番号も「保存」である。
- 他社から「連携」で受け取っているデータにも、受け取った側の管理責任が生まれる。
- 良品計画は10月30日と11月2日で別経路の公表が続いた。1社でも入口は複数ある。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。