良品計画「MUJIアプリ」に不正アクセス、最大約2,726万件 第二報でクレジットカード番号（全桁）約109万件も判明

事案の概要データ

図解：この事故の構造

何が起きたのか

良品計画は2026年10月30日、公式アプリ「MUJIアプリ」で顧客情報の一部が外部に流出した可能性があると公表しました。第一報での内容は、メールアドレス・生年月日・性別、最大約2,726万件（退会者の情報を含む）。クレジットカード情報、氏名、住所、電話番号は含まれないとされていました。

5日後の11月4日、第二報で話が大きく変わります。

①対象が広がった。 「無印良品ネットストア（MUJIアプリを利用されていない方も含む）をご利用のお客さまも含まれる」。さらに、約2,726万件のうち約52万件には、氏名・住所・電話番号も含まれていました。

②クレジットカード番号が含まれていた。 クレディセゾンが発行する「MUJI Card」会員について、クレジットカード番号（全桁）、MUJI Card ID、生年月日が約109万件。このうち現時点で有効なカードは約34.5万件で、残りは失効・解約済みです。カード名義、有効期限、セキュリティコードは含まれていません。

③さらに約120件。 MUJIアプリまたはネットストアでカード情報を登録した顧客について、カード番号の先頭6桁＋下2桁とカード名義です。

不正アクセスの時期、発覚の日時、原因、侵入経路は、第一報・第二報とも公表されていません。

2021年7月までに取得したカード番号が、2026年まで残っていた

第二報で最も重い一文は、「今回判明した経緯」に書かれています。

「2021年7月以前は、当社独自の特典を付与するために、クレディセゾンが発行する「MUJI Card」に入会されたお客さまのカード番号とMUJI Card ID、生年月日を取得しており、その情報（②）が当社のシステム上に残っていたことを確認しました」

整理するとこうです。2021年7月で、カード番号を取得する運用はやめていました。それでも、それ以前に取得した番号は、2026年までシステムに残っていました。 そして今回、全桁のカード番号として約109万件が流出した可能性があります。

やめた運用のデータが、5年以上残っていた。 これが、この事案の核心です。

本サイトでは最近、同じ構造の事案を続けて扱っています。佐川急便は、送り状データの保管期間が約100日だったので被害が100日分で止まりました。株式会社Sallyは、使うのをやめたサービスにデータが残っていて漏れました。

そして今回は、やめた運用のデータです。方向は同じです。持っているデータの量が、漏えいの上限を決めます。

中小企業に置き換えてください。運用をやめたのに、データだけ残っているものはありませんか。

終了したポイントカードの会員データ。やめたサービスの申込書。使わなくなった顧客管理ソフトのデータベース。昔の販売管理システムから移行したときの「念のため」のバックアップ。退職者が使っていた共有フォルダ。

どれも、業務では使っていないのに、漏れれば謝ることになります。

とくにクレジットカード番号は、原則として自社で保持しないのが鉄則です。決済代行会社を使えば、カード番号は自社を通りません。もし過去に保持していた時期があるなら、その当時のデータが残っていないかを確認してください。 「いまは持っていない」と「昔の分も消えている」は、別の話です。

今日できることを1つ挙げるなら、これです。「もう使っていないのに残っているデータ」を、思いつくだけ紙に書き出す。 1時間もかかりません。

第一報と第二報で、内容がここまで変わった

この事案は、第一報と第二報の差そのものが記録に値します。並べてみます。

第一報（10月30日）： 対象はMUJIアプリ利用者。情報はメールアドレス・生年月日・性別。「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」と明記。

第二報（11月4日）： 対象はネットストア利用者にも拡大。約52万件には氏名・住所・電話番号も含まれる。クレジットカード番号（全桁）約109万件。

「含まれません」と書いた情報が、5日後に「含まれていました」になりました。

これをどう評価するか。第一報を出したこと自体は正しいと考えます。分かった時点で出さなければ、顧客は何も知らないまま過ごします。調査が終わるまで黙っていれば、その間に不審なメールが届いても、顧客は理由が分かりません。

一方で、第一報の書き方には学ぶところがあります。 「含まれません」と言い切るのは、調査が終わっていない段階では危険です。「現時点の調査では確認されていません」と書いていれば、第二報での印象はかなり違ったはずです。

実際、第一報の冒頭には「現時点で、外部に流出した可能性がある情報は以下のとおりです」とあり、調査中であることは示されていました。しかし項目の注記は「含まれません」と断定形でした。同じ文書の中で、断定と留保が混ざっています。

中小企業が第一報を書くときの、実務的なルールを1つにまとめます。「ない」と書くときは、必ず「現時点の調査では」を付ける。 7文字です。これがあるかないかで、第二報を出すときの説明のしやすさが変わります。

もう1つ。第一報から第二報まで5日です。これは早いほうです。調査が進むたびに出す、という姿勢は保たれています。

「有効なカードが34.5万件」という書き方

第二報の件数の書き方には、丁寧なところもあります。クレジットカードの約109万件について、こう分けています。

「うち現時点で有効なクレジットカードは約34.5万件、残りはすでに失効・解約済みのクレジットカード」

さらに踏み込んで、組み合わせまで書いています。有効なカード約34.5万件のうち約16.8万件は①〈1〉の情報（メールアドレス・生年月日・性別・会員ID）と、そのうち約2.5万件は①〈2〉の情報（氏名・住所・電話番号）と、それぞれ閲覧が可能な状態だった、と。

なぜこの書き方が重要なのか。カード番号だけでは、不正利用は難しいからです。多くの場合、名義・有効期限・セキュリティコードのどれかが必要になります。今回それらは含まれていません。

しかし、カード番号と氏名と生年月日と住所がそろうと、話が変わります。 カード会社を装った電話で「本人確認」を求められたとき、相手が自分の住所と生年月日とカード番号の下4桁を言えたら、多くの人は信じてしまいます。

だから「約2.5万件は氏名・住所・電話番号とあわせて閲覧可能だった」という一文は、その2.5万人にとって最も警戒レベルが高いことを示しています。会社はそれを隠さずに書きました。

中小企業への示唆は、「項目を単品で評価しない」ということです。「メールアドレスだけだから軽い」「電話番号だけだから軽い」と考えがちですが、漏れた項目は組み合わさって使われます。

自社が持っている顧客データについて、一度こう問うてみてください。「この表の1行をまるごと見られたら、その人になりすませるか」。 なりすませるなら、その表は暗号化と、アクセスできる人の絞り込みが必要です。

なお良品計画は、第一報時点で「MUJIアプリや無印良品ネットストアは、正常にご利用いただけます」としています。サイトを止めずに済んだのは、侵入箇所を特定して遮断と修正ができたからです。アイリスプラザが6日以上止まったケース（本サイト掲載）と対照的です。

時系列で見る経過

• 2021年7月以前良品計画が、独自の特典付与のため「MUJI Card」入会者のカード番号・MUJI Card ID・生年月日を取得していた（この運用は2021年7月までで終了）
• （時期の記載なし）外部からの不正なアクセスを検知。該当箇所へのアクセスの遮断および修正の適用を実施
• 2026年10月30日第一報を公表。MUJIアプリ利用者のメールアドレス・生年月日・性別、最大約2,726万件。「クレジットカード情報、氏名、住所、電話番号等の情報は含まれません」としていた
• 2026年11月2日（別事案）オーダーカーテン業務の委託先への不正アクセスによる19,933件の流出の可能性を公表
• 2026年11月4日第二報を公表。対象がネットストア利用者にも拡大。約52万件に氏名・住所・電話番号。MUJI Card会員 約109万件のクレジットカード番号（全桁）にもアクセスされた可能性
• 今後対象者にメールまたは郵送で順次連絡。MUJI Card会員で良品計画が連絡先を把握していない人にはクレディセゾンから連絡
• 2026年11月4日クレディセゾンが、MUJI Cardのカード番号（全桁）等 約109万件について公表
• 2026年11月6日良品計画が無印良品ネットストアを再び全面停止。MUJIアプリも会員証以外は利用不可に

中小企業が学ぶべきポイント

1. 2021年7月にやめた運用のカード番号が、2026年までシステムに残っていた。
2. 「もう使っていないのに残っているデータ」を紙に書き出す。1時間もかからない。
3. クレジットカード番号は自社で保持しない。決済代行を使えば自社を通らない。
4. 「いまは持っていない」と「昔の分も消えている」は別の話。過去の分を確認する。
5. 第一報で「含まれません」と断定しない。「現時点の調査では確認されていません」と書く。
6. その7文字があるかないかで、第二報を出すときの説明のしやすさが変わる。
7. 漏れた項目は単品ではなく組み合わさって使われる。カード番号＋氏名＋住所＋生年月日は特に危険。
8. 自社の顧客データの1行を見て「これでその人になりすませるか」と問う。
9. 侵入箇所を特定して遮断・修正できれば、サービスを止めずに済むこともある。

出典・参考

• 無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について（第一報）（良品計画・2026年10月30日）
• 無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について（第二報）（良品計画・2026年11月4日・PDF）
• 「MUJIアプリ」で最大 約2,726万件の顧客情報が流出した可能性（ScanNetSecurity）