無印良品のオーダーカーテン、委託先の先のサーバーに不正アクセス 2018〜2022年の注文 19,933件

事案の概要データ

図解：この事故の構造

何が起きたのか

良品計画は2026年11月2日、オーダーカーテンに関する顧客情報が外部に流出した可能性があると公表しました。原因は、委託先が再委託していた会社のサーバーへの不正アクセスです。

公表文は、委託の構造をはっきり書いています。

「当社は、オーダーカーテンに関する業務を、MNインターファッション株式会社に委託しており、同社はシステム関連業務を株式会社ナノテックに委託しています。不正アクセスが確認されたのは、株式会社ナノテックが管理するサーバーです」

良品計画 → MNインターファッション → ナノテック。3層です。

経緯もはっきりしています。2026年10月28日、ナノテックが自社サーバーで同年10月19日に外部から不正アクセスを受けた痕跡を確認。同日、ナノテックからMNインターファッションを通じて良品計画へ報告がありました。

対象は2018年4月10日から2022年1月25日までに無印良品でオーダーカーテンを注文した顧客で、19,933件（同一顧客の重複データを含む）。情報は氏名、住所、電話番号、注文情報、配送先住所です。クレジットカード情報とメールアドレスは含まれません。

現在のオーダーカーテン受注業務は、別のサーバーで運用しており、現時点で問題は確認されていないとしています。

「委託先の、その先」で起きた事故

顧客から見れば、無印良品でカーテンを注文しただけです。MNインターファッションもナノテックも、今回の公表で初めて名前を知った人がほとんどでしょう。

しかし実際には、顧客の氏名・住所・電話番号は、3社目のサーバーに置かれていました。

本サイトでは、同じ構造の事案を繰り返し扱っています。フジッコは「委託先事業者が利用しているブラストメール」で3層。Studioの事案では、江戸川区が「受託事業者経由」で連絡を受けるまで4日かかりました。

中小企業にとって、これは発注する側の問題です。

自社がホームページ制作を発注したとき、その制作会社がどのサーバー会社を使っているか。受注管理を外注したとき、その会社がどのシステムを使っているか。契約書に書かれていることは、まずありません。

そして、契約書に書かれていない相手には、事故のときに直接連絡が取れません。 今回も、報告はナノテック→MNインターファッション→良品計画の順に流れています。

やることは、質問を1つ増やすだけです。発注時、あるいは次の契約更新時に、「この業務で当社の顧客情報が置かれるサーバーは、どちらの会社が管理していますか。再委託がある場合は、その会社名も教えてください」と聞いてください。メール1通です。

聞いておくと、2つ得があります。①事故のニュースを見たとき、自社が当事者かすぐ分かる。②契約時に「再委託先の名称を事前に通知する」という条項を入れる話に進められる。

②は、個人情報の取り扱いを委託する際の監督義務（個人情報保護法）にも関わります。監督するには、相手を知っている必要があります。

2018年から2022年——4年分のデータが、使っていないサーバーに残っていた

対象期間に注目してください。2018年4月10日から2022年1月25日まで。 約3年9か月分です。

そして公表文はこう書いています。「現在のオーダーカーテン受注業務は、今回不正アクセスが確認されたサーバーとは別のサーバーで運用しており、現時点で問題は確認されておりません」。

つまり、2022年1月ごろに新しいサーバーへ移行し、古いサーバーはそのまま残っていたと読めます。そして、古いサーバーに入っていた4年分のデータが漏れました。

システムを移行したとき、古いほうはどうなっていますか。

これは中小企業で本当によくある状態です。新しい顧客管理ソフトに移行した。新しいレンタルサーバーに引っ越した。新しいECカートに乗り換えた。でも、古いほうは「念のため」残してある。

残す理由は分かります。移行がうまくいっていなかったときに戻せるように。過去データを参照したくなったときのために。

問題は、残したまま忘れることです。そして、使っていないサーバーは更新も監視もされません。 OSもソフトも古いまま、誰も管理画面を見ない。攻撃者にとって、これ以上に入りやすい場所はありません。

手順を決めておきましょう。①移行後◯か月で古い環境を止める、と移行計画の時点で決める。 3か月でも6か月でもかまいません。②止める前に、必要なデータだけを書き出して保管する。 サーバーごと残すのではなく、ファイルとして手元に置きます。③古い環境を削除し、契約も解約する。

③まで終えてはじめて「もう無い」と言えます。止めただけでは、データは残っています。

なお本件は、良品計画にとって同じ週に2件目の公表です。10月30日に「MUJIアプリ」の事案（最大約2,726万件）を公表し、11月2日にこの事案。原因は別です。大きな事故が表に出ると、社内の点検が進んで別の事故も見つかる、という流れはよくあります。

時系列で見る経過

• 2018年4月10日（対象期間の開始）この日以降のオーダーカーテンの注文情報が対象となる
• 2022年1月25日（対象期間の終わり）以降の受注業務は別のサーバーで運用されている
• 2026年10月19日株式会社ナノテックが管理するサーバーが外部から不正アクセスを受ける
• 2026年10月28日ナノテックが自社管理サーバーで不正アクセスの痕跡を確認。同日、MNインターファッションを通じて良品計画へ報告
• 2026年10月30日（別事案）良品計画が「MUJIアプリ」の情報流出の可能性を公表
• 2026年11月2日良品計画が「オーダーカーテンに関するお客さま情報の流出の可能性について」を公表。19,933件
• 今後外部の専門機関による詳細な調査を継続。対象者へ順次郵送で連絡

中小企業が学ぶべきポイント

1. 顧客の氏名・住所・電話番号が、3社目のサーバーに置かれていることがある。
2. 発注時に「当社の顧客情報が置かれるサーバーは、どちらの会社が管理していますか。再委託先も教えてください」と聞く。
3. 契約書に書かれていない相手には、事故のときに直接連絡が取れない。
4. 再委託先の名称を事前に通知する条項を、契約更新時に入れられないか検討する。
5. システムを移行したあと、古い環境が残っていないか確認する。
6. 使っていないサーバーは更新も監視もされない。攻撃者にとって最も入りやすい。
7. 移行計画の時点で「移行後◯か月で古い環境を止める」と決めておく。
8. 止める前に必要なデータだけをファイルとして書き出し、環境ごと削除して契約も解約する。
9. 止めただけではデータは残っている。削除と解約まで終えて「もう無い」と言える。

出典・参考

• オーダーカーテンに関するお客さま情報の流出の可能性について（良品計画・2026年11月2日・PDF）