無印良品で個人情報流出の可能性｜最大2726万件の対象者と対策

無印良品で個人情報流出の可能性｜最大2726万件の対象者と対策

無印良品の個人情報流出の問題で、当初の発表から対象範囲が大きく変わりました。

無印良品を運営する良品計画は2026年11月4日、公式アプリ「MUJIアプリ」の顧客情報に関する不正アクセスについて第二報を公表しました。これまでMUJIアプリ利用者を中心に説明されていた対象に、アプリを使っていない無印良品ネットストアの会員も含まれることが判明。さらに、氏名・住所・電話番号や、一部のクレジットカード情報にも外部からアクセスされた可能性が明らかになっています。

特に注意したいのは、クレディセゾンが発行する「MUJI Card」のカード番号全桁などが、約109万件にわたり対象になった可能性があることです。そのうち約34万5,000件は、発表時点で有効なカードでした。

一方で、約2,726万件の個人情報が実際に外部へ持ち出されたと確定したわけではありません。 良品計画は11月4日時点で、ダークウェブなどへの当該情報の流出や、情報を悪用した被害は確認されていないと説明しています。

自分が対象なのか、カードは使い続けてよいのか、通知が届かなければ安心してよいのか。第一報から変わった点を含め、公式発表に基づいて整理します。

無印良品の情報流出、11月4日の第二報で何が変わった？

今回の問題が最初に公表されたのは10月30日です。当時、良品計画はMUJIアプリに関する最大約2,726万件の顧客情報について、外部流出の可能性があると発表しました。対象となる情報はメールアドレス、生年月日、性別で、クレジットカード情報や氏名、住所、電話番号は含まれないと説明していました。

しかし、その後の調査で対象者と情報の種類が見直され、11月4日の第二報では次の内容が判明しました。

• MUJIアプリを使用していない無印良品ネットストア会員も対象に含まれる
• 最大約2,726万件の会員情報には、メールアドレス、生年月日、性別に加えて会員IDも含まれる
• そのうち約52万件では、氏名・住所・電話番号も対象となる可能性がある
• 過去に良品計画へ連携されていたMUJI Cardのカード番号全桁など、約109万件も対象となる可能性がある
• アプリやネットストアに登録されたカード情報の一部についても、約120件が対象となる可能性がある

最大約2,726万件という数字そのものは、10月30日の第一報から増えたわけではありません。 新たに判明したのは、その中にネットストア会員も含まれること、そして対象となる情報の種類が広がったことです。

約52万件は最大約2,726万件の内数です。一方、MUJI Card約109万件と登録カード約120件は別の区分として示されており、それぞれの情報がどの程度重複するのかは完全には明らかにされていません。数字を単純に足して「被害人数」とすることはできません。

ここでいう「件数」は、確認された可能性のある情報の件数であり、同じ人数の情報が外部に流出したと確認された数ではない点にも注意が必要です。

自分も対象？MUJIアプリ・ネットストア・退会者の違い

11月4日の発表で大きく変わったのが、無印良品ネットストアだけを利用していた人の扱いです。アプリを使っていなくても、ネットストア会員の情報が対象範囲に含まれていることが明らかになりました。

ただし、ネットストア会員全員の情報が不正アクセスを受けたと確定したわけではありません。良品計画が公表したのは、対象となった可能性のある会員情報の範囲と件数です。個々の利用者が対象かどうかを、利用経験だけから判断することはできません。

MUJIアプリを利用している人

今回の中心となるのは、良品計画が保有するアプリ・ネットストア関連の会員情報です。メールアドレス、生年月日、性別、会員IDが対象となる可能性があり、一部では氏名・住所・電話番号も含まれます。

対象の可能性がある人には、良品計画がメールまたは郵送で順次連絡する方針です。公式発表を確認するとともに、不審なメールや電話には注意してください。

ネットストアだけを使った人

MUJIアプリを使ったことがなくても、ネットストア会員であれば今回の対象に含まれる可能性があります。 「アプリを入れていないから自分は関係ない」と考えるのは早計です。

一方、実店舗で会員情報を登録せず買い物をしただけの人まで、一律に今回の対象と発表されたわけではありません。ネットストアやアプリの会員登録歴、カードの入会時期などを分けて考える必要があります。

すでに退会した人・旧アプリを使っていた人

最大約2,726万件には退会者の情報も含まれています。そのため、現在アプリを使用していなかったり、以前に退会していたりしても、過去に保有されていた情報が対象となる可能性はあります。

旧「MUJI passport」だけを使っていた人についても、過去の利用状況だけで対象か対象外かを一律に判定できる公式条件は示されていません。アプリの削除や退会を今行ったとしても、過去に不正アクセスの対象となった可能性そのものが取り消されるわけではありません。

MUJI Card約109万件のカード番号全桁も対象に

今回の第二報で、特に詳しく確認しておきたいのがMUJI Cardです。クレディセゾンが11月4日に公表した内容によると、良品計画のシステムに残っていたMUJI Card関連の情報について、第三者がアクセスした可能性があります。

対象となるカード関連情報は、カード番号の全桁、MUJI Card ID、生年月日です。MUJI Card IDは、カードに記載されている無印良品メンバーIDを指します。

約109万件の内訳は次のとおりです。

• 現在も有効なカード：約34万5,000件
• 解約や有効期限切れなどで、すでに利用できないカード：約74万5,000件

約109万件すべてが今も使えるカード番号というわけではありません。しかし、有効なカードの情報も相当数含まれているため、単に古いデータの問題として片付けることはできません。

なお、クレディセゾンは今回のカード関連情報に、カード名義、有効期限、セキュリティコードは含まれないと説明しています。ただし、カード関連情報に名義が含まれないことと、同じ人の氏名が別の会員情報に存在しなかったことは別です。

良品計画によると、有効なカード約34万5,000件のうち約16万8,000件は、メールアドレスなどの基本的な会員情報と社内システム上で一緒に閲覧できる状態でした。さらに、その約16万8,000件のうち約2万5,000件では、氏名・住所・電話番号を含む情報も閲覧できる状態だったとしています。

これは情報の関連付けが可能だったという説明であり、すべての情報が実際に外部へ持ち出されたことを意味するものではありません。

なぜ古いMUJI Cardの番号が残っていた？

クレディセゾンによると、2000年10月から2021年7月まで、MUJI Cardの特典ポイントを付与する目的で、カード番号や生年月日などの情報を良品計画へ連携していました。

その後、ポイント付与の仕組みが変更されたため、現在はカード番号の連携を行っていません。それでも、過去に提供された情報が良品計画のシステム上に残っていたことが今回の調査で確認されました。

「現在はカード番号を連携していないのに、なぜ対象になったのか」という疑問に対しては、この過去の情報が保存されていた経緯が答えになります。ただし、なぜ保存を続けていたのか、どのような管理上の問題があったのかについては、原因調査の結果を待つ必要があります。

2021年8月以降に発行されたMUJI Cardは？

クレディセゾンは、2021年8月以降に発行されたMUJI Cardについて、今回公表した過去のカード番号連携に関する不正アクセスの対象外と案内しています。

ただし、2021年8月以降のカードを持っている人でも、アプリやネットストアの会員情報まで一律に対象外になるという意味ではありません。MUJI Cardのカード番号に関する区分と、アプリ・ネットストアの会員情報は分けて確認してください。

MUJI Cardの入会年月日は、セゾンPortalまたはNetアンサーの「メニュー」から「お客様情報の確認・変更」に進むと確認できると案内されています。

アプリ・ネットストアの登録カード約120件は何が違う？

MUJI Card約109万件とは別に、MUJIアプリまたは無印良品ネットストアへクレジットカード情報を登録した利用者について、約120件のカード関連情報も不正アクセスの対象となった可能性があります。

こちらで示されている情報は、カード番号の先頭6桁と下2桁、およびカード名義です。MUJI Cardの区分とは違い、番号全桁ではありません。有効期限とセキュリティコードも対象に含まれていません。

さらに、この約120件については、氏名・住所・電話番号を含む会員情報と社内システム上で一緒に閲覧できる状態だったとされています。

「クレジットカード109万件」と「登録カード120件」を一緒にして、すべてのカード番号全桁が対象だと説明するのは誤りです。利用者が取るべき対応を考えるうえでも、どの情報が対象になった可能性があるかを分けて理解する必要があります。

カードの再発行は必要？不正利用が心配な場合の対策

MUJI Cardを持っている人にとって、最も気になるのは再発行の必要性でしょう。

クレディセゾンは11月4日の発表で、カードの不正利用を防ぐため監視を強化していると説明しています。同日時点で、MUJI Cardの不正利用が増加している状況は確認されていません。

希望する利用者にはカードの再発行にも対応していますが、すべての会員に一律の再発行を求めているわけではありません。再発行を希望する場合は、NetアンサーまたはセゾンPortalから手続きできます。問い合わせの集中によって電話がつながりにくい場合もあるため、Webからの手続きも選択肢になります。

カード番号の変更により、公共料金やサブスクリプションなどで支払い先の登録変更が必要になる場合もあります。再発行の判断に迷う場合は、クレディセゾンの公式案内や窓口で確認してください。

身に覚えのない請求があった場合

カードの利用明細を確認し、覚えのない決済があった場合は、カード発行会社へ速やかに問い合わせる必要があります。クレディセゾンは、申し出を受けた場合に所定の調査を行い、その結果に応じて対応すると説明しています。

「有効期限やセキュリティコードが対象に含まれないから、不正利用は絶対に起こらない」とは判断できません。 一方、カード番号がアクセス対象になった可能性があるという情報だけで、すでに不正決済が発生したと決めつけるのも適切ではありません。

現時点で確認できる事実を押さえながら、利用明細の確認と公式窓口への相談を優先することが重要です。

対象者への通知はいつ届く？届かなければ対象外？

良品計画は、対象となる利用者にメールまたは郵送で個別に順次連絡すると発表しています。MUJI Card会員のうち良品計画が連絡先を把握していない人には、クレディセゾンが連絡する方針です。

ただし、通知が全員へ届くまでの日程や、利用者が会員番号などを入力して自分の対象状況を照会できる専用ページについては、11月4日の発表では確認できません。

通知メールが届いていないからといって、直ちに対象外と判断することはできません。 特に、過去に登録したメールアドレスや住所が変わっている人、すでに退会している人は、連絡の有無だけで結論を出さない方がよいでしょう。

また、今回の問題を利用して「流出対象を確認する」「補償のためカード情報を入力する」と誘導する偽メールやSMSにも注意が必要です。良品計画は、メールや電話でクレジットカード情報を尋ねることはないと明記しています。

メールに書かれたリンクをすぐに開くのではなく、良品計画やクレディセゾンの公式サイトへ自分でアクセスし、発表内容と照らし合わせる方法が安全です。カード番号、暗証番号、セキュリティコードを求める不審な案内には応じないでください。

パスワードは流出した？アプリを削除した方がいい？

今回、良品計画が公表した対象情報には、メールアドレス、生年月日、性別、会員ID、氏名、住所、電話番号および前述のカード関連情報などが含まれます。一方、パスワードについては個別の流出対象として説明されていません。

したがって、パスワードが流出したと断定することも、絶対に流出していないと保証することもできません。また、11月4日の発表で全利用者に一律のパスワード変更が求められているわけではありません。

ただし、他のサービスとパスワードを使い回している人は、今回の問題とは別に見直す価値があります。偽メールのリンク先でパスワードを入力してしまった場合は、該当サービスの公式ページから変更し、同じパスワードを使っているサービスについても対策してください。

アプリを削除したり、今から退会したりしても、過去にシステム上で不正アクセスの対象となった可能性は消えません。良品計画は11月4日時点で、MUJIアプリと無印良品ネットストアは正常に利用できると説明しています。今回の発表だけを理由に、アプリの利用者全員が端末のウイルス感染を疑う必要があるという案内も出ていません。

不正アクセスはいつ発生した？原因は判明している？

クレディセゾンの発表によると、第三者による不正アクセスが発生したのは2026年10月29日午前1時ごろです。良品計画は10月30日に第一報を公表し、その後の調査でMUJI Cardのカード番号も対象になった可能性が判明したため、11月2日にクレディセゾンへ報告しました。そして11月4日、対象情報の広がりを第二報として公表しています。

今回不正アクセスを受けたと説明されているのは、良品計画のシステムです。クレディセゾンは、自社システムへの不正アクセスや、自社システムからの情報流出は確認されていないとしています。

良品計画は不正なアクセスを遮断し、対象システム以外への影響がないかも監視を強化しています。ただし、攻撃者の正体や具体的な侵入経路、悪用された脆弱性などは公表されていません。過去のカード情報が残っていた経緯は明らかになったものの、それ自体が不正アクセスを許した直接の原因と確定したわけでもありません。

また、11月4日の公式発表時点では、ダークウェブなどへの当該情報の流出や、当該情報を悪用した被害は確認されていません。これは「外部への持ち出しがなかったと証明された」という意味ではなく、調査が続いている段階です。

11月2日のオーダーカーテンの情報流出とは別件？

無印良品では、今回とは別に11月2日、オーダーカーテンの注文に関する顧客情報についても流出の可能性を発表しています。

こちらは、オーダーカーテン業務の委託先が利用していたサーバーに不正アクセスの痕跡が見つかった問題です。対象期間は2018年4月10日から2022年1月25日までの注文で、対象は19,933件。同じ顧客に関する重複データも含まれています。対象情報は氏名、住所、電話番号、注文情報、配送先住所で、クレジットカード情報やメールアドレスは含まれないと説明されています。

MUJIアプリ・ネットストアの不正アクセスとは、発表されている対象システムが異なります。両事件が関連しているという公式説明も確認されていないため、一つの事件として件数を合算することはできません。

以前に公表されたアスクル経由の配送関連データの問題とも、今回の良品計画のシステムへの不正アクセスは分けて考える必要があります。

無印良品・MUJI Cardの問い合わせ先

今回の情報流出の可能性について、良品計画とクレディセゾンが次の窓口を案内しています。

良品計画 お客様相談室

電話番号：0120-64-0772

受付時間：9:30～17:00

2026年12月26日までは毎日受付。2027年1月4日からは月曜日～土曜日の受付です。

クレディセゾン MUJI Card専用問い合わせ窓口

電話番号：0120-227-190

受付時間：10:00～17:00

2026年12月26日までは毎日受付。2027年1月4日からは月曜日～土曜日の受付です。

MUJI Cardの再発行はNetアンサー・セゾンPortalからも申し込めます。電話が混み合っている場合は、クレディセゾンの公式サイトにある再発行案内を確認してください。

補償や返金については発表された？

11月4日の公式発表では、今回の不正アクセスに伴う一律の補償金や返金制度について、具体的な内容は案内されていません。

一方、MUJI Cardに身に覚えのない利用が確認された場合、クレディセゾンは所定の調査を行い、結果に応じて対応すると説明しています。補償の有無や条件を記事だけで決めつけず、個別の請求についてはカード発行会社へ相談してください。

まとめ｜ネットストア利用者も対象、カード情報は種類ごとに確認を

無印良品の情報流出の可能性について、11月4日の第二報では対象者と情報の種類が大きく見直されました。MUJIアプリを利用していないネットストア会員も対象に含まれ、最大約2,726万件のうち約52万件については氏名・住所・電話番号も対象になる可能性があります。

さらに、過去に良品計画へ連携されていたMUJI Card約109万件ではカード番号全桁など、アプリ・ネットストアの登録カード約120件では番号の一部とカード名義にアクセスされた可能性が判明しました。この二つは別の情報区分です。

今確認したいのは、無印良品やクレディセゾンからの公式案内、カードの利用明細、身に覚えのないメールや電話の有無です。 対象となった可能性と、実際に情報が流出したことや不正決済が発生したことは区別しなければなりません。

良品計画は原因と影響範囲の調査を続けています。今後、実際の情報持ち出しの有無や対象件数、通知の進捗について新たな発表があれば、11月4日の第二報からさらに状況が変わる可能性があります。

※本記事は2026年11月5日時点で確認できる、良品計画の10月30日・11月4日付発表、クレディセゾンの11月4日付発表をもとにしています。