無印良品を展開する良品計画は2026年11月4日、10月29日に起きた自社システムへの不正アクセスについて第二報を公表した。クレディセゾンが発行するクレジットカード「MUJI Card」のカード番号（全桁）や生年月日など約109万件にも、外部からアクセスされた可能性があることが新たにわかった。10月30日の第一報で示したMUJIアプリ利用者の情報についても、無印良品ネットストアの会員が含まれることや、一部の人の氏名・住所・電話番号が対象になることが判明した。
第二報で新たにわかったこと
良品計画の第二報によると、外部からアクセスされた可能性がある情報は、大きく3つに分かれる。
- MUJIアプリと無印良品ネットストアの利用者（退会者を含む）：メールアドレス、生年月日、性別、会員IDが最大約2,726万件。このうち約52万件は、氏名・住所・電話番号も含む（現時点）
- 2021年7月までに入会したMUJI Card会員：カード番号（全桁）、MUJI Card ID、生年月日が約109万件。カード名義・有効期限・セキュリティコードは含まれない。109万件のうち、現在も有効なカードは約34.5万件で、残りは失効・解約済み
- アプリまたはネットストアにカード情報を登録した利用者：カード番号の先頭6桁と下2桁、カード名義が約120件
MUJI Cardの情報は、2021年7月以前に良品計画が独自の特典を付けるためにクレディセゾンから受け取っていたもので、それが社内のシステムに残っていたという。良品計画によると、有効なカード約34.5万件のうち約16.8万件は、アプリやネットストアの会員情報とあわせて閲覧できる状態だった。
カード会社の対応と利用者へのお願い
クレディセゾンも同日、お知らせを出した。同社は11月2日、良品計画から報告を受けた。同社の説明によると、10月29日午前1時ごろに良品計画のシステムへの不正アクセスが起き、その後の調査でMUJI Cardのカード番号にもアクセスされた可能性がわかったという。クレディセゾン自身のシステムへの不正アクセスや、同社システムからの流出は確認されていないとしている。
クレディセゾンは不正利用の監視を強めており、現時点でMUJI Cardの不正利用の増加は確認されていないという。希望者にはカードの再発行にも応じる。両社は、利用明細に心当たりのない請求がないか確かめることと、両社を装ってカード番号や暗証番号を聞き出そうとするメールや電話に注意することを呼びかけている。
良品計画は不正なアクセスを遮断し、ほかのシステムに影響がないか監視を続けている。MUJIアプリとネットストアは通常どおり使える。現時点で、ダークウェブ（一般的な検索では見つからず、専用のソフトなどで接続するネット上の領域）などへの情報の流出や、情報を悪用した被害は確認されていないとしている。
使わなくなったデータが、影響の範囲を広げる
今回の第二報で目を引くのは、2021年7月まで取得していたカード番号が、システムに残っていたという点である。109万件のうち7割近くはすでに失効・解約済みのカードで、保管を続ける必要があったのかを問い直す余地のあるデータといえる。
情報漏えいの被害の大きさは、攻撃の巧妙さだけでなく、侵入された時点でそのシステムに何が置かれていたかにも大きく左右される。不要になったデータを消す、カード番号のような機微な情報は持たない仕組みに切り替える、といった「持たない」工夫は、侵入されたときの影響を小さくする有効な対策になる。
あわせて、侵入に早く気づく仕組みも欠かせない。調査が進むにつれて対象が広がる事案は、どの情報にアクセスされた可能性があるのかを、後から一つずつ確かめなければならないことを示している。サーバーや端末の動きを記録し、異常を早く見つける体制を整えておくことが、被害の範囲を早く正確につかむことにつながる。
同じ手口に、自社は備えられていますか？