要点
- 無印良品の MUJI アプリへの不正アクセスで、MUJI Card のカード番号の全桁と生年月日など約109万件にも外部からアクセスされた可能性が出てきた。
- 最初の発表では対象外だった氏名・住所・電話番号も、一部の人（約52万件）で対象になったと報じられている。
- 今も使えるカードは約34.5万件ある。明細を確かめ、不安なら再発行を申し込み、無印良品やカード会社を名乗る連絡には答えないことが大事だ。
何が起きたか
11月4日、クレディセゾンと良品計画が、10月末に明らかになった不正アクセスの続報を出した。MUJI Card のカード番号も漏れたおそれがある、という内容だ。
クレディセゾンの発表によると、入られたのは良品計画のシステムで、時刻は2026年10月29日の午前1時ごろだった。良品計画は翌日の30日に第一報を出し、MUJI アプリ利用者の情報が最大約2,726万件流出した可能性があると公表していた。この時点で挙がっていたのは、メールアドレス・生年月日・性別だけだった。カード番号も含まれていたことは、11月2日になって良品計画からクレディセゾンに伝えられた。
前回からの主な違いは次のとおりだ。
- MUJI Card（約109万件）: 2000年10月から2021年7月までに入会した会員が対象。カード番号の全桁、MUJI Card ID、生年月日にアクセスされた可能性がある。一部の会員は、氏名・住所・電話番号・性別・メールアドレスも含む。今も使えるカードは約34.5万件、解約や期限切れで使えないカードは約74.5万件だ。
- 含まれないもの: カード名義、有効期限、セキュリティコード（カード裏の3桁など）は対象外だとクレディセゾンは説明している。
- ネットストア会員: 報道によると、良品計画の第二報では、約2,726万件のうち約52万件で氏名・住所・電話番号まで対象になっていた。また、アプリを入れずにネットストアだけを使っている会員もこの数に入っていた。漏れたおそれのある項目には、会員 ID も追加された。
- カードを登録していた人（約120件）: 報道によると、アプリやネットストアに支払い用のカードを登録していた人の分も、約120件が対象になった。こちらは全桁ではなく、名義と、番号の一部（最初の6桁と最後の2桁）だ。
クレディセゾンは、自分のシステムへの不正アクセスや、そこからの流出は確認していないとしている。良品計画は、11月4日の時点で、ダークウェブ（犯罪者が情報を売り買いする裏のサイト）への流出や、漏れた情報を悪用した被害は確認していないとしている。クレディセゾンは、不正利用が増えた様子は今のところないとしている。
日本の利用者への影響
無印良品は日本の利用者がとても多く、対象はほぼ日本の人だと考えられる。2021年7月までに MUJI Card に入会した人は、解約していても対象になりうる。2021年8月以降に発行されたカードは対象外だ。
カード番号の全桁と生年月日が一緒に漏れると、ネットでの不正利用だけでなく、本人になりすました問い合わせにも使われうる。名前や住所まで知っている相手からの連絡は本物らしく見えるので、だまされやすい。対象の人には、良品計画かクレディセゾンからメールまたは郵送で順に連絡が来る。
今すぐやること
- 明細を見る。 クレディセゾンは、明細に身に覚えのない利用がないか確かめ、あればすぐに連絡するよう呼びかけている。少額の請求も見落とさない。
- 不安ならカードを再発行する。 クレディセゾンは、再発行の申し込みを「Netアンサー」と「セゾンPortal」で受け付けている。ただし、切り替えたカードが手元に来るまでには日数がかかると案内している。
- 電話はカード会社の公式の番号にかける。 クレディセゾンの専用窓口は 0120-227-190 だ。届いたメールや SMS に書かれた番号やリンクは使わない。
- 偽の連絡に答えない。 両社は、自分たちを名乗ってカード番号・暗証番号・セキュリティコードを聞き出すメール・SMS・電話に注意するよう呼びかけている。報道によると、良品計画はメールや電話でカード情報を聞くことはないと説明している。「お詫びの返金」「再発行の手続き」などの誘いも疑う。
- 迷ったら公式サイトで確かめる。 両社の公式サイトのお知らせと照らし合わせてから動く。
背景
今、クレディセゾンはカード番号を良品計画に渡していない。それでも番号が漏れたおそれがあるのは、クレディセゾンの説明では、昔の受け渡しの名残だという。ポイントの付け方が今と違っていたころに渡したデータが、良品計画のシステムの中に消されずに残っていた。
使わなくなったデータが残っていると、侵入されたときの被害が大きくなる。ふだんの業務で使わない情報ほど見落とされやすい。最初の発表から5日ほどで対象が大きく広がったのも、どこに何があったかを調べるのに時間がかかったからだと見られる。良品計画は、原因や影響の範囲を引き続き調べるとしている。
技術者向けの詳細
- 発生: 2026-10-29 午前1時ごろ（日本時間）、良品計画のシステムに第三者が不正アクセス（クレディセゾン発表）
- 公表: 10-30 第一報（最大約2,726万件、メールアドレス・生年月日・性別）／11-02 良品計画からクレディセゾンへ報告／11-04 第二報と、クレディセゾンの発表
- MUJI Card の対象: 2000年10月〜2021年7月の入会者、約109万件（使えるもの約34.5万件、使えないもの約74.5万件）。項目はカード番号（全桁）・生年月日・MUJI Card ID。一部は氏名・住所・電話番号・性別・メールアドレス。カード番号と生年月日はクレディセゾンから渡していた情報、ほかは良品計画が持っていた情報
- 対象外: カード名義・有効期限・セキュリティコード、2021年8月以降に発行されたカード
- ケータイ Watch の報道によると、使えるカード約34.5万件のうち約16.8万件はアプリ・ネットストア会員の情報（メールアドレスなど）と、約2.5万件は氏名・住所なども含む情報と、ひも付けて見られる状態だったとされる
- 窓口: クレディセゾン 0120-227-190（10:00〜17:00、12月26日までは毎日、2027年1月4日からは月〜土）
- 組織として: 委託先や提携先に渡したカード番号などのデータを、仕組みを変えたあとも持ち続けていないか、棚卸しして消すことを勧める
