MUJIアプリ第2報約2,726万件とMUJI Card約109万件の範囲を分ける

資料で確認できること

約2,726万件にはネットストア会員も含まれ、一部は氏名・住所・電話番号が対象

良品計画は10月30日の第1報で、MUJIアプリのメールアドレス、生年月日、性別を最大約2,726万件としていました。11月4日の第2報では、この件数にMUJIアプリを使っていないネットストア会員も含まれ、一部の対象者には氏名、住所、電話番号も含まれると説明を更新しました。

約2,726万件は情報の件数として示され、重複を除く人数や、各人にどの項目が対応するかは公表されていません。第1報の対象をMUJIアプリ利用者だけと受け取ったままにせず、第2報で広がった対象と項目を確認する必要があります。

• 資料 01株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第一報）
• 資料 02株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第二報）

当事者の説明

MUJI Card約109万件は過去の連携情報で、現在有効なカードは約34.5万件

クレディセゾンは、2000年10月から2021年7月までにMUJI Cardへ入会した会員約109万件について、良品計画のシステム上で第三者のアクセス対象になった可能性があると公表しました。内訳は現在利用できるカード約34.5万件、解約・有効期限切れなど利用できないカード約74.5万件です。

対象項目はカード番号全桁、生年月日、MUJI Card IDで、一部には氏名、住所、電話番号、性別、メールアドレスも含まれます。カード名義、有効期限、セキュリティコードは対象外で、2021年8月以降に発行されたMUJI Cardも対象外と説明されています。

• 資料 02株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第二報）
• 資料 03株式会社クレディセゾン：MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び

当事者の説明

個別連絡と利用監視を進め、アプリとネットストアは通常利用できると説明

良品計画は対象者へメールまたは郵送で順次連絡し、連絡先を把握していないMUJI Card会員にはクレディセゾンから案内するとしています。クレディセゾンはカード利用の監視を強化し、11月4日時点でMUJI Cardの不正利用増加は確認していないと説明しています。

外部からの不正なアクセスは遮断され、MUJIアプリと無印良品ネットストアは通常どおり利用できるとされています。クレディセゾン側のシステムへの不正アクセスや、同社システムからの情報流出は確認されていないため、良品計画側で残っていた過去の連携情報と現在のカード会社システムを混同できません。

• 資料 02株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第二報）
• 資料 03株式会社クレディセゾン：MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び

未確認の点

実際の外部流出、対象者ごとの項目、原因と全影響範囲は調査中

2026年11月5日の確認時点で、約2,726万件とMUJI Card約109万件に重複がどの程度あるか、重複を除く対象人数、各人の対象項目、外部へ実際に持ち出された情報、侵入原因と全影響範囲は確定していません。二つの件数を単純に足して被害者数とすることはできません。

両社は、ダークウェブ等への情報流出や本件を悪用した被害、MUJI Cardの不正利用増加を確認していないとしています。これは将来の悪用が起きないという保証ではありません。一方、暗証番号やセキュリティコードまで取得されたと断定する根拠も、今回確認した資料にはありません。

• 資料 02株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第二報）
• 資料 03株式会社クレディセゾン：MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び

確認の範囲

このコラムの確認範囲

本稿は2026年11月5日に、良品計画の10月30日付第1報と11月4日付第2報、クレディセゾンの11月4日付発表、IPAの10月26日付案内を確認しました。JBJは各社、利用者、調査機関、関係当局へ直接取材しておらず、サーバー、ログ、対象情報、通知、不正利用を独立確認していません。掲載画像は説明用イメージです。

• 資料 01株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第一報）
• 資料 02株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第二報）
• 資料 03株式会社クレディセゾン：MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び
• 資料 04独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

過去に連携した情報を残す期間と、対象者へ届く説明が問われる

カード番号の連携は2021年7月に終了していた一方、対象情報は良品計画のシステム上に残っていたと説明されています。企業には、サービス提供に必要な情報だけを保持し、利用目的が終わった情報の保存期間と削除手順を明確にし、対象者ごとの項目を具体的に通知することが求められます。

大規模な可能性を批判し、原因や管理体制の説明を求めることは重要です。ただし、無印良品の全利用者や2021年8月以降のMUJI Card会員も同じ対象だと広げたり、店舗従業員や無関係な個人へ責任を向けたりすると、確認すべき管理上の問題から焦点が外れます。

• 資料 02株式会社良品計画：無印良品の公式アプリ『MUJIアプリ』におけるお客さま情報流出の可能性について（第二報）
• 資料 03株式会社クレディセゾン：MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び
• 資料 04独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

入会時期、公式通知、利用明細、不審な連絡を分けて記録する

MUJI Card会員は入会年月、現在のカード状態、利用明細、両社から届いた公式通知を確認してください。身に覚えのない利用がある場合は、メッセージに書かれた連絡先ではなく、クレディセゾンの公式サイトから窓口を確認します。再発行の要否も公式窓口へ相談します。

IPAは、カード情報の漏えい時にはカード会社へ連絡し、利用停止や再発行を相談し、明細を継続確認するよう案内しています。氏名や連絡先が対象の場合は、偽メール、SMS、電話、郵便物にも注意し、届いた日時、送信元、要求内容を保存して正規サイトと照合します。

• 資料 03株式会社クレディセゾン：MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び
• 資料 04独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』