無印良品のMUJI Card、約109万件のカード番号が流出の可能性：第二報で判明した内容と利用者が今すぐやるべきこと

無印良品の公式アプリをめぐる情報流出の続報が、多くの利用者に衝撃を与えています。良品計画は2026年11月4日、10月30日に公表したMUJIアプリへの不正アクセスについて第二報を発表し、新たにクレジットカード「MUJI Card」のカード番号約109万件が流出した可能性があると明らかにしました。第一報では「クレジットカード情報は含まれない」と説明されていただけに、発表の内容が大きく変わった形です。

今回の発表で対象が広がったのは、MUJI Cardの会員だけではありません。無印良品ネットストアの会員も対象に含まれ、一部の人では氏名や住所、電話番号まで流出した可能性があるとされています。良品計画とカード発行元のクレディセゾンは、現時点で不正利用や二次被害は確認されていないとしていますが、対象になるかどうかを確認し、必要な手続きを早めに済ませることが大切です。この記事では、第二報で分かった事実を整理し、利用者が今すぐやるべきことを具体的に解説します。

第二報で何が分かったのか

良品計画が11月4日に出した第二報の中心は、MUJI Cardのカード番号です。2000年10月から2021年7月までにMUJI Cardに入会した会員の情報約109万件について、カード番号の全桁、MUJI Card ID、生年月日が流出した可能性があるとされました。カード名義、有効期限、セキュリティコードは含まれないと説明されています。

この約109万件のうち、現在も使えるカードは約34万5000件で、残りの約74万5000件はすでに解約や有効期限切れで使えなくなったカードの番号です。つまり、数字だけを見ると対象は大きく見えますが、実際に決済に使える状態のカードは全体の3分の1ほどにとどまります。とはいえ、使えるカードの番号が全桁で流出した可能性がある以上、対象者は軽く見るべきではありません。

あわせて、MUJIアプリまたは無印良品ネットストアでカード情報を登録した約120件についても、カード番号の先頭6桁と下2桁、カード名義が対象になったと発表されました。こちらは全桁ではありませんが、登録した覚えがある人は自分の情報が含まれていないか確認しておくのが安心です。

対象はアプリ会員だけではない

第一報では、MUJIアプリの会員が最大で約2726万件対象になるとされていました。第二報では、この数字は変わらないものの、対象の範囲に無印良品ネットストアの会員も含まれることが明らかになりました。項目にも会員IDが追加されています。

さらに、約52万件については、メールアドレスや生年月日、性別に加えて、氏名、住所、電話番号も流出した可能性があるとされています。第一報の時点では、氏名や住所、電話番号は含まれないと説明されていましたから、こちらも発表内容が大きく変わった部分です。

良品計画は、不正アクセス自体はすでに遮断されており、MUJIアプリとネットストアは通常どおり使えるとしています。また、ダークウェブへの流出や、情報を悪用した被害も確認されていないとしています。ただ、調査は続いており、今後の発表で件数や項目が変わる可能性もあります。新しい発表が出たときは、公式のお知らせを確認する習慣を持つと安心です。

なぜカード番号が残っていたのか

今回の発表で多くの人が疑問に思ったのは、なぜ良品計画のシステムにカード番号の全桁が残っていたのか、という点です。良品計画の説明によると、2021年7月以前は、無印良品独自の特典を付けるために、MUJI Cardに入会した人のカード番号、MUJI Card ID、生年月日をクレディセゾンから受け取っていたとのことです。この連携はポイント付与のためのもので、2021年7月で終わっています。

つまり、連携が終わってから5年以上、カード番号の全桁が良品計画のシステムに残り続けていたことになります。良品計画は、2021年のシステム変更でカード番号の保存はしなくなったものの、旧データが削除されずに残っていたと説明し、「十分な保護がされていなかったことは当社の不備と受け止めています」とコメントしています。

クレディセゾン側は、クレディセゾン自身のシステムへの不正アクセスは確認されていないとしています。情報が流出した可能性があるのは、良品計画のシステムに残っていたデータです。侵入の経路や原因については、第二報の時点では公表されていません。

利用者が今すぐやるべきこと

まず確認したいのは、自分が対象になるかどうかです。対象の目安は、2000年10月から2021年7月までにMUJI Cardに入会した人です。2021年8月以降に発行されたMUJI Cardは対象外とされています。入会した時期が分からない場合は、カードの発行時期や、MUJIアプリに登録した覚えがあるかどうかを手がかりにしてください。

対象になる可能性がある人は、クレディセゾンが受け付けているカードの再発行を検討するのが確実な対策です。再発行すれば、流出した可能性がある番号のカードは使えなくなります。手続きの問い合わせ先として、クレディセゾンは専用の電話番号0120-227-190を案内しています。受付時間は10時から17時までで、12月26日までは毎日、2027年1月4日からは月曜日から土曜日までとなっています。

次に、カードの利用明細をこまめに確認する習慣をつけましょう。身に覚えのない請求があれば、すぐにカード会社へ連絡します。カード番号の全桁が流出した可能性がある場合でも、有効期限とセキュリティコードが含まれていないため、ネット決済にそのまま使われる可能性は低いとされています。ただ、番号と生年月日が組み合わさることで、なりすましの電話やメールに使われるおそれはあります。

なりすましの連絡に注意する

情報流出のあとに増えるのが、カード会社や店舗を名乗る偽の連絡です。良品計画は、メールや電話でカード情報を尋ねることはないと明言しています。MUJI Cardや良品計画を名乗る連絡が来て、カード番号や暗証番号、ワンタイムパスワードを聞かれたら、それは詐欺の可能性が高いと考えてください。

不審なメールに書かれたリンクは開かず、公式アプリや公式サイトから自分でアクセスして確認するのが安全です。電話で「カードが不正利用されている」と言われても、その場で指示に従わず、一度切ってからカード裏面の番号や公式サイトに載っている番号へ自分でかけ直しましょう。

また、MUJIアプリやネットストアで使っているパスワードを、ほかのサービスと同じものにしている人は、別のパスワードに変えておくのがおすすめです。今回の流出にパスワードが含まれているとは発表されていませんが、メールアドレスと生年月日が流出した可能性がある以上、ほかのサービスでのなりすましに使われるおそれがあります。同じパスワードの使い回しは、この機会に見直しておきましょう。

今回の発表から見える教訓

今回の出来事で浮き彫りになったのは、使い終わったはずのデータが削除されずに残り続けるリスクです。連携が終わったあとも、古いデータがシステムの片隅に残っていれば、そこが不正アクセスの対象になります。企業にとっては、不要になった個人情報をきちんと削除する仕組みと、残っているデータの一覧を把握しておくことが欠かせません。

利用者にとっても、登録したサービスやカードの情報がどこに残っているかを意識する機会になりました。使わなくなったアプリの会員登録や、古いカードの情報をそのままにしておくと、いざ流出が起きたときに影響を受けやすくなります。定期的に登録サービスを見直し、不要なものは退会や削除をしておくのが、長い目で見た安全対策になります。

良品計画とクレディセゾンは、調査の進み方によって件数や項目が変わる可能性があるとしています。新しい発表が出たときは、公式サイトのお知らせを確認し、対象者向けの手続きが追加されていないかチェックしてください。カードの再発行や明細の確認といった基本的な対策を早めに済ませておけば、不安を大きく減らすことができます。

Frequently Asked Questions

私のMUJI Cardは対象になりますか

2000年10月から2021年7月までにMUJI Cardに入会した人が対象になる可能性があります。2021年8月以降に発行されたカードは対象外とされています。入会時期が分からない場合は、クレディセゾンの問い合わせ窓口0120-227-190に確認するのが確実です。

カード番号の全桁が流出すると、勝手に使われてしまいますか

カード名義、有効期限、セキュリティコードは含まれていないと発表されています。そのため、番号だけでネット決済に使われる可能性は低いとされています。ただ、明細の確認と、身に覚えのない請求への早めの連絡は欠かさないようにしましょう。

カードを再発行したほうがよいですか

対象になる可能性がある人は、再発行を検討するのが確実な対策です。再発行すれば、流出した可能性がある番号のカードは使えなくなります。手続きはクレディセゾンが受け付けており、専用窓口0120-227-190へ問い合わせることができます。