MUJI Cardの番号約109万件に流出の可能性、2021年7月までの入会者が対象

無印良品を展開する良品計画は2026年11月4日、公式アプリ「MUJI アプリ」への不正アクセスについての第二報を出し、クレディセゾンが発行するクレジットカード「MUJI Card」のカード番号（全桁）を含む情報に、外部からアクセスされた可能性があると明らかにしました。クレディセゾンによると、対象のMUJI Card会員は、すでに退会した人も含めて約109万件。2000年10月から2021年7月までに入会した人が対象で、2021年8月以降に発行されたカードは対象外です。カード名義・有効期限・セキュリティコードは含まれていないとされています。昔ポイントのために連携していた番号が、システムに残っていたことが原因でした。

MUJI Cardの対象は「2021年7月までの入会者」約109万件

クレディセゾンのお知らせによると、不正アクセスは2026年10月29日の午前1時ごろに良品計画のシステムに対して起きました。良品計画は10月30日にMUJI アプリ利用者の情報流出の可能性を公表し、その後の調査で、MUJI Cardのカード番号も不正アクセスの対象になった可能性が分かり、11月2日に良品計画からクレディセゾンへ報告があったといいます。クレディセゾンは、自社システムへの不正アクセスや、自社システムからの流出は確認されていないとしています。

カード番号と生年月日は、クレディセゾンが過去に良品計画へ連携していた情報で、氏名などは良品計画が持っていた情報です。

ポイントのために渡していた番号が残っていた

今回いちばん引っかかるのが、番号が漏れた経緯です。クレディセゾンの説明では、MUJI Cardの特典ポイントを付けるために、2000年10月から2021年7月まで、カード番号を良品計画へ連携していました。その後ポイント付与の仕組みを変え、いまは番号を連携していません。良品計画も第二報で、2021年7月以前は独自の特典を付けるために、入会者のカード番号とMUJI Card ID、生年月日を取得しており、その情報が自社のシステム上に残っていたことを確認したと書いています。

つまり、連携をやめてから5年以上たつデータが消されずに残り、それが今回の不正アクセスで狙われうる場所にあった、ということになります。

アプリ・ネットストアの利用者は約2,726万件

MUJI Card以外の範囲も広がりました。良品計画の第二報によると、メールアドレス・生年月日・性別が漏れた可能性がある約2,726万件の中に、MUJI アプリを使っていない無印良品ネットストアの会員も含まれていることが分かりました。また、一部の人は氏名・住所・電話番号も含まれていたとしています。さらに、MUJI アプリやネットストアにクレジットカード情報を登録していた一部の人のカード情報にも、外部からアクセスされた可能性があるとしました。INTERNET Watchの報道では、この登録カードの情報は番号の先頭6桁と下2桁、カード名義で、有効期限とセキュリティコードは含まれないとされています。

良品計画は11月6日、セキュリティをさらに強めるとして無印良品ネットストアを一時停止し、MUJI アプリも会員証のバーコード表示以外の機能を止めました。発表では1〜2日以内の再開をめどとしていましたが、11月9日朝の時点で、同社のニュース一覧に再開を知らせる新しい発表は出ていません。店舗は通常どおり営業しているとのことです。なお、良品計画は第二報の時点で、ダークウェブなどへの流出や、情報を悪用した被害は確認されていないとしています。

MUJI Cardを持っている人・持っていた人がやること

対象の人には、良品計画かクレディセゾンから、メールか郵送で順次連絡が来ます。良品計画が連絡先を把握していないMUJI Card会員には、クレディセゾンから連絡するとしています。連絡を待つあいだにできることは次のとおりです。

• 入会した時期を確かめる。MUJI Cardの入会年月日は、セゾンPortalかNetアンサーの「メニュー」＞「お客様情報の確認・変更」で見られます。2021年8月以降の発行なら、MUJI Cardについては対象外です
• 利用明細を確認し、身に覚えのない利用があればクレディセゾンに問い合わせる。身に覚えのない利用は、同社が所定の調査をして対応するとしています
• 不安ならカードの再発行を申し込む。再発行はNetアンサー・セゾンPortalから手続きでき、届くまで時間がかかるとされています
• 良品計画やカード会社を名乗るメール・SMS・電話に注意する。良品計画は、メールや電話でカード情報を尋ねることはないとしています

クレディセゾンは、MUJI Cardの利用状況の監視を強めていて、発表時点で不正利用の増加は確認されていないとしています。

使えなくなったカード約74.5万件が対象に含まれている点も、気にしておきたいところです。解約したカードの番号でも、生年月日やメールアドレスと組み合わされば、本人になりすました偽のメールや電話の材料になりえます。今回は名義・有効期限・セキュリティコードは含まれないとされていますが、だからこそ番号の続きを聞き出そうとする偽の案内には気をつけたいところです。「生年月日や氏名が合っているから本物だろう」という思い込みが、いちばんの隙になります。カード情報の流出が続いたときの考え方は、個人情報保護委員会の注意喚起の記事でも整理しています。財布の中のカードを見直すついでに、使っていないカードや、昔登録したままのネットサービスのカード情報を整理しておくのも一つの手でしょう。

出典

• 良品計画「無印良品の公式アプリ『MUJI アプリ』におけるお客さま情報流出の可能性について（第二報）」（2026年11月4日）
• クレディセゾン「MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び」
• 良品計画「無印良品ネットストアの一時停止について」（2026年11月6日）
• INTERNET Watch「無印良品、『MUJI Card』のカード番号約109万件の流出可能性も判明」（2026年11月6日）

2026年11月9日時点の情報です。