良品計画MUJIアプリへの不正アクセスで顧客情報流出の可能性

【2026-11-04夕追記】良品計画は11月4日の第二報で、最大約2,726万件の対象には無印良品ネットストア会員（MUJIアプリを使っていない人を含む）も含まれ、一部の人は氏名・住所・電話番号も対象だったと訂正した。第一報で「含まれない」としていた項目が対象に加わった（良品計画 第二報）。

【2026-11-04夕追記】クレジットカード情報にもアクセスされた可能性がある。2021年7月以前は特典付与のためMUJI Card（クレディセゾン発行）のカード番号・MUJI Card ID・生年月日を取得しており、それが良品計画のシステムに残っていた（良品計画 第二報）。クレディセゾンによると対象は2000年10月〜2021年7月に入会した約109万件（使えるカード約34.5万、解約・期限切れなど約74.5万件）で、カード番号全桁・生年月日・MUJI Card ID、一部は氏名・住所・電話番号・性別・メールアドレスも含む。カード名義・有効期限・セキュリティコードは含まれない（クレディセゾン）。アプリ・ネットストアにカードを登録した人の一部（約120件、番号の先頭6桁と下2桁・名義）も対象と報じられている（オリコンニュース）。

【2026-11-04夕追記】不正アクセスの発生は10月29日午前1時頃（クレディセゾン）。

【2026-11-09夕追記】良品計画は11月6日16時、さらなるセキュリティ強化のため無印良品ネットストアを一時停止し、MUJIアプリも会員証バーコード表示以外の機能を止めた（第三報）。当初は1〜2日以内の再開を目途としていた（良品計画 第三報）。

【2026-11-09夕追記】11月9日の第四報で、ネットストアに対し、外部で不正に入手された可能性のあるパスワード等を使った多数のログイン試行（リスト型攻撃）があり、本人以外による不正ログインが行われた可能性があるとわかった。同社は「監視体制を強めていた中での更なる不正アクセス」とし、ネットストアの再開を延期した。再開時期は未定で、再開時は全員にパスワード再設定を求める方向（良品計画 第四報）。

【2026-11-09夕追記】あわせて、2020年1月2日〜2025年2月10日に店舗・ネットストアで代金引換配送の受取先になった人の情報の一部にも不正アクセスがあったと公表した。報道によると、件数は配送先の氏名・郵便番号約44万件（依頼主の情報は含まない）。リスト型攻撃で購入履歴・ポイント情報まで見られた可能性があるのは約27万件、氏名・住所・電話番号も対象の件数は約52万件から約75万件に修正された。対象者には11月10日から良品計画とクレディセゾンがメールか郵送で連絡する（良品計画 第四報、WWDJAPAN）。

【2026-11-12夕追記】良品計画は11月12日に清水智社長が記者会見を開き、不正アクセスを許したのは「当社のシステムの一部に脆弱性があったため」と説明した。脆弱性は修正済みとしたが、具体的な内容は「同様の攻撃を招く恐れがある」として回答しなかった。加えて、不正に入手されたとみられるIDとパスワードによる大量のログインも検知したとした（テレ朝NEWS、TBS CROSS DIG）。

【2026-11-12夕追記】会見での経緯説明によると、MUJIアプリへの不正アクセスは10月29日早朝に検知し、同日に社長を委員長とする危機管理本部を設置した。ネットストアへの不正アクセスは11月1日深夜に検知し、11月4日までに遮断した。ネットストアへの不正ログインの試みは10月29日ごろから目立っており、11月7日にリスト型攻撃の可能性が高いと判断した（テレ朝NEWS、ITmedia ビジネスオンライン）。

【2026-11-12夕追記】MUJI Cardの番号は2021年7月までに取得をやめ、それまでの番号は削除する運用に変えていたが、実際には破棄していなかった。全桁のカード番号や退会者の情報がシステムに残っていたことを認め、「必要のない情報を持たない仕組みづくり」を進めるとした。カードの再発行手数料は良品計画が負担し、不正利用があれば補償する方針（テレ朝NEWS）。

【2026-11-12夕追記】会見で示した件数（11月11日時点）は、会員情報が最大2,726万件（うち氏名・住所・電話番号も対象が75万件）、不正ログインが確認されたアカウント約27万件、MUJI Card約109万件（うち有効34.5万件）、登録クレジットカードの一部約120件、代引き配送先約44万件で、第四報からの変更はない。ネットストアの再開時期は11月12日時点でも未定（テレ朝NEWS、日経クロステック）。