無印良品カード情報流出｜対象109万件・MUJIアプリ公式発表まとめ

無印良品を展開する良品計画が、公式アプリ「MUJIアプリ」への不正アクセスについて、2026年11月4日に第二報を公表した。クレジットカード番号の全桁などが流出した可能性のある対象が、新たに約109万件判明している。

本記事では、良品計画の公式発表（第一報・第二報）をもとに、対象者と情報の内訳、今回判明した経緯、利用者が今すべきことをPREP法で整理する。

結論：対象はMUJIアプリ・ネットストア利用者と「MUJI Card」会員

良品計画は10月30日に公表した第一報に続き、11月4日に第二報を出し、対象範囲が当初より広がったと発表した。

最大の変更点は、クレディセゾンが発行するクレジットカード「MUJI Card」会員のカード番号全桁などが、新たに漏えいの可能性がある対象に加わったことである。第一報の段階では「クレジットカード情報や氏名、住所、電話番号などは含まれない」と説明されていたため、この点は利用者にとって印象が大きく変わる更新といえる。

対象は大きく3つに分かれる。MUJIアプリ・無印良品ネットストアの利用者（退会者含む）が最大約2,726万件、MUJI Card会員が約109万件、MUJIアプリまたはネットストアでクレジットカード情報を登録した利用者が約120件である。良品計画の会員規模を踏まえると、長くMUJIアプリやネットストアを使ってきた利用者の多くが、何らかの形で対象に含まれる可能性がある規模の発表である。特に、過去にMUJI Cardへ入会した経験がある利用者は、現在そのカードを使っていなくても対象に含まれうる点に注意したい。

なぜ対象が広がったのか：判明した経緯

第一報（10月30日）の時点では、漏えいの可能性がある情報はMUJIアプリ利用者のメールアドレス・生年月日・性別のみとされていた。対象件数は最大約2,726万件とされ、クレジットカード情報・氏名・住所・電話番号は含まれないと説明されていた。

良品計画が第一報発行後も分析を続けた結果、対象の約2,726万件の中に、MUJIアプリを利用していないネットストア会員（アプリ未利用者）も含まれること、そのうち一部の利用者は氏名・住所・電話番号も含まれることが新たにわかった。良品計画はこの差分を「約52万件」と公表している。

さらに、2021年7月以前は無印良品独自の特典を付与する目的で、クレディセゾンが発行する「MUJI Card」入会者のカード番号・MUJI Card ID・生年月日を、良品計画側のシステムでも保持していたことが判明した。本来であればカード会社であるクレディセゾンのみが保有しているはずの情報が、良品計画側にも残っていたという経緯である。この情報が今回、外部からアクセスされた可能性があるとされている。

加えて、MUJIアプリやネットストアでクレジットカード情報を登録した利用者についても、カード番号の一部（先頭6桁＋下2桁）とカード名義が、社内システム上で閲覧可能な状態だったことが確認されている。

具体的な内容：対象者・情報・件数の内訳

良品計画の公式発表（2026年11月4日付「第二報」）に基づく内訳は次のとおり。

②のクレジットカード情報について、カード名義・有効期限・セキュリティコードは含まれていないと説明されている。一方で、②のうち約16.8万件は①のメールアドレス等の情報と、さらにそのうち約2.5万件は氏名・住所・電話番号を含む情報と、それぞれ併せて閲覧が可能な状態だったという。つまり、カード番号だけでなく氏名・住所まで一緒に見られる状態になっていた利用者が、一部ながら存在していたことになる。

③については件数こそ約120件と少ないが、①〈2〉の氏名・住所・電話番号を含む情報と併せて閲覧可能だった点は②と同様である。件数の規模だけで安心・警戒の度合いを判断せず、自分がどの区分に当てはまりうるかを基準に確認することが大切である。

今後の見通し：利用者が確認すべきこと

補足：2026年は大手企業の情報漏えい発表が相次いでいる

2026年は、無印良品に限らず大手企業の情報漏えい発表が目立つ年になっている。10月にはオンラインショップの会員情報流出が発表された事例もあり、企業が「不正アクセスを検知→調査→第一報→追加調査→第二報」という段階を踏んで情報を更新していく流れは共通している。

今回のMUJIアプリのケースも、第一報の時点では「クレジットカード情報は含まれない」とされていたものが、約5日後の調査で覆った。企業の公式発表は一度で確定するとは限らず、続報が出ていないか定期的に確認する姿勢が利用者側にも求められる。

良品計画は、対象となる利用者にはメールもしくは郵送で個別に順次連絡するとしている。「MUJI Card」会員のうち良品計画が連絡先を把握していない人へは、カード発行元であるクレディセゾンから連絡する。

対象者への呼びかけとして、公式発表では次の3点が挙げられている。

• 利用中のクレジットカードの利用明細を確認し、身に覚えのない利用があればクレディセゾンへ問い合わせる
• 良品計画やカード会社を装った不審なメール・電話に注意する（電話やメールでカード情報を尋ねることはないとしている）
• 「MUJI Card」の再発行を希望する場合はクレディセゾンへ連絡する

現時点では、ダークウェブなどへの当該情報の流出や、情報を悪用した被害は確認されていないと公表されている。良品計画は不正アクセスを遮断したうえでモニタリングを強化しており、原因・影響範囲の特定を継続中で、新たな事実が判明すれば速やかに公表するとしている。クレディセゾン側も「MUJI Card」の不正利用についてモニタリングを強化しているという。

問い合わせ窓口は、良品計画お客様相談室（フリーダイヤル0120-64-0772・受付時間9:30〜17:00、12月26日までは毎日受付、2027年1月4日以降は月〜土）。クレジットカードの不正利用に関する相談は、カード発行元のクレディセゾンの窓口が案内されている。電話がつながりにくい場合は、公式サイトの発表ページで最新の案内を確認するとよい。

まとめ

MUJIアプリの情報流出は、10月30日の第一報では対象外とされていたクレジットカード番号全桁が、11月4日の第二報で新たに約109万件判明した。対象は①アプリ・ネットストア利用者、②MUJI Card会員、③カード情報登録者の3区分に分かれ、区分によって含まれる情報が異なる。心当たりのある利用者は、公式からの連絡を待つだけでなく、カードの利用明細を早めに確認しておきたい。企業からの情報漏えい発表は今回に限らず相次いでおり、同じようなケースでの公式情報の読み方は、他の情報漏えい関連記事もあわせて参考にしてほしい。