無印良品の不正アクセス、第二報でカード番号約109万件も対象に｜EC運営者にとっての意味と今やるべきこと

何年も前に使わなくなったデータが、不正アクセスの対象に入ることがあります。株式会社良品計画（以下、良品計画）は2026年11月4日、MUJIアプリへの不正アクセスの第二報を公表し、2021年7月以前に取得していた「MUJI Card」の番号全桁など約109万件も、外部からアクセスされた可能性があると明らかにしました。

発表の事実

良品計画の第二報（2026年11月4日）によると、第一報（10月30日）のあとの調査で、対象の範囲が広がりました。第二報に書かれている対象は次のとおりです。

MUJI Cardの情報には、カード名義・有効期限・セキュリティコードは含まれないとされています。アプリ・ネットストアの登録カードの情報にも、有効期限とセキュリティコードは含まれないとされています。

経緯について第二報は、2021年7月以前は独自の特典を付けるためにカード番号などを取得しており、その情報がシステム上に残っていたことを確認したと説明しています。株式会社クレディセゾン（以下、クレディセゾン）のお知らせでは、不正アクセスの発生は2026年10月29日の午前1時頃、対象は2000年10月から2021年7月までの入会者で、同社のシステムへの不正アクセスや情報流出は確認されていないとしています。

良品計画は、外部からの不正なアクセスを遮断し、監視を続けているとしています。第二報の時点で、MUJIアプリとネットストアは正常に利用でき、ダークウェブなどへの流出や悪用の被害は確認されていないとのことです。対象者には個別に連絡するとしており、原因と影響範囲の調査は続いています。

EC運営者にとっての意味

今回の第二報は、今の決済の仕組みが安全でも、過去に受け取ったデータが残っていれば対象になりうることを示した例だとみられます。

カード情報を持たない構成に切り替えた店舗でも、以前の連携用データや、特典の付与に使っていた一覧が別の場所に残っていることがあります。大規模な店舗に限らず、長く運営している店ほど、次のような場所にデータが残りやすい傾向があります。

もう一つの点は、公表の進め方です。第一報と第二報で対象が変わったように、調査が進むと内容が変わることがあります。万一のときは、わかっている範囲を早めに知らせ、「調査中」「新しくわかれば知らせる」と書き添えておくと、続報を出しやすくなります。手順は不正アクセスされたときの対応で整理しています。

今やるべきこと

• 使っていないデータを探す……終了した特典、過去の連携先、退会者の情報が、サイトや管理画面のどこに残っているかを制作会社やカート会社に確認します。
• 保存期間と削除の手順を決める……いつまで何のために持つかを決め、不要になったデータの削除を担当者の予定に入れます。法令で保存が必要な書類もあるため、削除の範囲は専門家に確認すると安心です。
• カード情報の扱いを確かめる……カード番号が自社のサーバーやログに残らない構成になっているかを、決済代行会社に確認します。
• お客様への案内の文面を用意する……良品計画と同じように、「メールや電話でカード情報を尋ねることはない」と伝える文面を、すぐ出せる形にしておきます。

日ごろの対策の全体像はECサイトのセキュリティ対策ガイド、各社の公表内容はEC情報漏えいの公表事例台帳にまとめています。報告の義務などは、最新は個人情報保護委員会などの公式情報や専門家で確認してください。

※本記事は2026年11月6日時点の公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。