無印良品で、大規模な個人情報漏洩の可能性が明らかになりました。
対象となる顧客情報は最大約2,726万件。
さらに、その後の調査で、約109万件のクレジットカード情報にも不正アクセスが及んだ可能性が判明しました。
しかも驚いたのは、約5年前に使わなくなったクレジットカード番号が、暗号化もされずに残っていたということです。
なぜ、そんな情報が残されていたのでしょうか？
今回の不正アクセスの経緯と、企業の個人情報管理の問題について整理してみます。
無印良品で何が起きたのか？
無印良品を運営する良品計画は、2026年10月30日、MUJIアプリに関連する顧客情報について、不正アクセスの可能性があると発表しました。
当初、対象として説明されていたのは、メールアドレス、生年月日、性別などの情報です。
しかし、その後の調査で、氏名、住所、電話番号、さらには一部のクレジットカード情報にも不正アクセスが及んだ可能性が明らかになりました。
公表された主な対象件数は次のとおりです。
| 対象となった情報 | 件数 |
|---|---|
| 顧客情報 | 最大約2,726万件 |
| MUJI Cardのカード番号全桁など | 約109万件 |
※公表された件数は、不正アクセスの対象となった可能性のある情報の件数です。実際に外部へ持ち出された件数や、不正利用された件数とは異なります。
無印良品は全国に多くの店舗を展開しており、MUJIアプリを利用している人も少なくありません。
それだけに、今回の問題は多くの利用者に関係する可能性があります。
なぜクレジットカード番号が残っていたのか？
今回の事件で、特に気になったのがクレジットカード情報の管理方法です。
良品計画は以前、MUJI Cardの会員特典を付与するため、カード番号を顧客の識別に利用していました。
しかし、2021年7月までにその仕組みを変更しています。
つまり、それ以降は以前と同じ目的でカード番号を保持する必要がなくなっていたわけです。
ところが、過去に取得したカード番号の一部が、そのままシステム上に残されていました。
さらに、2026年11月12日の記者会見では、これらのカード番号について、マスキングや暗号化を行っていなかったと説明されています。
使わなくなった情報を削除せず、しかも十分な保護措置を講じていなかった。
今回の事件では、この点が大きな問題になっています。
もちろん、カード番号が保存されていたからといって、それだけで不正利用が成立するとは限りません。
決済にはカードの有効期限やセキュリティコードなど、ほかの情報が関係する場合もあります。
ただし、カード番号全桁が不正アクセスの対象になった可能性がある以上、軽視できない問題です。
不正アクセスの経緯を時系列で整理
今回の問題は、最初の発表から短期間で対象情報が拡大しています。
| 日付 | 出来事 |
|---|---|
| 10月30日 | MUJIアプリ関連の顧客情報への不正アクセスの可能性を公表 |
| 11月2日 | オーダーカーテン業務の委託先サーバーへの不正アクセスを別件として公表 |
| 11月4日 | 氏名・住所・電話番号、MUJI Cardのカード番号なども対象と判明 |
| 11月6日 | ネットストアを一時停止 |
| 11月9日 | リスト型攻撃への対応とネットストア再開延期を公表 |
| 11月12日 | 社長が記者会見を行い、カード番号の管理不備について謝罪 |
ここで注意したいのは、これらの出来事がすべて同じ攻撃によって発生したわけではないということです。
委託先サーバーへの不正アクセスや、ネットストアへのリスト型攻撃は、別の事案として公表されています。
複数の問題が相次いで明らかになったため、混同しないように整理する必要があります。
リスト型攻撃とは何か？
今回、ネットストアに対して確認された攻撃の一つが「リスト型攻撃」です。
これは、ほかのサービスなどから流出したIDとパスワードの組み合わせを使い、大量のログインを試みる手口です。
例えば、ある通販サイトで使っているメールアドレスとパスワードを、別のサービスでも使い回していたとします。
その情報が何らかの理由で攻撃者に知られると、別のサイトにもログインされてしまう可能性があります。
この攻撃は、必ずしも攻撃されたサイト自身からパスワードが漏洩したことを意味しません。
そのため、今回のクレジットカード情報への不正アクセスと、リスト型攻撃は区別して考える必要があります。
本当に怖いのは「不要な情報が残っていること」
個人的に今回の事件で最も気になったのは、情報を削除せずに保管し続けていた点です。
企業は、顧客へのサービス提供や会員管理などのために、さまざまな個人情報を収集しています。
しかし、サービスの仕組みが変更されれば、以前は必要だった情報が不要になることもあります。
そのとき、不要になった情報が適切に削除されているかどうか。
これは非常に重要な問題だと思います。
例えば、クレジットカード番号を使って会員を識別する仕組みを廃止したなら、以前保存していた番号をどうするのかも検討する必要があります。
不要な情報を削除していれば、仮にシステムが不正アクセスを受けても、その情報が被害の対象になることはありません。
情報を守る方法は、セキュリティを強化することだけではありません。そもそも不要な情報を持たないことも重要です。
今回の事件は、そのことを改めて考えさせられます。
暗号化されていなかったことも問題
もう一つ気になるのが、カード番号の保護方法です。
クレジットカード番号のような機密性の高い情報を保存する場合、適切なアクセス制御や暗号化などの対策が重要になります。
もちろん、暗号化していれば絶対に安全というわけではありません。
攻撃者が復号に必要な情報まで取得した場合などには、暗号化だけでは防げないこともあります。
それでも、万一不正アクセスが発生した場合に備えて、情報を保護しておくことには意味があります。
今回のように、すでに使わなくなったカード番号が暗号化されずに残っていたのであれば、情報管理のあり方そのものを見直す必要があるでしょう。
利用者は何をすればいい？
今回の問題で、MUJIアプリやMUJI Card、無印良品のネットストアを利用している人は、いくつか確認しておきたいことがあります。
1. クレジットカードの利用明細を確認する
MUJI Cardを利用している人は、カードの利用履歴を確認しておきましょう。
身に覚えのない請求があれば、速やかにカード発行会社へ相談することが大切です。
カードの再発行が必要かどうかについても、発行会社の案内を確認してください。
2. パスワードの使い回しをやめる
無印良品のネットストアと、ほかのサービスで同じパスワードを使用している場合は注意が必要です。
特に、メールアドレスとパスワードを複数のサービスで使い回していると、一つのサービスから情報が漏れただけで、別のサービスにも不正ログインされる可能性があります。
3. 不審なメールやSMSに注意する
個人情報漏洩がニュースになると、それに便乗した偽メールやSMSが送られてくる可能性もあります。
「カード情報の確認が必要です」「アカウントを停止します」といった案内が届いても、メール内のリンクをすぐに開かないようにしましょう。
公式サイトや公式アプリから直接確認することをおすすめします。
4. 良品計画からの公式案内を確認する
良品計画は、対象者への通知やネットストアの安全対策を進めています。
今後、新たな調査結果や対応方針が発表される可能性もあるため、公式情報を確認しておきましょう。
企業は個人情報をいつまで保存しているのか？
今回の事件を見て、もう一つ疑問に思ったことがあります。
それは、私たちが企業に登録した個人情報が、いったいいつまで保存されているのかということです。
通販サイトや会員サービスに登録すると、氏名、住所、電話番号、メールアドレスなどを入力します。
クレジットカード情報を登録する場合もあります。
でも、サービスを使わなくなったあと、それらの情報がどう扱われているのか、利用者にはなかなか分かりません。
退会すればすべて削除されるのか。
過去の購入履歴やカード情報は残るのか。
企業によって保存方針は異なりますし、法令や取引記録の保存などの理由で、一定期間保管する必要がある情報もあります。
ただ、必要性がなくなった情報まで、いつまでも保存しておくことが適切なのかは考える必要があります。
今回の問題をきっかけに、企業がどのような情報を、何のために、いつまで保管しているのか、もっと分かりやすく説明してほしいと感じました。
まとめ：不正アクセスだけでなく、情報管理の問題も問われる
今回の無印良品の問題では、最大約2,726万件の顧客情報への不正アクセスの可能性が公表されました。
さらに、約109万件のMUJI Cardのカード番号全桁なども対象となった可能性があります。
特に問題なのは、過去に使用していたカード番号が、仕組みの変更後も削除されず、暗号化もされない状態で残っていたことです。
不正アクセスを完全になくすことは難しいかもしれません。
しかし、不要な情報を削除し、必要な情報を適切に保護することで、被害を小さくすることはできるはずです。
私たちは普段、買い物やサービスの利用のために、さまざまな企業へ個人情報を預けています。
その情報が本当に適切に管理されているのか、利用者には見えない部分も多いですよね。
今回の問題を見て、企業に預けた個人情報は、使わなくなったらきちんと削除してほしいと改めて思いました。
皆さんは、昔登録したサービスに自分の情報が残っているかどうか、気になったことはありませんか？
※この記事は2026年11月13日時点で公表されている情報をもとに作成しています。対象件数は実際の情報流出件数や不正利用件数を示すものではありません。今後の調査によって内容が更新される可能性があります。
