無印良品を展開する株式会社良品計画は、公式アプリ「MUJIアプリ」に関する情報流出の可能性について第二報を公表した。対象はアプリ利用者に限らず、ネットストア会員や一部のクレジットカード情報にも広がっている。
ネットストア会員やカード情報にも対象拡大
MUJIアプリおよび無印良品ネットストアの利用者について、メールアドレス、生年月日、性別、会員IDが最大約2,726万件、外部からアクセスされた可能性が判明したと、2026年11月4日に公表された。退会者も対象に含まれる。
さらに、このうち約52万件では、氏名、住所、電話番号も含まれていたという。
クレジットカード関連では、クレディセゾンが発行する「MUJI Card」の会員情報約109万件についても、外部からアクセスされた可能性がある。対象は2021年7月までに入会した会員で、カード番号全桁、MUJI Card ID、生年月日が含まれる。
約109万件のうち、現時点で有効なカードは約34.5万件にのぼり、このうち約16.8万件は、メールアドレスなどの会員情報と関連付けて閲覧可能な状態だった。その中で約2.5万件については、氏名、住所、電話番号も閲覧可能な状態だったという。
一方、カード名義、有効期限、セキュリティコードは含まれていない。
「MUJI Card」の情報流出について良品計画は、2021年7月以前、独自特典の付与を目的に取得したカード情報を自社システムに保管していたと説明している。
また、MUJIアプリまたはネットストアにクレジットカード情報を登録した利用者の一部、約120件についても、カード番号の先頭6桁と下2桁、カード名義が対象となった。
有効期限とセキュリティコードは含まれていない。
良品計画は対象者にメールまたは郵送で順次個別連絡するとしており、クレディセゾンはMUJI Cardの不正利用に対するモニタリングを強化しているという。
対象者には、クレジットカードの利用明細を確認し、身に覚えのない利用があった場合はクレディセゾンへ問い合わせるよう呼びかけている。
また、良品計画やカード会社などを装う不審なメールや電話への注意も促している。
現在、不正アクセスは遮断され、関連システムの監視が継続中だ。
MUJIアプリとネットストアは通常どおり利用できる。
なお、現時点でダークウェブなどへの情報流出や、情報を悪用した被害は確認されていないという。
情報管理体制の見直しと信頼回復が焦点に
今回の事案は、会員サービスで取得した情報、とりわけ過去に取得したクレジットカード情報を長期間システムに残すことのリスクを浮き彫りにしたと言える。情報を取得する段階だけでなく、保管期間や不要データの削除方針まで含めた管理体制の整備が重要になりそうだ。
一方、会員サービスの利便性や顧客データを活用したマーケティングを維持するうえで、一定の個人情報の保管は必要となる。ただし、過去に取得した情報を無期限に保持することが、必ずしもサービスの価値向上につながるわけではない。企業には、情報の利用目的や必要性を定期的に検証し、不要となったデータを適切に削除する仕組みが求められるだろう。
今後、良品計画が不正アクセスの原因究明にとどまらず、データ管理の仕組みそのものを見直すかにも注目したい。再発防止策の具体性や情報開示の透明性が、無印良品の会員サービスに対する信頼を左右することになるだろう。
関連記事：
不正アクセスによる個人情報流出 消費者庁、パスキー・多要素認証の活用呼びかけ
松屋公式アプリ、不正アクセス検知で関連サービス停止 松弁ネット含む3機能とホームページが利用不可
GMO「お名前.com デスクトップクラウド」への不正アクセス 総額上限1.5億円の懸賞金で関与者の情報募集
