無印良品を展開する良品計画は、ネットストアの再開延期を発表した。
リスト型攻撃による第三者の不正ログインの疑いが浮上し、代金引換配送の受取先情報約44万件にも不正アクセスが確認されたという。再開時期は改めて公表される予定だ。
購入履歴など約27万件にアクセスの可能性、配送情報も対象
2026年11月9日、良品計画は、11月6日16時から停止しているネットストアで、多数のログイン試行が確認されたと発表した。
第三者が外部で不正に入手した可能性のあるメールアドレスやパスワードを使う「リスト型攻撃（※）」であり、本人以外がアカウントにアクセスした疑いがあるという。
今回の公表では、メールアドレスや生年月日、性別、会員IDなど約2726万件が、外部から閲覧された可能性のある情報として示された。
このうち約75万件には氏名、住所、電話番号も含まれる。また、不正ログインに伴って購入履歴やポイントまで閲覧された可能性があるものは約27万件に上る。
さらに、2020年1月2日から2025年2月10日までに店舗やネットストアで受注した代金引換配送について、受取先の氏名と郵便番号約44万件への不正アクセスを確認したという。依頼主の情報は対象に含まれていない。
MUJI Card会員についても、カード番号全桁など約109万件が閲覧された可能性のある対象として挙げられた。
ただし、カード名義や有効期限、セキュリティコードは含まれず、会社側は現時点で情報悪用による被害を確認していない。
対象となる顧客には、11月10日から良品計画とカード発行会社のクレディセゾンがメールまたは郵送で順次個別に連絡するとしている。
一方、代金引換配送の受取先のうち、連絡先を保有していない顧客については、今回の発表をもって通知に代える方針だ。
良品計画は、追加のセキュリティ対策と安全性の確認を終えたうえで、ネットストアを再開する方針だ。
再開時には全利用者にパスワードの再設定を求める方向で準備を進めている。具体的な再開時期は未定で、決定次第、改めて公表するとしている。
※リスト型攻撃：他のサービスなどから流出・不正取得されたIDとパスワードの組み合わせを用い、別のサービスへのログインを大量に試みる手口。利用者が複数のサービスで同じ認証情報を使い回している場合、被害につながりやすい。
認証対策の強化と顧客情報の管理体制が焦点に
今回の再開延期は、監視体制の強化だけでなく、不正ログインを防ぐための認証対策を多層的に整備する重要性を示していると言える。
パスワードの一斉再設定は、不正取得された認証情報によるログインを防ぐうえで一定の効果が期待できる。
ただし、利用者が他のサービスと同じパスワードを再び設定すれば、同様の攻撃を受けるリスクは残る。
そのため、パスワードの変更に加え、不審なログイン試行を検知・制限する仕組みの強化も重要になるだろう。
一方、認証手続きが複雑になれば利用者の負担が増える可能性もあるため、安全性と利便性の両立が課題となりそうだ。
また、過去の配送記録や失効済みのクレジットカード情報まで閲覧対象に含まれている点は、企業が長期間保有する顧客データの管理体制を見直す契機となり得る。
現時点で情報悪用による被害が確認されていなくても、今後の二次被害を完全に否定することはできない。
影響範囲が広範囲に及ぶだけに、調査結果の透明な公表と利用者への継続的な情報提供が、企業への信頼を回復するうえで重要になるだろう。
関連記事：
無印良品で情報流出懸念拡大 会員情報最大2,726万件に外部アクセスか
カプコン「CAPCOM ID」に不正アクセス 約1177万件の情報漏えい、196件でパスワード不正変更
不正アクセスで個人情報流出 パスキー活用など消費者庁が注意喚起
