無印良品 不正アクセス｜会員情報 最大約2,726万件・MUJI Card番号109万件、対象の見分け方とやること

無印良品 不正アクセスの件は、発表のたびに対象が広がっている。運営する良品計画によれば、会員情報は最大約2,726万件、MUJI Card のカード番号（全桁）は約109万件が、外部からアクセスされた可能性がある。11月9日にはリスト型攻撃も公表され、ネットストアは停止が続く。本記事は、良品計画の適時開示3本とクレディセゾンの告知をもとに整理した。

まずやること

・アプリ・ネットストアの利用者：無印良品やカード会社を名乗るメール・SMS・電話に注意する。同じパスワードをほかのサービスでも使っていれば、そちらを変える
・2021年7月までに MUJI Card に入会した人：利用明細を確かめる。不安があれば、クレディセゾンに無料の再発行を申し込む
・データを持つ側の開発者：使い終えたカード番号や個人情報が、古いテーブルやログに残っていないかを確かめる

外部の事故が自分のシステムに及ぶ構図はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめている。

無印良品 不正アクセスの時系列

第一報の時点では、対象は MUJI アプリの利用者とされていた。11月4日に、アプリを使っていないネットストアの会員も含まれると訂正された。11月9日には、監視を強めていた最中に、別の種類の攻撃であるリスト型攻撃を受けたことも明らかにされた。

何が起きたか：対象は4つの区分

11月9日の発表にある区分を整理する。

氏名・住所・電話番号を含む件数は、11月4日の約52万件から、11月9日に約75万件へ増えた。約27万件は、後述のリスト型攻撃によるもので、10月29日の不正アクセスとは経路が違う。

侵入の経路や原因は、公表されていない。良品計画は「原因および影響範囲の特定を進める」としている。

MUJI Card のカード番号は、なぜ残っていたか

MUJI Card は、クレディセゾンが発行するクレジットカードだ。2社の説明を合わせると、経緯は次のようになる。

・2000年10月から2021年7月まで、カード特典のポイントを付与するために、クレディセゾンが良品計画へカード番号を連携していた
・その後、ポイント付与の仕組みが変わり、カード番号の連携は行われなくなった
・過去に受け取ったカード番号、MUJI Card ID、生年月日は、良品計画のシステムに残っていた

約109万件のうち、いまも有効なカードは約34.5万件で、残りは解約や期限切れのものだ。有効な約34.5万件のうち約16.8万件は、システム上で会員情報（メールアドレスなど）と合わせて見られる状態だった。さらにそのうち約2.5万件は、氏名・住所・電話番号とも合わせて見られる状態だった。

公式の発表に書かれていない点もある。カード番号が暗号化やマスキングをされていたかどうかは、良品計画の開示にもクレディセゾンの告知にも記載が無い。SNS には、カード番号を顧客の識別に使っていた、暗号化していなかった、という投稿があるが、公式の文書では確認できない。確かなのは、対象の番号が「全桁」と発表されていることと、使う必要がなくなったあとも残っていたことだ。

開発者にとっての要点は、ここにある。データは、使い終えたときに消さないと残り続ける。仕組みを変えたときに、古い連携で受け取ったデータの後始末まで行う手順が要る。カード番号については、業界の基準である PCI DSS が、保存する場合は読めない形にすることを求めている。持つ必要が無いなら持たず、決済事業者が発行するトークンに置き換えるのが基本だ。

無印良品 不正アクセスへの対策：立場ごとにやること

11月9日に公表されたリスト型攻撃は、ほかのサービスから漏れたメールアドレスとパスワードの組み合わせを使って、ログインを試す攻撃だ。パスワードを使い回していなければ、この経路では破られない。仕組みと防ぎ方は リスト型攻撃の対策｜他社で漏れたパスワードで自社が破られる仕組みと、パスワード漏洩確認の実装・ログでの検知 に書いた。

メールアドレスと生年月日が漏れた可能性があるので、これらを使ったなりすましのメールが届くことも考えられる。届いたメールのリンクは開かず、公式サイトを自分で開いて確かめる。

自分のシステムにカード番号が残っていないか確認するコマンド

データを持つ側の開発者は、同じことが自社で起きていないかを確かめられる。リポジトリの中のダンプ、CSV、ログ、スキーマ定義を対象に、2つの検索をかける。1つ目はカード番号の形をした16桁の数字、2つ目はカード番号を入れていそうな列の名前を探す。

git fetch --all --prune
grep -rnIE '\b[0-9]{4}[ -]?[0-9]{4}[ -]?[0-9]{4}[ -]?[0-9]{4}\b' . --exclude-dir=.git --exclude-dir=node_modules
grep -rnIiE 'card_?(number|num|no)\b|credit_?card|\bpan\b' . --exclude-dir=.git --exclude-dir=node_modules

テスト用のカード番号を3通りの書き方で入れた CSV と、card_number という列を持つスキーマを置いて実行すると、次のように出た。どちらも含まないディレクトリでは何も出ず、終了コードは 1 だった。

./export.csv:2:1,test,4111 1111 1111 1111
./export.csv:3:2,test2,4111-1111-1111-1111
./export.csv:4:3,x,4111111111111111
./schema.sql:1:CREATE TABLE members (id int, card_number varchar(16), CardNo text);

これは手がかりを探す確認で、カード番号の有無の判定ではない。この結果だけでは、残っているとも残っていないとも言えない。16桁の数字は、注文番号や追跡番号のこともある。何も出なくても、見ているのはリポジトリの中のファイルだけで、本番のデータベースの中身やバックアップは対象に入っていない。本番については、スキーマの一覧と、過去の連携で作られたテーブルの棚卸しを別に行う必要がある。

影響範囲と、まだわかっていないこと

わかっていない点を挙げる。

・侵入の経路と原因：公表されていない。調査中とされている
・暗号化やマスキングの有無：公式の文書に記載が無い
・情報が実際に持ち出されたか：発表の表現は「外部からアクセスされた可能性」「閲覧された可能性」。11月4日の時点では、ダークウェブなどへの流出は確認されていないとしていた
・ネットストアの再開時期：決まっていない
・11月12日の記者会見の内容：本記事は適時開示と告知の文書の範囲で書いており、会見での説明は反映していない

不正アクセスを受けたのは良品計画のシステムだ。クレディセゾンは、自社のシステムへの不正アクセスや、自社のシステムからの流出は確認されていないとしている。

件数の規模が近い事案として、ソースネクスト情報漏洩｜最大2,252万件・パスワードも対象、会員とAPIを持つ側が確認すること がある。発表のたびに対象が広がった例は ニフティ 不正アクセス｜回線申込の管理用ツールから最大54万件漏えいの可能性、対象の見分け方と二次被害への備え でも扱った。第一報の数字で安心せず、続報を追う必要がある。

参照ソース

・情報流出の可能性に関するお知らせ（良品計画・2026-11-04）
・良品計画のニュース一覧（「無印良品ネットストアの一時停止について」2026-11-06、「不正アクセスに関する追加のご報告と無印良品ネットストアの再開延期について」2026-11-09）
・MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び（クレディセゾン・2026-11-04）