良品計画は2026年11月4日、10月30日に公表したMUJIアプリへの不正アクセスについて第二報を出しました。第一報では、対象はメールアドレス、生年月日、性別に限られ、クレジットカード情報は含まれないと説明していましたが、今回その内容が覆りました。
MUJI Card：クレディセゾンが発行するMUJI Cardに2021年7月までに入会した会員約109万件のカード番号全桁、MUJI Card ID、生年月日にアクセスされた可能性があります。このうち約34万5000件は現在も有効なカードで、残りは失効または解約済みです。同社によると、カード名義、有効期限、セキュリティコードは含まれていません。2021年7月以前は会員向けの独自特典のためにカード番号などを取得しており、その情報がシステムに残っていました。
対象範囲の拡大：アプリを使っていない無印良品ネットストアの会員も対象になりました。最大件数は退会者を含めて約2726万件のままで、項目に会員IDが加わりました。このうち約52万件は氏名、住所、電話番号にもアクセスされた可能性があります。アプリやネットストアに登録されたカード約120件については、カード番号の先頭6桁と下2桁、カード名義が対象となる可能性があります。
対応：同社は外部からの不正アクセスを遮断済みとしています。現時点でダークウェブなどへの流出や悪用の被害は確認されておらず、アプリとネットストアは通常どおり利用できます。対象者にはメールまたは郵送で順次連絡します。クレディセゾンは不正利用の監視を強化し、希望者のカード再発行に応じるほか、良品計画が連絡先を持たないMUJI Card会員には同社から連絡します。侵入の経路は公表されておらず、調査が続いています。
