本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
良品計画の清水智社長は2026年11月12日、東京都内で記者会見を開き、不正アクセスによる顧客情報流出の可能性について謝罪した。削除すべきMUJI Cardのカード番号がシステムに残っていたことを認め、情報管理の不備を陳謝。システムの一部に脆弱性があったと説明し、不要な情報を保有しない仕組みへの見直しを進める方針を示した。
カード番号約109万件、削除されず残存
良品計画は11月4日、独自の特典を付与するために取得していたMUJI Cardのカード番号などが、自社システムに残っていたことを公表した。12日の会見では、2021年7月にカード番号を使う識別方式を廃止したものの、取得済みの番号を削除できていなかったと説明。カード番号全桁はマスキングや暗号化が施されない状態で保存されていたという。
外部からアクセスされた可能性があるのは、2021年7月までに入会したMUJI Card会員のカード番号全桁、MUJI Card ID、生年月日の約109万件。このうち有効なカードは約34.5万件、失効・解約済みなどの利用できないカードは約74.5万件となる。良品計画は、この約109万件の情報にカード名義、有効期限、セキュリティコードは含まれないと説明している。
氏名・住所・電話番号も対象となる会員情報は、11月4日公表の約52万件から9日の発表で約75万件に更新された。これはメールアドレスや生年月日などが外部からアクセスされた可能性のある会員情報最大約2726万件の一部に当たる。各情報区分には重複があり、件数を単純に合算することはできない。
清水氏はカード番号の管理不備を認め、対象となるMUJI Cardの再発行を希望する利用者について、手数料を良品計画が負担する方針を示した。
リスト型攻撃も判明、ネットストア再開は未定
良品計画は11月9日、外部で不正に入手された可能性のあるパスワードなどを使うリスト型攻撃を受け、第三者による不正ログインの可能性が判明したと発表した。購入履歴やポイントなどを閲覧できる状態にあった会員アカウントは約27万件。また、代金引換配送先の氏名と郵便番号約44万件にも外部からアクセスされた可能性がある。カード番号の保存問題とは別の情報区分として公表されている。
ネットストアは11月6日午後4時から一時停止している。良品計画は9日、追加のセキュリティ対策と確認が必要として再開延期を発表した。再開時には全利用者にパスワードの再設定を求める方向で準備を進めている。12日の会見でも安全を最優先すると説明し、具体的な再開時期は示さなかった。
良品計画は11月9日の発表時点で、情報の悪用による被害は確認していないと説明している。クレディセゾンはMUJI Cardの不正利用監視を強化しており、両社は利用明細の確認と、不審なメールや電話への注意を呼びかけている。
