「無印良品」を展開する良品計画（7453）は、11月6日金曜日に一時停止したネットストアの再開を延期した。2026年11月9日付の開示によると、外部で入手された可能性のあるパスワードを使って多数のログインを試みる「リスト型攻撃」が行われ、本人以外の第三者がアカウントに不正ログインした可能性があるという。すでにシステムの監視体制を強めていた中での攻撃だったとしている。
これは一時停止に関するTokyo Briefの既報に続く追加発表だ。同社は再開時期を示しておらず、「必要な対策と確認」を終えたうえで改めて知らせるとしている。
情報にアクセスされた可能性のある対象者
良品計画は、外部から情報にアクセスされた可能性のある対象者として4つの区分を挙げ、これまでに公表していた件数の一部が変更になったと説明している。開示資料に示された件数は概数だ。1つ目の区分であるMUJIアプリおよびネットストアの利用者には、すでに退会した人も含まれる。
| 対象区分 | アクセスされた可能性のある情報 | 概算件数 |
|---|---|---|
| MUJIアプリおよびネットストアの利用者（退会者を含む） | メールアドレス、生年月日、性別、会員ID | 2726万件 |
| 上記の一部 | 上記に加え、氏名、住所、電話番号 | 750,000 |
| 表の第3段階にあたる、さらなる一部 | 上記に加え、購入履歴、ポイント | 270,000 |
| 2021年7月までに入会したMUJI Card会員（クレディセゾン） | カード番号（全桁）、MUJI Card ID、生年月日 | 109万件（うち現時点で有効なカードは約34万5000件） |
| アプリまたはネットストアでカードを登録した顧客 | カード番号の先頭6桁と下2桁、カード名義 | 120 |
| 代金引換配送の受取先（2020年1月2日〜2025年2月10日受注分） | 配送先氏名、配送先郵便番号 | 440,000 |
同社によると、今回の続報で対象に追加された代金引換配送の受取先に関する情報の一部についても、不正アクセスが確認された。表はアクセスされた可能性のある情報をまとめたもので、同社はデータが外部へ持ち出されたことを確認したとは述べていない。
カード情報に含まれる項目と含まれない項目
2021年7月までに入会した「MUJI Card」会員については、アクセスされた可能性のある項目にカード番号の全桁が含まれる。同カードはクレディセゾンが発行している。良品計画によると、カード名義、有効期限、セキュリティコードは含まれていない。対象は約109万件に上るが、現時点で有効なカードは約34万5000件にとどまり、残りはすでに失効または解約されたカードだという。
さらに同社の社内システム上、有効なカードのうち約16万8000件は表の第1段階にあたる基本アカウント情報とあわせて閲覧できる状態にあり、そのうち約2万5000件は氏名・住所・電話番号の段階の情報ともあわせて閲覧できる状態だったとしている。
アプリまたはネットストアでカードを登録した約120人の顧客については、対象となるのはカード番号の先頭6桁と下2桁およびカード名義のみで、有効期限とセキュリティコードは含まれない。
良品計画によると、閲覧された可能性のある情報が悪用されたことによる被害は確認されていない。
今後の対応
同社は2026年11月10日から、対象となる顧客へメールまたは郵送で個別に連絡を開始する。クレディセゾンも顧客へ連絡を行う。同社は連絡が遅れたことを陳謝した。
ネットストアの再開時には、全顧客にパスワードの再設定を求める方向で準備を進めている。複数のサービスで同じメールアドレスとパスワードを使い回していると不正ログインのリスクが高まるため、無印良品では別のパスワードを設定するよう呼びかけている。また、同社がメールや電話、ショートメッセージ（SMS）で顧客にパスワードやカード番号を尋ねることは決してないとしている。
業績面では、良品計画はネットストアの一時停止に伴う「一定の影響」を見込んでいるものの、金額は精査中であり、開示すべき事項が生じた場合は速やかに公表するとしている。同社は引き続き、原因と影響範囲の特定を進めている。