「無印良品のアプリ、使っているけど大丈夫かな」「MUJI Cardを持っているだけで危ないの？」。2026年11月4日のニュースを見て、こんな不安を抱いた人も多いと思います。買い物のつもりで登録した情報が、思いがけないところから第三者に見られる可能性があると聞けば、私も自分のカードを確認したくなります。
良品計画は10月30日にMUJIアプリの個人情報流出の可能性を発表し、11月4日の第二報で対象範囲を拡大しました。ネットストアの会員も対象に含まれ、約109万件のMUJI Cardについては、クレジットカード番号の全桁を含む情報に不正アクセスされた可能性があるとしています。うち約34万5,000件は現在も有効なカードです。
最初に大切な線引きをしておきます。「アクセスされた可能性がある」と「実際に109万件が外部へ持ち出された」は同じ意味ではありません。良品計画の11月4日時点の説明では、ダークウェブなどへの流出や、当該情報の悪用による被害は確認されていません。怖い数字だけを一人歩きさせず、判明した事実を順番に見ていきます。
この記事は良品計画とクレディセゾンが2026年11月4日に公表した資料をもとに、対象者・カード情報の内訳・確認するポイントを整理したものです。公表内容は調査で更新されることがあります。カードの利用停止や再発行など、個別の判断が必要な場合はカード会社の公式案内を優先してください。
無印良品で何が起きた？
【悲報】無印良品さん、クレカ“全桁”109万枚を漏洩 ・不正アクセスで色々漏洩したよ ・無印のクレカ『MUJI Card』会員のクレカ全桁が109万件漏れたよ(うち有効期限内のカードは34.5万件) ・無印アプリや公式ネットストアを使った人の氏名や住所、電話番号とかも漏洩したよ
— 滝沢ガレソ (@tkzwgrs) November 4, 2026https://t.co/Cf1ZMWk1Ys
10月29日の不正アクセスから第二報まで
クレディセゾンが公表した経緯によると、2026年10月29日午前1時ごろ、良品計画のシステムに第三者による不正アクセスが発生しました。翌30日、良品計画は公式アプリ「MUJIアプリ」で保有する顧客情報が外部に流出した可能性について第一報を発表しています。
第一報で挙げられた情報はメールアドレス、生年月日、性別で、対象は最大約2,726万件でした。当時はクレジットカード番号、氏名、住所、電話番号などは含まれないという説明でした。ニュースを読んで「カードの情報は大丈夫そう」と受け取った人もいたはずです。
ところが、その後の調査で範囲の見直しが必要になりました。クレディセゾン側の説明では、良品計画から11月2日にカード番号が対象となった可能性について報告を受けたといいます。そして11月4日、良品計画とクレディセゾンがそれぞれ追加情報を公開しました。
第二報が注目されたのは、ただ件数が大きかったからではありません。第一報の時点で「含まれない」とされていた種類の情報にも、不正アクセスが及んだ可能性が示されたからです。新しい発表で内容が変わった以上、10月30日の記事だけを読んだ人は認識を更新する必要があります。
アプリを使っていないネットストア会員も対象
11月4日の第二報で、最大約2,726万件という顧客情報の対象には、MUJIアプリの利用者だけでなく無印良品ネットストアの会員も含まれるとわかりました。アプリを入れたことがない人でも、過去にネットストアで会員登録や買い物をしていた場合は無関係とは限りません。
さらに対象には退会した人の情報も含まれます。「最近は無印良品で買っていない」「アプリは削除した」「ずいぶん前に登録をやめた」という理由だけでは、今回の対象から外れると判断できません。過去の登録履歴が関係する点は、普段の買い物で見落としやすいところです。
ただし、最大約2,726万件というのは発表された情報の件数であり、そのまま現在の利用者2,726万人が被害を受けたという意味ではありません。会員の退会状況、情報の重なり、実際の持ち出しの有無は区別して考える必要があります。大きな数字を見たときほど、その「単位」を確認したいですね。
氏名・住所・電話番号は約52万件
第二報では、約2,726万件の情報にメールアドレス、生年月日、性別、会員IDが含まれる可能性があると説明されています。そのうち約52万件では、これらに加えて氏名、住所、電話番号も対象になったということです。約52万件は2,726万件とは別に足す数字ではなく、その内数です。
氏名と住所、電話番号がまとまって知られる可能性がある点は、単にメールが届くだけのリスクとは少し違います。家族や配送の話を装った連絡がもっともらしく聞こえることがありますし、実際に無印良品を利用している人なら「注文に関する確認です」と言われたとき警戒心が薄れることもあります。
現時点で、これらの情報が悪用された具体的な被害が確認されたと良品計画は説明していません。それでも、架空請求やフィッシングにつながる可能性を考え、今後の連絡を落ち着いて見分ける準備には意味があります。不安に任せて知らない電話へ折り返すより、先に公式窓口を確認するのが安心です。
カード情報は一つのグループではない
SNSでは「クレジットカード109万件」という数字が最も目立っていますが、公式資料を読むとカードに関する対象は二種類に分かれます。一つはクレディセゾン発行のMUJI Cardで、カード番号の全桁などが対象となった可能性がある約109万件。もう一つはアプリやネットストアにカード情報を登録していた約120件です。
約120件のほうは、カード番号の先頭6桁と下2桁、カード名義が対象とされ、番号全桁は含まれていません。有効期限とセキュリティコードも含まれていません。MUJI Cardの109万件と同じ内容が閲覧できたという説明ではないため、この違いは記事の見出しだけではなく中身まで確認しておきたい部分です。
また、カード関連の件数と一般会員情報の件数は、情報の重なりがあり得ます。約2,726万件、約52万件、約109万件、約120件を単純に合算して「異なる人数の合計」と表現するのは適切ではありません。情報がどの範囲で結び付けられる可能性があるかは、今回の重要な論点です。
発行会社のシステムが破られたという話ではない
今回の不正アクセスは、良品計画のシステムで発生したと説明されています。クレディセゾンは11月4日のお知らせで、自社システムへの不正アクセスや自社システムからの流出は現時点で確認されていないと明記しました。この部分も、話題が広がる過程で誤解されやすいところです。
カード発行会社が管理している情報と、提携先のサービスが過去の特典付与などのために保有していた情報では、保管している場所や利用目的が異なります。今回のニュースは、外部サービスとの情報連携が終わった後も、過去のデータをどのように管理するかを考えるきっかけにもなります。
MUJI Card109万件の内訳
カード番号の全桁が対象という意味
良品計画の資料によると、MUJI Card会員の約109万件について、クレジットカード番号の全桁、MUJI Card ID、生年月日が第三者からアクセスされた可能性のある情報として挙げられています。MUJI Card IDは、カードに記載された無印良品のメンバーIDを指します。
クレジットカード番号の「全桁」という表現は気になりますよね。カードの一部が伏せられた明細などとは異なり、カード番号そのものが対象情報になっているためです。ただし、「カードの情報が一式そろって流出した」と受け止めるのは正確ではありません。公式発表では、カード名義・有効期限・セキュリティコードは含まれていないとしています。
番号だけで不正利用が必ず成立するわけではありませんし、逆に番号以外の情報が含まれないから安全が保証されるともいえません。決済サービスごとに本人確認方法が違うため、外部から推測して断言しないことが大切です。利用者ができる現実的な対応は、取引履歴を確認し、不明な利用があればカード会社に相談することです。
109万件のうち有効なカードは34万5,000件
約109万件のうち、11月4日時点で有効なクレジットカードは約34万5,000件、残る約74万5,000件は失効または解約済みです。ここでいう「約109万件」は現在使えるカード109万枚という意味ではありません。古いカード情報も含めた対象件数です。
有効な34万5,000件に入っている可能性がある人は、日々の利用明細を確認したいところです。一方、失効や解約済みの人も、個人情報が関連付いている可能性に注意が必要です。カードを今は使えないとしても、生年月日や会員IDといった情報が過去の記録に残っていたことが今回の問題の一部だからです。
私なら、まず今手元にあるカードがMUJI Cardなのかを確認し、次に発行時期を調べます。感覚だけで「かなり前だから対象外」と決めず、公式に示された期間と照らし合わせるほうが確実です。複数枚を更新してきた場合は、カード会社の案内を確認するのが安全です。
対象となるMUJI Cardの入会時期
クレディセゾンの11月4日付発表では、カード番号の対象となるのは2000年10月から2021年7月までにMUJI Cardへ入会した人と説明されています。2021年8月以降に発行されたMUJI Cardは、今回のMUJI Cardカード番号に関する不正アクセスの対象外とされています。
この線引きの背景には、以前のポイント付与の仕組みがあります。良品計画によると、2021年7月以前は独自特典の付与のためにMUJI Cardのカード番号、会員ID、生年月日を取得していました。その後仕組みが変更されたものの、過去に取得した情報が良品計画のシステム上に残っていたことがわかったという説明です。
ここで注意したいのは、2021年8月以降にカードを発行した人が、アプリやネットストアの一般会員情報の対象まで自動的に外れるわけではないことです。カード番号の対象期間と、メールアドレスなど会員情報の対象範囲は別の話です。自分はどの種類の情報に該当する可能性があるか、分けて考えてください。
一部のカード情報は顧客情報と関連付け可能
良品計画の第二報には、数字の大きさだけでは読み取れない重要な注記があります。有効なカード約34万5,000件のうち約16万8,000件は、メールアドレスなどの一般会員情報とあわせて閲覧できる状態だったとされています。さらに、この約16万8,000件のうち約2万5,000件は、氏名・住所・電話番号なども関連して閲覧できる状態だったということです。
つまり、単独の番号だけでなく、ほかの登録情報と結び付く可能性があるケースもあったわけです。もちろん、これらの情報すべてが実際に外部へ持ち出されたと確認されたことを意味しません。けれど、どんな情報が同時に閲覧可能だったかは、今後の調査と対策を考えるうえで見逃せません。
たとえば、氏名や住所を知っている相手から「あなたのカードに問題が起きた」と連絡が来たら、本物の案内と勘違いしてしまうかもしれません。情報が組み合わされるリスクを意識し、電話口で言われた個人情報が当たっているからといって、その相手を信用しないようにしたいですね。
アプリ登録カード約120件は全桁ではない
MUJIアプリまたはネットストアにクレジットカード情報を登録していた人については、約120件の情報に外部からアクセスされた可能性が示されています。この約120件で対象なのはカード番号の先頭6桁と下2桁、カード名義です。有効期限、セキュリティコードは含まれません。
先頭6桁と下2桁という部分的な番号と、MUJI Card約109万件に含まれる番号全桁を一緒にしてしまうと、利用者に必要以上の混乱を与えます。カードがMUJI Cardなのか、アプリの支払い方法として別のカードを登録したのかによって、対象情報の説明が違います。公式資料を見ながら該当する箇所を確認しましょう。
約120件という数字が小さく見えても、対象者にとっては無関係な話ではありません。クレジットカード情報を扱う際は、件数よりも自分の取引や連絡に異常がないかが大切です。会社からの個別案内を待つ間にも、利用明細とメールを落ち着いて確認しておくと安心につながります。
なぜ過去のカード番号が残っていたのか
今回の件から考えたいのは、必要だった情報をいつまで保存するかという問題です。良品計画による説明では、かつてカード特典の付与に使う目的で受け取ったカード番号などが、システム上に残っていました。保存の必要性や管理方法について会社の調査が続いている段階であり、具体的な原因の全容を現時点で断定することはできません。
サービスを使う側からすると、ポイントのために登録した情報が長く残ることは、普段ほとんど意識しません。登録した当時は便利だったサービスが、数年後には別の仕組みに変わっていることもあります。それでも昔のデータが残っていれば、今回のような事故が起きた際に影響範囲が広がる可能性があります。
企業には情報を守る責任がありますが、私たちも使っていないアカウントや連絡先の更新状況を点検する機会にできます。ただし、今すぐ退会したから今回のアクセス対象から外れる、というものではありません。すでに起きた事象への対処と、将来に向けた情報整理は分けて考えるのが大切です。
利用者が今できる安全対策
まずカードの利用明細を確認する
クレディセゾンと良品計画が共通して呼びかけているのが、カードの利用明細の確認です。見覚えのない店舗名、少額の決済、同じ日に複数回行われた支払いなどがないか、普段より少し丁寧に目を通してみてください。ただし、表示される加盟店名が実際の購入先と異なる場合もあるため、すぐ不正利用と決めつける必要はありません。
買い物した日付や利用したサービスを思い出し、家族カードや定期購読の支払いも確認します。それでも説明がつかない請求を見つけたら、カードの裏面や公式アプリ、公式サイトに記載されている連絡先からカード会社へ相談してください。知らないSMSに書かれた電話番号へそのまま連絡するのは避けたいところです。
現時点で不審な請求が見つからなくても、それだけで今後も絶対に問題が起きないとは言い切れません。だからこそ、一定期間だけでも明細を定期的に見る習慣が役立ちます。通知設定が使える場合は、カード会社が提供する利用通知も検討すると気付きやすくなります。
MUJI Cardの再発行は相談できる
今回の発表を受けて「カードは全部交換しなければならないの？」と迷う人もいると思います。クレディセゾンは不正利用の監視を強化し、希望者にはMUJI Cardの再発行を受け付けると案内しています。一律の再発行義務があるという発表ではありません。
再発行するかどうかは、対象状況と日常の使い方を踏まえ、カード会社と相談して決めるのが現実的です。毎月の公共料金やネットサービスの支払いに使っている場合、番号が変わることで登録先の変更が必要になることもあります。気持ちの上では早く交換したくても、生活上の影響を整理しておくと手続きがスムーズです。
また、再発行を装った偽の案内が届く可能性にも警戒したいですね。自分で公式サイトを開くか、カードに記載された窓口から確認しましょう。再発行の条件や具体的な手続きは変更される場合があるため、最新のクレディセゾン公式案内を確認してください。
個別連絡はメールか郵送で届く
良品計画は、対象となる顧客に対してメールまたは郵送で順次個別連絡を行うとしています。MUJI Card会員のうち、良品計画が連絡先を把握していない人については、クレディセゾンから連絡すると説明しました。「まだ連絡が来ていないから対象外」と即断するのは早そうです。
ただし、連絡が来たというだけで本物と判断してはいけません。不正アクセスを話題にした偽メールは、人の不安に付け込んで行動を急がせることがあります。件名に「緊急」「本日中に確認」とあっても、メール内のリンクを押さず、普段利用している公式アプリや自分で入力した公式URLから知らせを探す習慣が有効です。
郵便の場合も同じです。差出人や案内内容を確認し、疑問があれば公式窓口へ問い合わせてください。住所を知っている相手だから安全という保証はありません。個人情報の一部が合っているだけで信頼してしまうのは、誰でも起こりうる見落としです。
なりすましメールや電話には特に注意
良品計画は、同社からメールや電話でクレジットカード情報を尋ねることはないと明記しています。今回の騒動を理由に「カード番号を再入力してください」「本人確認のためセキュリティコードを教えてください」と求める連絡が来たら、立ち止まってください。
画面の見た目が本物に似ていても、リンク先が公式サイトとは限りません。検索結果の広告、SMS、SNSのDMなどから偽の入力画面へ誘導される可能性があります。確認する場合は、事前にブックマークした正規サイトやカード会社の公式アプリなど、自分で選んだ入口を使いたいところです。
電話で会社名を名乗られ、こちらの名前や誕生日を言い当てられると、どうしても信じたくなります。でも、その情報を知っていることと、正規の担当者であることは別問題です。相手に急かされてもその場で番号や認証コードを答えず、いったん電話を切って公式窓口に確認しましょう。
パスワードとログイン情報も見直す
第二報で示された対象情報に、MUJIアプリのログインパスワードが含まれていたとする記載は確認できません。だからといって、日ごろのアカウント管理を見直す意味がないわけではありません。メールアドレスや生年月日などが知られた可能性を踏まえると、複数サイトで同じパスワードを使い回していないか確認するいい機会です。
もし同じパスワードを別の通販サイトやSNSでも使っているなら、それぞれ異なる強いパスワードに変更すると管理しやすくなります。二段階認証などの追加保護が利用できるサービスでは設定を検討してください。変更するときも、メールに記載されたリンクからではなく正規サイトから操作しましょう。
また、身に覚えのないパスワード再設定メールが届いても、慌ててリンクを開かないことが大切です。自分が手続きを始めていないなら、送信元を信用する前に公式サービス上の通知を確かめるようにしてください。小さな確認を積み重ねるだけでも、だまされるリスクを減らせます。
スマホにMUJIアプリがない人も確認を
「自分はアプリ派じゃなくて、ネットストアだけ」という人にこそ、第二報の更新点を知ってほしいと思います。今回はアプリ未利用のネットストア会員も対象に含まれることがわかりました。過去に配送先を登録したり、会員として買い物したりした人は、今回の公式発表を確認しておきたいところです。
ただし、アプリをインストールし直すことや、ネットストアに無理にログインすることを求めるものではありません。まずは良品計画のお知らせを読み、自分が該当しそうな利用履歴を確認し、必要に応じて問い合わせるという順番で十分です。むやみに個人情報を入力する操作を増やさないことも、一つの予防策です。
退会者も対象に含まれているため、現在ログインできない人もいます。個別連絡の有無だけに頼らず、企業の公式発表に目を通すと情報の更新に気付けます。もし具体的に心当たりがあるなら、後述する良品計画のお客様相談室で確認してください。
カードを持っていない人にも関係する
クレジットカード番号全桁という強い見出しだけを見ると、「MUJI Cardがない自分には無関係」と思いがちです。でも第二報は、カードを持っていないアプリ会員やネットストア利用者のメールアドレス、生年月日、性別、会員ID、そして一部の氏名・住所・電話番号も対象になり得ると説明しています。
カードの不正利用を心配する必要性と、個人情報を使ったなりすましへの注意は分けて考えましょう。カードを持っていない人は明細チェックよりも、無印良品を装ったメールや配送連絡などへの警戒が中心になります。同じニュースでも、持っている情報や使っているサービスによって対処が変わります。
家族の誰かがネットストアを利用している場合、メールを受け取る本人だけに情報が届くとも限りません。家族全員の情報が対象だと決めつける必要はありませんが、ニュースの事実関係と『メールのリンクからカード情報を入力しない』という注意点を共有しておくと役立ちます。
今の時点で被害は確認されている？
良品計画は11月4日の第二報で、ダークウェブなどへの対象顧客情報の流出、およびその情報を悪用した被害は現時点で確認されていないとしています。クレディセゾンも同日付の案内で、MUJI Cardの不正利用の増加は確認されていないと説明しました。
これは利用者にとって大切な情報です。ただし、『被害が確認されていない』と『被害が起こり得ない』は違います。調査が続いている以上、今後公表される内容によって状況が変わる可能性があります。過剰に恐れず、必要な対策だけ確実に行う姿勢がちょうどいいと思います。
ネットでは短い投稿が次々に流れてきますが、数字だけが強調された文章よりも、会社の公式発表の日付や対象範囲を確かめるほうが判断に役立ちます。特に『流出確定』『全会員が被害』といった断定は、2026年11月4日の公表内容と一致しているか確認したいところです。
良品計画とクレディセゾンの問い合わせ先
良品計画のお客様相談室はフリーダイヤル0120-64-0772です。11月4日時点の案内では受付時間は9時30分から17時までで、2026年12月26日までは毎日受付、2027年1月4日以降は月曜日から土曜日とされています。受付条件は変更される場合があるため、電話前に公式ページを確認してください。
MUJI Cardの不明な利用や再発行については、カード発行会社のクレディセゾンへ相談するよう案内されています。問い合わせ先はカード会社の公式サポートページから確認できます。SNSに個人情報やカード番号の写真を投稿して質問する行為は避けましょう。
会社側は不正アクセスの遮断と、ほかのシステムを含めた監視強化を継続していると説明しています。現時点でMUJIアプリと無印良品ネットストアは正常に利用できるとのことです。今後の原因調査、影響範囲、追加の対応については新たな公表があれば内容を更新して追いかけたいですね。
5分で確認するためのチェックリスト
不安なニュースほど、何を確認すればよいのかわからなくなりがちです。私なら次の順番で確認します。すべてを一度に片付ける必要はありません。手元のカードやサービスに合わせて、一つずつ進めれば大丈夫です。
- MUJI Cardを持っているか、入会時期が2000年10月から2021年7月の範囲かを確認する。
- MUJI Cardの直近の利用明細をチェックし、身に覚えのない請求がないか見る。
- 無印良品のアプリやネットストアに過去登録したか、退会済みかを振り返る。
- 不審なメール・SMS・電話でカード番号や認証コードを入力・口頭回答しない。
- 必要に応じて良品計画またはクレディセゾンの公式窓口で確認する。
- 気になる場合はクレディセゾンへMUJI Cardの再発行を相談する。
迷ったときは『いま何が確定しているか』『自分はどの対象に当てはまるか』『必要な連絡先はどこか』の三点に戻ると整理しやすくなります。情報が多いときほど、具体的にできる行動に置き換えるのがいちばんです。
まとめ｜冷静に確認しよう
2026年11月4日の第二報で明らかになったのは、無印良品のMUJIアプリだけでなくネットストア会員にも不正アクセスの影響が及んだ可能性があり、約52万件では氏名・住所・電話番号も対象に含まれるということ。そしてMUJI Card約109万件ではカード番号全桁などが対象となり、そのうち約34万5,000件は有効なカードだということです。
一方で、カード名義・有効期限・セキュリティコードはこの約109万件の対象情報に含まれておらず、11月4日時点で対象情報のダークウェブ等への流出や悪用被害は確認されていません。事件の重大さを正しく受け止めつつ、外部流出や不正利用が確定したかのように言い切らないことも大切です。
無印良品の買い物を楽しんできた人にとって、今回の知らせは残念な出来事です。でも、不安に任せて行動する必要はありません。カード明細を確認し、怪しい連絡を避け、公式の案内から必要な手続きを選ぶ。やるべきことを整理できれば、自分や家族の情報を守るための一歩になります。今後も企業側の説明と対策が丁寧に示されることを期待したいですね。
※本記事は2026年11月5日午前までに確認した公表資料に基づいています。続報により対象件数や対応方針が変更される可能性があります。
参考資料・公式発表URL
