無印良品のMUJI Card、約109万件の情報流出の可能性 カード番号全桁も対象に

ニュース

無印良品を展開する良品計画のシステムへの不正アクセスを受け、クレジットカード「MUJI Card」を発行するクレディセゾンは2026年11月4日、会員情報について新たに約109万件が流出した可能性があると発表した。対象にはカード番号の全桁が含まれる。良品計画は10月30日にも、スマートフォンアプリ「MUJIアプリ」の会員情報が最大約2726万件流出した可能性を公表したばかりで、1週間足らずで被害範囲の発表が積み重なった形だ。対象となるのは2000年10月〜2021年7月にMUJI Cardへ入会した顧客で、このうち現在も有効なカードは約34.5万件にとどまる。

新たに判明した約109万件の内訳

クレディセゾンの発表によると、流出した可能性がある情報は、カード番号（全桁）、生年月日、MUJIカードID（無印良品メンバーのID）。対象者の一部については、これに加えて氏名、住所、電話番号、性別、メールアドレス（良品計画が保有していた情報）も含まれるという。一方で、カード名義、有効期限、セキュリティコードは含まれないとしている。

件数の内訳は、現在も利用可能なカードが約34.5万件、解約や有効期限切れなどですでに利用できないカードが約74.5万件。合計すると約109万件になる。退会済みの会員の情報も対象に含まれている点には注意が必要だ。

10月29日の不正アクセスから109万件判明までの経緯

クレディセゾンの発表では、良品計画のシステムへの不正アクセスが発生したのは2026年10月29日午前1時ごろとされている。良品計画は翌30日、MUJIアプリの顧客情報が最大約2726万件流出した可能性を公表した。この時点での対象はメールアドレス、生年月日、性別の3項目で、クレジットカード情報や氏名、住所、電話番号は含まれないと説明していた。

その後の調査で、良品計画は11月2日にクレディセゾンへ連絡し、同社から過去に連携していたMUJI Cardのカード番号なども流出の対象になりうると報告した。これを受けてクレディセゾンが11月4日に今回の約109万件を公表した。

注意したいのは、10月30日発表の「最大約2726万件」と11月4日発表の「約109万件」は、対象にしているデータの母集団が異なるという点だ。前者はMUJIアプリ利用者のメールアドレスなど、後者はMUJI Card会員のカード情報であり、単純に合算できる数字ではない。両者がどこまで重複する顧客なのかは、現時点で公表されている情報源からは明らかにされていない。

対象になるのは2000年10月〜2021年7月入会の会員

今回の対象は、2000年10月から2021年7月までにMUJI Cardへ入会した顧客に限られる。2021年8月以降に発行されたカードは、今回の不正アクセスの対象外とされている。自分が対象に含まれるかどうかは、クレディセゾンの会員向けサービス「セゾンPortal」または「Netアンサー」の「メニュー」から「お客様情報の確認・変更」で入会年月日を確認できる。

セキュリティコードが含まれないことと「安全」は別の話

カード名義・有効期限・セキュリティコードが流出対象に含まれていないことから、「実害はない」と受け止める読者もいるかもしれない。しかしクレディセゾンは発表の中で、不正利用の増加は現時点で確認されていないとしつつも、利用明細を確認し、心当たりのない利用があれば問い合わせるよう呼びかけている。流出した可能性がある情報だけで即座に不正利用ができるとは限らないが、「含まれていない項目があるから安心」と言い切れる段階ではない、という位置づけだ。カードの継続利用に制限は案内されておらず、不安な場合は再発行の申し込みができる。

日本クレジット協会の統計で見る「番号盗用」急増の実態

今回のような情報漏えいが社会的な問題になっている背景には、クレジットカード不正利用の手口そのものの変化がある。日本クレジット協会が2026年9月7日付で公表した統計（主要・対象事業者ベース、1997年〜2025年）によると、年間の不正利用被害額は1997年の188.0億円から、調査対象会社の拡大などを経て増減を繰り返し、2012年には68.1億円まで落ち込んだ。しかしその後は右肩上がりが続き、2021年に330.1億円、2022年に436.7億円、2023年に540.9億円、2024年には555.0億円と、この統計で確認できる1997年以降では最も高い水準に達した。2025年は510.5億円とやや減少したものの、高水準が続いている。なお同協会は2013年以前と2014年以降で調査方法を見直しており、両期間の数値を単純に連続したグラフとして比較できない点には注意が必要だ。

注目すべきは被害の中身の変化だ。1997年時点では、偽造カードによる被害が6.4％、カード番号を盗用した被害が93.6％を占めていた。その後2000年代後半から2010年代にかけては偽造被害の比率が一時的に高まった時期もあったが、2021年以降は番号盗用の比率が再び9割超に戻り、2024年は92.5％、2025年は93.1％、2026年1〜6月も93.1％と高止まりしている。つまり、店舗でカードを直接偽造される被害よりも、ネット通販などでカード番号そのものが不正に使われる被害が、現在の不正利用被害のほぼすべてを占めている。企業から大量の会員情報やカード番号が流出する事件は、この「番号盗用」の温床になりうるという点で、今回のMUJI Cardの一件も無関係ではない。

対象者が今すべきこと

クレディセゾンが案内しているのは、利用明細を確認し、身に覚えのない利用があれば問い合わせること、同社や良品計画をかたる不審なメール・SMS・電話に注意し、リンク先にカード情報を入力しないこと、そして不安であれば再発行を申し込むことの3点だ。再発行はNetアンサーまたはセゾンPortalから申し込め、手元に届くまでは時間がかかるとしている。対象となる顧客には、良品計画またはクレディセゾンからメールか郵送で順次連絡するとされているが、具体的な時期は示されていない。問い合わせ窓口はフリーダイヤル0120-227-190（10:00〜17:00）。

まとめ：「使っていないカード」も対象になる現実

今回流出した可能性がある約109万件のうち、実に74.5万件は解約済みや有効期限切れで、すでに「使っていないカード」の情報だった。退会や解約をしても、企業側には一定期間、個人情報やカード番号が保管され続けている場合がある。今回の一件は、自分が今使っているサービスだけでなく、過去に使っていたサービスの情報管理にも目を向ける必要があることを示している。

よくある質問

Q. 自分が対象かどうかはどうやって確認できますか？
A. クレディセゾンの会員向けサービス「セゾンPortal」または「Netアンサー」の「メニュー」にある「お客様情報の確認・変更」で、MUJI Cardの入会年月日を確認できる。2000年10月〜2021年7月の間であれば対象に含まれる可能性がある。

Q. セキュリティコードや有効期限も漏れていますか？
A. クレディセゾンの発表では、カード名義、有効期限、セキュリティコードは今回の流出対象に含まれないとされている。

Q. カードをこのまま使い続けても大丈夫ですか？
A. 現時点で不正利用の増加は確認されていないとされ、利用停止などは案内されていない。ただし利用明細の確認は呼びかけられており、不安な場合は再発行を申し込める。

Q. 対象者への連絡はいつ届きますか？
A. 良品計画またはクレディセゾンからメールか郵送で順次案内するとされているが、具体的な時期は本記事の情報源では示されていない。

情報源

コメント