無印良品の情報漏えい、自分は対象？クレカは大丈夫？よくある勘違いと対策を整理

セキュリティ

2026年11月4日、無印良品を運営する良品計画が、10月30日に発表した情報流出の続報を出しました。今回新たに、クレジットカード情報にも外部からアクセスされた可能性があると判明しています。

正直に言うと、僕は最初に速報を見たとき「無印を使ったことがある人は、クレカ番号がほぼ漏れていて、あとはセキュリティコードだけなのでは」と受け取りました。ところが調べてみると、対象はかなり細かく分かれていて、件数も「120件」と「109万件」が混ざって報じられています。

この記事では、現役ネットワークエンジニア（以下、NE）の僕自身が引っかかった勘違いも含めて、「結局、自分は何が漏れた可能性があって、何をすればいいのか」を整理します。

結論：対象は3つのグループに分かれる

今回の件は、どこで無印良品を使っていたかで、漏れた可能性のある情報がまったく違います。

グループ	対象になる人	漏れた可能性がある情報	件数
A	2021年7月までにMUJI Card（クレジットカード）に入会した人	カード番号全桁、MUJI Card ID、生年月日	約109万件（うち有効なカードは約34万5000件）
B	MUJIアプリ・ネットストアにクレカを登録した人の一部	カード番号の先頭6桁と末尾2桁、カード名義	約120件
C	MUJIアプリ・ネットストアの利用者（退会者を含む）	メールアドレス、生年月日、性別、会員ID。一部は氏名・住所・電話番号も	最大約2726万件

どのグループも、カードの有効期限とセキュリティコードは含まれていません。また発表時点では、ダークウェブへの流出や悪用の被害は確認されていないとしています。

アプリを使わず店頭で買い物をしただけの人は、公表内容を見る限りCには入りません。

いいえ。カード番号が全桁出た可能性があるのは、2021年7月までに入会したMUJI Card会員（グループA）だけです。良品計画は当時、会員特典のためにカード番号を取得していて、その情報がシステムに残っていたと説明しています。

どちらも本当で、対象が別です。120件はアプリやネットストアに登録したカードの一部（グループB）で、番号も先頭6桁と末尾2桁だけです。109万件はMUJI Card会員（グループA）で、こちらは全桁です。

クレディセゾンが発行している、無印良品の提携クレジットカードです。無印以外のお店でも普通に使えるクレカなので、漏れた可能性があるのはそのカード番号そのものになります。持っていない人は、グループAは関係ありません。

正確には「有効期限とセキュリティコードの2つが欠けている」状態です。番号だけで即不正利用とはなりにくいものの、ゼロとは言えないので、Aの人は明細の確認が必要です。

人数で見ると、グループCの個人情報（最大約2726万件）です。メールアドレスや生年月日、人によっては住所や電話番号まで出ているので、なりすましメールの材料になります。

3つ目の3Dセキュアは、ネットで買い物をするときに追加でパスワードや認証を求める仕組みです。日本では2025年3月末までに、原則すべてのネットショップで導入が求められています。お店側の準備は進んでいるので、利用者側はカード会社で登録を済ませておけば、番号だけ知られても使われにくくなります。

番号の一部だけなので、カードを止めるほどではないと考えています。明細をいつもより少し気にかける程度で十分です。

やることは、次の章のなりすまし対策が中心です。発表ではパスワードは対象に挙がっていませんが、無印と同じパスワードを他のサイトでも使い回しているなら、この機会に変えておくと安心です。

カード番号よりも現実的に怖いのは、今回の件に便乗した詐欺です。本物の無印から「お詫び」のメールが届くタイミングなので、偽物が紛れ込みやすくなります。

「お詫びの返金」「本人確認のため」などの文面でカード番号やセキュリティコードを聞いてきたら、詐欺と判断する（良品計画は、メールや電話でカード情報を尋ねることはないとしています）
メールやSMSのリンクは開かず、公式アプリやブックマークから自分でアクセスして確認する
生年月日や住所を知っている前提の文面でも、それだけで本物と思わない

特に最後の点は大事です。今回は生年月日や一部の住所も出ているので、「あなたの情報を知っている＝本物」とはなりません。