MUJI Card約109万件に流出の可能性、良品計画へ不正アクセス

何が起きたのか

クレディセゾンは2026年11月4日、MUJI Card会員の情報が流出した可能性があると公表しました。

発端は良品計画のシステムへの不正アクセスで、同社によると10月29日の午前1時ごろに発生しました。良品計画は10月30日に、MUJIアプリ利用者の個人情報が流出した可能性を公表しています。

その後の調査で、過去にクレディセゾンから良品計画へ渡していたMUJI Cardのカード番号も対象になる可能性が分かり、クレディセゾンは11月2日に良品計画から報告を受けました。クレディセゾン自身のシステムへの不正アクセスや、同社のシステムからの流出は、いまのところ確認されていません。

漏れた情報

対象は約109万件で、2000年10月から2021年7月までにMUJI Cardに入会した会員です。解約などで無効になったカードも含みます。内訳は、現在使えるカードが約34.5万件、解約や期限切れで使えないカードが約74.5万件です。2021年8月以降に発行したカードは対象外です。

漏れた可能性のある項目は、全員が全桁のカード番号、生年月日、MUJIカードIDです。一部の会員は、氏名、住所、電話番号、性別、メールアドレスも含まれます。

項目の出どころは分かれています。カード番号と生年月日は、クレディセゾンが良品計画へ連携していた情報です。氏名などは、良品計画が持っていた情報です。カード名義、有効期限、セキュリティコードは含まれていません。

会社の対応

同社はカードの利用状況の監視を強め、希望者にはカードを再発行します。公表の時点で、MUJI Cardの不正利用の増加は確認されていません。身に覚えのない利用があれば、所定の調査を行い、結果に応じて対応するとしています。

対象の会員には、良品計画かクレディセゾンから、メールまたは郵送で順次個別に連絡します。会員への案内は次のとおりです。

• 利用明細を確かめ、心当たりのない利用があればクレディセゾンに問い合わせる
• クレディセゾンや良品計画を名乗り、カード番号、暗証番号、セキュリティコードなどの入力を求めるメール、SMS、電話には応じない。迷うときは、両社の公式サイトで確かめる
• カードの再発行は、Netアンサーまたはセゾンポータルから手続きする。再発行は、届くまで時間がかかる
• 入会の時期が対象かどうかは、セゾンポータルまたはNetアンサーの「お客様情報の確認・変更」で見られる

問い合わせは、Webの問い合わせフォームと、フリーダイヤルの電話があります。電話は混み合うとつながりにくいため、Webでの手続きが勧められています。発生の経緯の詳しい内容は、良品計画の発表ページで案内されています。

中小企業が学べること

過去の連携で渡したデータが、何年もたってから事故の対象になることがあります。この件では、2000年から2021年までの入会者のカード番号が、取引先の良品計画のシステムに残っていました。連携を始めたときの契約や運用の取り決めが、いまも守られているかを確かめられます。

自社で次の点を点検できます。

• 取引先から受け取ったデータや、取引先へ渡したデータの一覧を作る。連携が終わったものや、もう使っていないものは、消してもらうか、消したことを確認する
• 自社のシステムや、制作会社が作ったシステムに、カード番号が残っていないか。決済は、カード番号を自社で持たない方式かどうかも合わせて聞く
• 会社のカードの利用明細を定期的に確かめる。身に覚えのない利用は、カード会社に連絡する。カード番号が流出した可能性が知らされたときは、再発行の手続きを調べておく