📡 Signal｜良品計画、カード番号を2021年まで顧客の識別に使用

良品計画の清水智社長は11月12日、東京都内で記者会見し、クレジットカード「MUJI Card」の番号の全桁 約109万件などが流出した可能性がある不正アクセスについて謝罪した。会見で同社は、2021年7月まで顧客の識別にカード番号を使い、その後も一部の番号をマスキングも暗号化もしないまま残していたと説明した。

良品計画「MUJIアプリ」お客さま情報流出の可能性について (第四報・2026年11月9日・PR TIMES) — リスト型攻撃・代引き配送先・ネットストアの再開延期プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES

番号が良品計画のシステムにあった理由は、11月4日の第二報で「独自の特典を付与するため」と説明されていた (11月5日の記事)。会見で加わったのは、その番号がどう使われ、なぜ消えずに残ったかという点だ。清水氏は「破棄してしかるべきカード情報が残っていた」と述べた。使い道の終わった決済データが、消えないまま残っていたことになる。

会見で新しく分かったこと

会見を報じた日本経済新聞・共同通信・ITmedia NEWS の記事によると、要点は次のとおりだ。番号の使い方と保管の状態は ITmedia NEWS が詳しく伝えている。

• 番号の使い方: 会員向けの特典を付けるために受け取った番号を、2021年7月まで顧客を見分ける鍵としても使っていた。同月に特典の仕組みを変えて番号の連携を終えたが、それ以前に受け取った番号の一部を消さずに保管していた
• 保管の状態: 残っていた番号には、マスキングも暗号化も施していなかった
• 原因: 会社は「意図的に保管し続けたものではない」とし、人のミスかシステムの問題かは特定できておらず、調査を続ける
• 侵入: 清水氏は「システムの一部に脆弱性があり、不正アクセスを防げなかったことを重く受け止めている」と述べた
• 対応: 流出のおそれがあるカードの再発行手数料は会社が負担する。清水氏は「必要のない情報を持たない仕組み作りを進める」とした

顧客を見分ける鍵にカード番号を使う設計では、特典の仕組みを替えても、過去のデータベースに番号が残りやすい。鍵に使った値は、多くの表やログに写されて散らばっていく。2021年の切り替えで連携は止まったが、それ以前のデータの一部は消えなかった。

「持たない」を求める法律との距離

2018年6月施行の改正割賦販売法は、カードを扱う加盟店に、番号を自社で持たない「非保持化」か、国際的な安全基準 PCI DSS に沿った管理を原則として求めている。ITmedia NEWS によると、良品計画は非保持化の必要性を当時から認識していたとしつつ、法律に抵触していたかどうかは確認中だと答えた。

今回の番号は、買い物の決済で客から預かったものではなく、特典のためにカード会社のクレディセゾンから連携されたものだ。典型的な加盟店の保持とは形が違い、その違いが法令上どう扱われるかは会社の確認を待つことになる。ただ、法律の線引きとは別に、使い道の終わった番号を消す仕組みがなかったことは会社自身が認めている。

小売の会員基盤は、ポイント・カード提携・アプリと仕組みを重ねて育ってきた。仕組みを入れ替えるたびに古いデータの棚卸しをしなければ、使わなくなった情報が負債として残り続ける。2026年10月以降に相次いだ会員情報の漏えいで、問われているのは侵入を防ぐ力だけではない。

第一報から会見までの経緯

10月30日の第一報の時点では、良品計画は「MUJI アプリや無印良品ネットストアは、正常にご利用いただけます」としていた。カード番号の流出の可能性を公表したのは11月4日で、ネットストアを止めたのは11月6日16時だった。

11月9日の第四報では、ネットストアで他所で漏れたとみられるパスワードを使う大量のログイン試行、いわゆるリスト型攻撃が見つかり、再開を延期した。2020年1月2日から2025年2月10日までに代金引換で荷物を受け取った客の情報の一部にも、不正アクセスがあったと確認している。共同通信によると、この代引きの配送先は約44万件にのぼる。ITmedia NEWS によると、カード情報へのアクセスにつながった攻撃は、このリスト型攻撃とは別のものだと会社は説明した。

会見では、11月4日の発表が会員向けセール「無印良品週間」のネットストア分の終了 (11月4日午前10時) と重なった点も問われた。会社は「良品週間を意識したものではまったくない」と答え、清水氏は他社への確認に時間がかかったとして、最短で発表したと述べた。

次に見るもの

• 良品計画のニュースリリース (第五報): 侵入の経路と期間、残っていた番号の削除の状況、割賦販売法に抵触していたかの確認結果が示されるか
• 無印良品ネットストアの再開の告知: 再開時には全員にパスワードの再設定を求める方向で準備していると第四報は書いている。再開日の告知と同時に、どの対策を終えたかが説明されるか
• クレディセゾンの MUJI Card の告知ページ: 再発行手数料の会社負担が、申し込みの手順にどう反映されるか

ことば

• PCI DSS — カードの国際ブランド5社がつくったカード情報の安全基準。保管する番号の暗号化やアクセスの管理など、細かな要件を定める。番号を持つなら、この水準の管理が求められる。
• 非保持化 — 加盟店がカード番号を自社のシステムで保存・処理・通過させない状態にすること。番号を持たなければ漏れようがないため、改正割賦販売法の対応の柱になった。
• リスト型攻撃 — 他のサービスから漏れたメールアドレスとパスワードの組み合わせを使い、別のサイトへのログインを大量に試す攻撃。同じパスワードを使い回す利用者が狙われる。

🔗 一次ソース

• 良品計画「MUJIアプリ」お客さま情報流出の可能性について (第四報・2026年11月9日・PR TIMES) — リスト型攻撃・代引き配送先・ネットストアの再開延期プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES
• 良品計画「無印良品ネットストアの一時停止について」(第三報・2026年11月6日・PR TIMES)プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES
• 良品計画「MUJIアプリ」お客さま情報流出の可能性について (第一報・2026年10月30日・PR TIMES) — ネットストアは正常に利用可能としていた時点の発表プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES
• 日本経済新聞 — 無印良品の良品計画社長「カード情報破棄すべきだった」 不正アクセスで陳謝 (2026年11月12日)日本経済新聞
• 共同通信 (47NEWS) — 無印良品、クレカ全桁流出を謝罪 清水社長「システムに脆弱性」(2026年11月12日)47NEWS
• ITmedia NEWS — 無印良品「21年までクレカ番号で顧客を識別していた」(2026年11月12日) — 識別への利用・マスキングや暗号化なし・割賦販売法への回答ITmedia NEWS