【11/4】無印良品のクレカ情報109万件流出のおそれ｜MUJI Card対象者の確かめ方と今やること
「無印良品」を展開する良品計画は11月4日、MUJIアプリへの不正アクセスをめぐる第二報を出し、クレジットカード「MUJI Card」のカード番号の全桁など約109万件に外部からアクセスされた可能性があると発表しました。10月30日の第一報ではクレジットカード情報は対象に入っていませんでしたが、調査を進めた結果、新たに判明しました。流出の可能性がある顧客情報の約2726万件には、MUJIアプリを使っていない無印良品ネットストアの会員も含まれていることも分かりました。
この記事では、何が流出したおそれがあるのか、MUJI Cardの対象者の範囲、有効期限やセキュリティコードは含まれるのか、10月30日からの経緯、自分が対象か確かめる方法、そしていま利用者がやるべきことを、良品計画とクレディセゾンの発表、NHKなどの報道をもとに整理します。
この記事でわかること
- 何が起きたか：2000年10月〜2021年7月にMUJI Cardに入会した人のカード番号の全桁など約109万件に、外部からアクセスされた可能性があります。
- 含まれないもの：カードの名義、有効期限、セキュリティコードは含まれないとクレディセゾンは説明しています。
- 今やること：カードの利用明細を確かめ、良品計画やカード会社を名乗る不審なメール・電話に応じないことです。再発行も受け付けています。
目次
無印良品のクレジットカード情報流出とは？MUJI Card約109万件
MUJI Card入会者のカード番号の全桁など約109万件に、外部からアクセスされた可能性があるという発表です。
良品計画の11月4日の発表によると、同社は自社独自の特典を付けるため、クレディセゾンが発行するMUJI Cardの入会者のカード番号、MUJIカードID、生年月日を取得しており、2021年7月以前の入会者の情報がシステムに残っていたことを確認しました。その情報に、MUJIアプリへの不正アクセスを通じて外部からアクセスされた可能性があります。
NHKは「クレカ番号の全桁 約109万件が漏えいのおそれ」と報じ、すでに期限切れになっているカードも多く含まれると伝えています。良品計画は、MUJIアプリまたは無印良品ネットストアにクレジットカードを登録した人の一部のカード情報にもアクセスされた可能性があるとしています。こちらの件数や項目の詳しい内訳は、11月4日時点の報道では確認しきれていません。
報道では「流出」と書かれることが多いですが、会社の発表は「外部からアクセスされた可能性」という表現です。情報が実際に外へ持ち出されたかどうかは調査中で、ダークウェブなどへの流出や悪用の被害は、11月4日時点で確認されていません。
MUJI Cardの対象者は誰？2000年10月〜2021年7月の入会者
クレディセゾンによると、対象は2000年10月から2021年7月までにMUJI Cardに入会した人で、退会した人も含みます。
クレディセゾンの11月4日のお知らせによると、対象は退会などで無効になっている会員を含めて合計約109万件です。そのうち現在も使えるカードが約34.5万件、すでに使えないカードが約74.5万件です。つまり、109万件のおよそ3分の2は、退会や期限切れなどで今は使えないカードです。
2021年8月以降に発行されたMUJI Cardは対象外です。2021年7月までに入会し、その後カードを更新して使い続けている人は、対象に入る可能性があります。自分が対象かどうかは、次の章で説明する個別の連絡で確かめられます。
| 区分 | 件数 |
|---|---|
| 対象の合計（2000年10月〜2021年7月の入会者） | 約109万件 |
| うち現在利用できるカード | 約34.5万件 |
| うち現在利用できないカード | 約74.5万件 |
| 2021年8月以降に発行されたカード | 対象外 |
（クレディセゾン「MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び」をもとに作成）
流出した情報に有効期限やセキュリティコードは含まれる？
含まれません。カードの名義、有効期限、セキュリティコードは対象外だとクレディセゾンは説明しています。
クレディセゾンによると、アクセスされた可能性がある情報は、カード番号（全桁）、生年月日、MUJIカードIDです。一部の人については、氏名、住所、電話番号、性別、メールアドレスも含まれます。一方で、ネットでの買い物に使われることの多いカード名義、有効期限、セキュリティコードは含まれていません。
ただし、カード番号だけなら絶対に悪用されないとまでは言い切れません。海外の一部の通販サイトなど、セキュリティコードを求めない決済も世の中にはあります。クレディセゾンは、MUJI Cardの不正利用のモニタリングを強めているとしています。不安があれば、次の章で説明する再発行を検討するのが確実です。
良品計画はなぜMUJI Cardの番号を持っていた？
良品計画は、MUJI Card会員に自社独自の特典を付けるため、カード番号などをクレディセゾンから受け取って持っていました。
MUJI Cardは、良品計画とクレディセゾンが組んで発行している提携カードです。カードの発行や決済の管理はクレディセゾンが担い、良品計画は買い物ポイントなどの特典を付ける側です。良品計画の発表によると、同社はその特典を付けるために入会者のカード番号、MUJIカードID、生年月日を取得しており、2021年7月以前の入会者の情報が自社のシステムに残っていました。
クレディセゾンは、自社のシステムへの不正アクセスや情報流出は確認されていないとしています。つまり、カード会社のシステムではなく、特典のために情報を受け取っていた小売り側のシステムに古い番号が残っていて、そこが不正アクセスの対象になった形です。クレディセゾンによると、カード番号を良品計画に連携していたのは2021年7月までで、その後ポイント付与の仕組みを変え、現在はカード番号を連携していません。2021年8月以降の入会者が対象外なのはこのためです。
今回は、現在は使えないカード約74.5万件の情報も不正アクセスの対象になった可能性があり、連携をやめたあとも過去の情報を持ち続けることのリスクが浮き彫りになりました。
MUJIアプリの約2726万件流出とは？10月30日からの経緯
10月30日の第一報はMUJIアプリ利用者の情報でしたが、第二報でネットストア会員やカード情報にも対象が広がりました。
日本経済新聞によると、良品計画は10月30日、MUJIアプリへの不正アクセスを公表し、メールアドレスや生年月日などを含む最大約2726万件の顧客情報が流出した可能性があるとしました。11月4日の第二報では、この約2726万件に、MUJIアプリを使っていない無印良品ネットストアの会員も含まれていたことが分かりました。一部の人は氏名、住所、電話番号にも不正アクセスを受けていました。
第一報の時点で流出の可能性があるとされていたのは、MUJIアプリ利用者のメールアドレス、生年月日、性別などでした。この段階では、名前や住所、カード情報は含まれないと受け止められていました。第二報で、アプリを使っていない人や、住所・電話番号、カード番号にまで対象が広がったことで、「アプリを入れていないから関係ない」とは言えなくなりました。ネットストアで買い物をしたことがある人は、自分が対象に入っている可能性を前提に動くのが安全です。
これとは別に、良品計画は11月2日、オーダーカーテンを注文した客の情報1万9933件が流出した可能性も発表しています。日本経済新聞によると、オーダーカーテン業務の委託先である繊維商社MNインターファッションの、さらにシステム業務の委託先が管理するサーバーで不正アクセスが見つかりました。対象は2018年4月10日〜2022年1月25日の注文客で、クレジットカード情報とメールアドレスは含まれません。
| 発表日 | 内容 |
|---|---|
| 10月30日 | MUJIアプリへの不正アクセスを公表。最大約2726万件の顧客情報が流出した可能性 |
| 11月2日 | オーダーカーテンの注文客1万9933件の情報流出の可能性（委託先のサーバー） |
| 11月4日 | 第二報。ネットストア会員も対象と判明。MUJI Cardの番号など約109万件にもアクセスの可能性 |
1週間足らずで発表が3回続き、そのたびに対象が広がっています。良品計画は、原因と影響の範囲の特定を続けており、新たに知らせるべきことが分かれば速やかに公表するとしています。
自分が対象か確かめる方法は？個別の連絡を待つ
良品計画またはクレディセゾンから、メールか郵送で対象者に個別の連絡が届きます。
連絡を待つ前に、自分の入会時期で当たりをつけることもできます。クレディセゾンによると、MUJI Cardの入会年月日は、セゾンPortalまたはNetアンサーの「メニュー」から「お客様情報の確認・変更」を開くと確かめられます。入会が2000年10月〜2021年7月なら対象に入る可能性があります。ただし、これは入会時期から見た目安で、対象かどうかの確定は個別の連絡で知らされます。
良品計画の発表によると、対象の客には同社からメールまたは郵送で順次連絡します。MUJI Cardの会員で、良品計画が連絡先を把握していない人には、クレディセゾンから連絡が届きます。連絡が来るまで待てない場合や、問い合わせたい場合は、次の窓口が案内されています。
| 窓口 | 電話番号 | 受付時間 |
|---|---|---|
| 良品計画 お客様相談室 | 0120-64-0772 | 9:30〜17:00（12月26日まで毎日） |
| クレディセゾン（MUJI Card） | 0120-227-190 | 10:00〜17:00（12月26日まで毎日） |
どちらも2027年1月4日からは月曜〜土曜の受付になります。クレディセゾンは、電話がつながりにくい場合があるとして、Webでの手続きやWebからの問い合わせも案内しています。
気をつけたいのは、この「個別の連絡」をかたる偽のメールや電話です。良品計画は、メールや電話でクレジットカード情報を尋ねることはないとしています。カード番号や暗証番号、有効期限を聞かれたら、それは偽物と考えて応じないでください。
MUJI Cardを持っている人が今やることは？
カードの利用明細を確かめ、身に覚えのない利用があればクレディセゾンに連絡し、必要なら再発行を申し込みます。
良品計画とクレディセゾンの案内をもとに、今やることを順に並べます。手続きの入口はクレディセゾンのお知らせのページにまとまっています。
- 利用明細を確かめる：Netアンサーなどで直近の利用明細を開き、覚えのない請求が無いかを見ます。
- 覚えのない利用があれば連絡する：カード発行会社のクレディセゾンに問い合わせます。クレディセゾンは、所定の調査をしたうえで結果に応じて対応するとしています。
- 不安なら再発行を申し込む：クレディセゾンは希望者の再発行に応じるとしており、NetアンサーまたはセゾンPortalから申し込めます。届くまでには時間がかかると案内されています。
- 不審な連絡に応じない：良品計画やカード会社を名乗るメール・SMS・電話で、カード情報や個人情報を入力させようとするものには応じません。
利用明細は、ひと月分だけでなく、10月30日の第一報より前の数カ月分もさかのぼって見ておくと安心です。少額でも身に覚えのない請求が無いかを確かめてください。家族カードを持っている場合は、家族カードの明細もあわせて確かめます。
すでに退会している人や、カードの期限が切れている人も、カード番号や生年月日、住所などが含まれていれば、その情報を使ったなりすましの連絡が来るおそれがあります。カードを使っていなくても、不審な連絡への注意は必要です。
MUJIアプリやネットストアは使い続けて大丈夫？
良品計画によると、外部からの不正アクセスは遮断済みで、MUJIアプリとネットストアは今も通常どおり使えます。
良品計画は、不正アクセスを遮断したうえで、そのシステム以外に影響がないかなど監視を強めて続けているとしています。現時点で、ダークウェブなどへの情報の流出や、情報の悪用による被害は確認されていません。
アプリやネットストアにカードを登録している人は、登録しているカードの利用明細もあわせて確かめておくと安心です。パスワードを他のサービスと使い回している場合は、念のため変更しておくのも一つの手です。今回の発表ではパスワードが対象に含まれるとは書かれていませんが、調査は続いており、続報で対象が変わる可能性があります。
相次ぐ大規模な情報流出、無印良品の件はどこが違う？
ここ数日の流出の発表と比べると、無印良品の件はカード番号の全桁が含まれる点が大きな違いです。
11月に入ってから、大手企業の情報流出の発表が続いています。家電量販店のノジマは約700万件、レジャー予約のアソビューは委託先への不正アクセスで1582万件余りの会員情報が流出したと発表しました。いずれも氏名やメールアドレスなどが中心で、クレジットカード情報は対象外とされていました。
無印良品の件は、顧客情報の規模が約2726万件と大きいうえに、MUJI Cardのカード番号の全桁という、お金に直結する情報が含まれている点で性質が違います。有効期限とセキュリティコードは含まれないものの、生年月日や住所と組み合わさると、本人になりすました問い合わせや、カード会社を装ったフィッシングの材料にされるおそれがあります。
流出した情報を使った、なりすましのメールや電話にも注意が必要です。名前や生年月日を正しく言い当てる連絡でも、それだけで本物だと判断しないことが大切です。
無印良品の情報流出のよくある質問
Q. 対象のはずなのに連絡が届かないときはどうすればいいですか？
A. 連絡は順次送られるため、届くまで時間がかかることがあります。気になる場合は、MUJI Cardならクレディセゾン（0120-227-190）、アプリやネットストアなら良品計画お客様相談室（0120-64-0772）に問い合わせてください。
Q. 店舗でMUJI Card以外のカードで払っただけの人も対象ですか？
A. 11月4日の発表で対象とされたのは、MUJI Card入会者と、MUJIアプリまたはネットストアにカードを登録した人の一部です。店頭での支払いだけの人は、発表の対象として挙げられていません。
Q. カードを再発行すると番号は変わりますか？
A. 情報流出を理由にした再発行では、一般に新しい番号のカードに切り替わります。公共料金などの支払いに登録している場合は、届いたあとで登録先のカード情報を変える必要があります。