2026年11月4日の夕方、無印良品を展開する良品計画が、クレジットカード「MUJI Card」の番号が全桁で約109万件、外部から見られた可能性があると発表しました。

5日前、不正アクセスを最初に知らせた第一報では、「クレジットカード情報は含まれません」とはっきり書かれていた、その続報です。

しかも発表があったのは、全品10%オフの「無印良品週間」が店舗で終わった翌日で、ネットストアの割引が終わってから数時間後でした。

自分のカードは入っているのか、番号だけで何をされるのか、いまのうちに何をしておけばいいのか。

この3つの答えは、良品計画とクレディセゾンの発表文の中に、意外なほどはっきり書かれています。


対象は2021年7月までに作ったカード

カード番号が見られた可能性があるのは、2000年10月から2021年7月までのあいだにMUJI Cardに入会した人です。

カードを発行しているクレディセゾンによると、2021年8月以降に作ったカードは今回の対象外とのこと。

入会した年月は、セゾンPortalかNetアンサーの画面から確かめられます。

対象の約109万件のうち、いまも使えるカードは約34.5万件で、残りはすでに解約されたり期限が切れたりしたカードだそうです。

見られた可能性がある中身は、カード番号の全桁と、MUJI Card ID（カードに書かれている無印良品メンバーのID）、それに生年月日の3つ。

カードの名義、有効期限、裏のセキュリティコードは含まれていないと発表されています。

 

無印ではカードを使っていないから関係ない、と思った人ほど、ここは気をつけたいところ。

今回の番号は、レジで支払ったときの記録ではなく、入会した人の情報として無印の側に残っていたものなんです。

なので、カードを財布の奥にしまったままの人も、作ったのが2021年7月までなら対象に入ります。

しかも、いま使えるカードのうち約2.5万件は、カード番号と一緒に氏名・住所・電話番号まで見られる状態だったとのこと。

自分がどれに当たるのかは、良品計画かクレディセゾンから、メールや郵送で順に知らせが届くと発表されています。

MUJI Cardとは別に、アプリやネットストアに支払い用のカードを登録していた約120件では、番号の先頭6桁と下2桁、名義が見られた可能性があるそうです。


番号だけで買い物はできるのか

「全桁」と聞くと、もう番号を使われるのは時間の問題のような気がしてしまいますよね。

ただ、クレディセゾン自身の解説では、番号が漏れても番号だけで不正に使われる可能性はとても低いとされています。

ネットで買い物をするときは、番号に加えて有効期限やセキュリティコードも求められるのがふつうで、今回はそのどちらも含まれていないからです。

発表の時点で、ダークウェブなどへの流出や、この情報を悪用した被害は確認されていないそうで、セゾンもMUJI Cardの不正利用が増えている様子はないとしています。

 

では安心していいのかというと、怖いのは番号そのものより、本物の番号を知っている人からの連絡です。

手元に「本物のカード番号」と「生年月日」がそろっている人は、カード会社のふりをした連絡を、ものすごく本物らしく作れてしまいます。

「お客様のカード（番号◯◯◯◯）に不正利用の疑いがあります」と、自分の番号が正しく書かれたSMSが届いたら、つい信じてしまいそうになりますよね。

そこで「確認のため」と聞かれるのが、今回漏れていない有効期限とセキュリティコードなんです。

実際にセゾンは、カード番号や暗証番号、セキュリティコードを入力させようとする不審な案内に気をつけるよう呼びかけています。

つまり、聞かれても有効期限とセキュリティコードを答えなければ、今回の番号だけで買い物まで進むのは難しい、というわけです。

 

いま手元でできる4つのこと

心配なまま何日も過ごすのはしんどいので、いまできることを先に並べておきます。

  1. 入会した年月を確かめる（セゾンPortalかNetアンサーの「メニュー」→「お客様情報の確認・変更」。2021年8月以降なら対象外）
  2. 利用明細を見る（覚えのない請求があれば、クレディセゾンへ連絡する）
  3. 気になるなら再発行を申し込む（Netアンサー・セゾンPortalから。番号が新しくなる代わりに、届くまで時間がかかる）
  4. カード情報を聞いてくる連絡には答えない（メール・SMS・電話のリンクから入らず、公式サイトかカード裏の番号からかけ直す）

良品計画は発表の中で、メールや電話でクレジットカード情報を尋ねることはないと書いていました。

「無印です」「セゾンです」と名乗って番号の続きを聞いてくる時点で、それは本物ではない、と思っていいということですね。

 

3つ目の再発行については、ネットでもこんな声が上がっていました。

いまのところ、再発行は希望する人がNetアンサーかセゾンPortalから申し込む形で、対象のカードを一斉に作り直すという発表はありません。

それでも、使われる可能性が低いとはいえ、いま使っているカードが対象に入っていたら、番号ごと新しくしてもらうのがいちばん気が楽だと私は思います。

番号が変われば、今回見られたかもしれない番号はただの数字の並びに戻るからです。

 

万一、身に覚えのない請求が見つかった場合、セゾンの案内では連絡した日を含めて61日前までさかのぼった利用分のうち、明らかな不正利用は補償の対象になるとされています。

再発行を待つあいだも、月に一度明細を開いておけば、この枠の中で気づけるということ。

問い合わせ先は次の2つで、どちらも12月26日までは毎日、2027年1月4日からは月曜から土曜に受け付けるそうです。

  • カードのこと＝クレディセゾン（0120-227-190・10時〜17時）
  • 経緯のこと＝良品計画 お客様相談室（0120-64-0772・9時半〜17時）


「含まれません」から5日後の一転

数の大きさとは別に、もうひとつモヤモヤするのが、ここまでの順番。

良品計画が最初に不正アクセスを公表したのは、2026年10月30日のことでした。

そのときの発表では、流出した可能性があるのはメールアドレス・生年月日・性別の3つで、退会した人も含めて最大約2,726万件。

そこに「※クレジットカード情報、氏名、住所、電話番号等の情報は含まれません。」と注意書きが添えられていたんです。

この一文を読んで、ひとまず胸をなでおろした人は多かったと思います。

ところが11月4日の第二報で、この注意書きは「クレジットカード情報」も「氏名・住所・電話番号」も、どちらもひっくり返りました。

アプリとネットストアの会員全体で見ると、氏名・住所・電話番号まで見られた可能性があるのは約52万件で、MUJIアプリを使っていないネットストアの会員まで含まれていた、という訂正つきです。

 

では、なぜカード番号が無印の側に残っていたのか。

良品計画の説明によると、2021年7月より前は、MUJI Cardの会員に無印独自の特典をつけるために、カード番号とMUJI Card ID、生年月日を受け取っていたそうです。

セゾンの説明では、これはポイントを付けるための連携で、その後ポイントの仕組みを変えてからは、カード番号は渡していないとのこと。

つまり、今回見られた可能性がある番号は、5年前に使わなくなったまま、システムの中に残っていた番号だったわけです。

ネットでは、シンプルさが売りの無印なのに顧客データだけは余分に残していた、という皮肉や、退会した人の情報までなぜ持ち続けていたのか、という声も出ています。

使わなくなってから5年、その番号は消されないまま残っていました。


無印良品週間が明けた日の発表

そして、いちばん多く聞こえてくる不満が、発表のタイミングです。

秋の無印良品週間は10月23日から11月3日まで開かれていて、ネットストアは11月4日の午前10時までが割引の対象でした。

第二報が良品計画の公式Xに載ったのは、その日の夕方4時半すぎ。

セゾンの発表を並べると、時系列はこんな順番です。

  • 10月29日の午前1時ごろ、良品計画のシステムに不正アクセス
  • 10月30日、第一報（カード情報は含まれません）
  • 11月2日、カード番号も対象だったと良品計画からセゾンへ報告
  • 11月4日の夕方、第二報

カード番号も対象だと分かった11月2日から公表まで、2日あったことになります。

 

会社の側に立てば、言い分はありそうです。

カード会社と一緒に、問い合わせの窓口や再発行の受け付け、不正利用の見張りを整えてからでないと、発表しても電話がつながらないだけになってしまう。

実際、セゾンの告知も11月4日の同じ日に出ています。

第一報のほうはセールのまっ最中の10月30日に出しているので、セールが終わるのを待っていたとまでは、いま出ている情報からは言い切れません。

 

それでも、「狙ったのか」「段取りだったのか」の二択にしてしまうと、いちばん大事なところを見落としてしまうんですよね。

セール中にレジへ並んだ人やネットストアで注文した人が、そのとき頼りにできた公式の情報は、10月30日の「クレジットカード情報は含まれません」の一文だけでした。

2日の段取りに理由があったとしても、11月2日から4日の夕方まで、第一報の「含まれません」はそのまま置かれていたことになります。

週間明けの発表にこれほどモヤモヤするのは、セールの最中に頼れたのが、あとで崩れた「含まれません」の一文だけだったからかもしれませんね。