日本脆弱性総合ポータル

良品計画：無印良品の顧客情報に不正アクセス、アプリとネットストアで流出の可能性

重要度
業務やサービスの停止・最大約2,726万件
公表日
2026.10.30
原因の分類
自社実装の脆弱性、認証情報・シークレット、サプライチェーン
対策可能性
判定保留

この記事の3行まとめ

  1. MUJIアプリなどで外部からの不正アクセスがあり、顧客情報が流出した可能性
  2. 良品計画は、システムの一部に脆弱性があり外部からの不正アクセスを許したと説明した
  3. クレジットカード利用のお客さまは利用明細を確認し、身に覚えがなければカード会社へ連絡

無印良品を展開する良品計画は、MUJIアプリや無印良品ネットストアで外部からの不正アクセスがあり、会員情報の最大約2,726万件が外部からアクセスされた可能性があると公表した。約27万件では、外部で入手されたとみられるIDとパスワードを使ったリスト型攻撃で不正ログインが確認された。ネットストアは再開を延期している。別途、オーダーカーテンの委託先サーバーでも不正アクセスの痕跡が確認され、お客さま情報の一部が流出した可能性があるとされる。現時点で、ダークウェブ等への流出や当該情報の悪用は確認されていないとしている。

確認された経路・公表元の推定

  1. 2026年10月19日、オーダーカーテン業務の再委託先ナノテックが管理するサーバーに、外部からの不正アクセスの痕跡が残った。
  2. 2026年10月28日、ナノテックが痕跡を確認し、同日、MNインターファッションを通じて良品計画へ報告された。
  3. 2026年10月29日早朝、MUJIアプリで外部からの不正アクセスを検知し、該当箇所へのアクセスを遮断した。
  4. 2026年10月30日、修正を適用したうえで第一報を公表し、メールアドレス、生年月日、性別が流出した可能性を伝えた。
  5. 2026年11月1日から2日にかけて、ネットストア会員の情報やクレジットカード情報も不正アクセスを受けた可能性を把握した。
  6. 2026年11月2日、オーダーカーテン業務の委託先サーバーの件を公表した。
  7. 2026年11月4日、第二報を公表した。
  8. 2021年7月以前にMUJIカードへ入会した会員のカード番号などが、運用変更後も破棄されずシステムに残っていた。
  9. 2026年11月6日、無印良品ネットストアとMUJIアプリの一部を一時停止した。
  10. 2026年11月9日の第四報で、外部で入手されたとみられるIDとパスワードを使ったリスト型攻撃による不正ログインの可能性と、代金引換配送の受取先の氏名と郵便番号（約44万件）を公表し、ネットストアの再開を延期した。
  11. 2026年11月10日から、良品計画とクレディセゾンが対象のお客さまへメールや郵送で順次個別の連絡を始めた。

根拠の要点

会見は、外部からの不正アクセスを許したのはシステムの一部に脆弱性があったためと説明している。第一報では、不正アクセスを検知して該当箇所へのアクセスを遮断し、修正を適用したとしている。外部で入手されたとみられるIDとパスワードを使ったリスト型攻撃による不正ログインも確認されたとしている。オーダーカーテンの発表では、株式会社ナノテックが管理するサーバーで2026年10月19日の不正アクセスの痕跡を2026年10月28日に確認したとし、手法や流出の有無は外部の専門機関が調査中としている。

資料の基準時点：2026年11月11日時点の会見情報（第四報は2026年11月9日公表）

当時、対策できたのか

判定保留

会見は、外部からの不正アクセスを許したのはシステムの一部に脆弱性があったためとし、修正を適用したとしている。ただ、脆弱性の内容、修正の時期、攻撃時点の防御条件は資料に示されておらず、詳しい対策の内容も公表が控えられている。オーダーカーテン側の手法も調査中のため、判定を保留とした。

公表された対策

  • システムの一部の脆弱性を是正し、不正アクセスを防ぐ修正を適用した
  • 2021年7月までにMUJIカード番号の取得をやめ、収集済みの番号は削除する運用に変えたとしている
  • 必要のない情報を持たない仕組みづくりを進めている
  • リスト型攻撃への監視を強化・高度化する
  • 無印良品ネットストアの再開を延期し、総合的なセキュリティ対策と確認を行う
  • ネットストア再開時に、お客さま全員にパスワードの再設定を求める方向で準備している
  • 再開後は、他社サービスとは異なるパスワードを設定するよう呼びかけている
  • クレディセゾンがMUJIカードの不正利用のモニタリングを強化している
  • MUJIカードの再発行手数料を負担し、不正利用があれば補償する方針を示した
  • 対象のお客さまへ、良品計画とクレディセゾンがメールや郵送で個別に連絡している
  • 利用明細の確認と、当社やカード会社を装った不審なメールや電話への注意を呼びかけている
  • 流出の可能性があるお客さまへ、オーダーカーテンの件も順次郵送で連絡する
  • 委託先および関係会社と連携し、情報管理体制とセキュリティ対策を強化する
  • 原因と影響範囲の特定を進め、新たに知らせるべき事項は速やかに公表する

この事例を理解するための動画

まだ分からないこと

  • オーダーカーテン側の侵入口と不正アクセスの手法。外部の専門機関が調査中である
  • オーダーカーテン事案とMUJIアプリ・ネットストア事案の関係。資料は両者の関係を示していない
  • オーダーカーテンの情報が実際に外部へ流出したかどうか
  • オーダーカーテンの対象19,933件は同一のお客さまの重複を含み、実際の人数は書かれていない
  • MUJIアプリ・ネットストアの脆弱性の内容と箇所、修正の時期。同様の攻撃を招くおそれがあるとして、対策の具体的な内容は公表されていない
  • 攻撃者が侵入した時期。検知より前に侵入が始まっていたかどうか
  • 不正に入手されたとみられるIDとパスワードの入手元
  • 氏名・住所・電話番号を含む件数が、第二報の約52万件から第四報と会見の75万件に変わった理由
  • 最大約2,726万件の算出根拠
  • 不正ログインが確認された約27万件のアカウントで、購入履歴やポイント、アドレス帳などが閲覧または持ち出されたか
  • 収集済みのMUJIカード番号が破棄されなかった理由と期間、代金引換配送の受取先情報が残っていた経緯
  • ネットストアの再開時期（未定）
  • 攻撃者の特定と被害の全容。原因と影響範囲の特定は進行中とされている

関連する事例

同じ原因分類の事例

事例の一覧に戻る