良品計画の不正アクセス 第3報｜リスト型攻撃も、ネットストア再開を延期

良品計画は2026年11月9日、MUJIアプリ・無印良品ネットストアへの不正アクセスについて追加の報告を出し、11月6日から止めているネットストアの再開を延期すると公表しました（良品計画の2026年11月9日の発表）。 ネットストアで、他社などから手に入れたとみられる ID とパスワードを使う「リスト型攻撃」の多数のログインの試みがあり、本人以外がログインした可能性があると分かったためです。 あわせて、店舗とネットストアで代金引換の配送の受取先になった人の情報約44万件にも不正アクセスがあったと公表しました。

公表された内容

11月9日の発表で、外部からアクセスされた可能性がある人と情報は次のとおりです（良品計画の2026年11月9日の発表）。

• MUJIアプリ・ネットストアの利用者（退会者を含む）：メールアドレス・生年月日・性別・会員ID が約2,726万件。うち約75万件は氏名・住所・電話番号も（11月4日の発表の約52万件から変わりました）
• 購入履歴・ポイントまで見られた可能性がある人：約27万件。他社などから手に入れた ID とパスワードでネットストアに不正ログインされたことによるものとしています
• MUJI Card（クレディセゾン発行、2021年7月までの入会者）：カード番号（全けた）・MUJI Card ID・生年月日が約109万件（今有効なカードは約34.5万件）。名義・有効期限・セキュリティコードは含まれないとしています
• アプリ・ネットストアにカードを登録した人：カード番号の先頭6けたと下2けた・名義が約120件
• 代金引換の受取先（新たに判明）：2020年1月2日〜2025年2月10日に受注した分の、配送先の氏名と郵便番号が約44万件。依頼主の情報は含まれないとしています
• 悪用の被害：11月9日の時点で確認されていないとしています
• 原因：リスト型攻撃のほかの部分の原因と侵入の経路は公表されていません。原因と影響の範囲の特定を続けるとしています

経緯

• 2026年10月30日：MUJIアプリの利用者の情報が流出したおそれを公表
• 2026年11月2日：オーダーカーテンの縫製などの委託先のサーバーへの不正アクセスで、注文者の情報19,933件（重複を含む）が流出したおそれを公表（別の件）
• 2026年11月4日：適時開示で、最大約2,726万件と MUJI Card の番号約109万件を公表
• 2026年11月6日：無印良品ネットストアを一時停止
• 2026年11月9日：リスト型攻撃による不正ログインの可能性と代金引換の受取先約44万件を公表し、ネットストアの再開を延期

会社の対応

• 対象の人には、11月10日から良品計画とクレディセゾンがメールか郵送で順に連絡するとしています
• ネットストアは、全体のセキュリティ対策と確認を終えてから再開し、再開のときは全員にパスワードの再設定をお願いする方向で準備しているとしています
• ほかのサービスと違うパスワードを使うよう呼びかけ、メール・電話・SMS でパスワードやカード番号を聞くことはないとしています

中小企業が今日からできること

• 自社の通販サイト・会員サイトのログインの試みを見る：短い時間に同じ接続元から多くのログインの失敗がないか、ログを確かめる。失敗が続いたら止める・遅らせる仕組みがあるかを確かめる
• 多要素認証かログインの通知を入れる：会員のアカウントに、新しい端末からのログインの通知やワンタイムのコードを入れられるか、使っているカートの会社に確かめる
• 社員にもパスワードの使い回しをやめてもらう：業務のアカウントで、私用のサービスと同じパスワードを使っていないかを確かめ、パスワード管理の道具を使う
• 古い配送・注文の情報を残しすぎない：何年前までの受取先や注文の情報を残すかを決め、期限を過ぎたものを消す