Tier表無印良品ネットストアへのリスト型攻撃事案の概要と評価
無印良品ネットストアへのリスト型攻撃では、約27万件分の不正ログインの痕跡が見つかり、購入履歴などが流出した可能性があります。良品計画は、別の攻撃によりMUJI Card番号にもアクセスされた可能性があると説明しています。
- 発生日
- 未確認
- 公表日
- （報道日）
- 不正ログインの痕跡
- 約27万件分
- 流出のおそれ
事案の概要
- 企業・サービス
- 無印良品ネットストアへのリスト型攻撃
- 確認状況
- ネットストアの再開時期は11月12日時点で未定です。良品計画はカード番号の削除漏れの原因を調査し、情報管理体制の見直しなどを進めています。
- 発生日
- 未確認
- 公表日
- （報道日）
報道の掲載日です。 - 公表された原因
- 報道によると、外部で不正に入手した可能性のあるIDとパスワードを用いたリスト型攻撃を受けました。
経緯
ITmedia NEWSの報道によると、良品計画は2026年11月9日、無印良品ネットストアが第三者からリスト型攻撃を受け、新たに約27万件の情報が流出した可能性があると発表しました。朝日新聞の報道によると、不正ログインの痕跡は約27万件分あり、第三者によるログインが行われた可能性があるとしています。
同社はセキュリティー強化のため11月6日午後4時にネットストアを一時停止し、MUJIアプリも会員証のバーコード表示以外の機能を停止していました。ITmedia NEWSによると、ネットストアの再開は延期され、必要な対策と確認を終えた後に再開時期を知らせるとしています。
良品計画は10月30日にもMUJIアプリへの不正アクセスによる会員情報の流出可能性を公表しています。朝日新聞によると、同社は今回のリスト型攻撃との関係について「回答を控える」としています。
対象となった情報
ITmedia NEWSの報道によると、流出した可能性がある情報は、メールアドレス、生年月日、氏名、住所、電話番号、購入履歴、ポイントなどです。同社は、対象情報を悪用した被害を発表時点で確認していないとしています。
同社は別途、MUJIアプリの事案で公表した最大約2726万件のうち、氏名・住所・電話番号を含む情報を約52万件から約75万件に改めました。また、2020年1月2日から2025年2月10日までに店舗やネットストアで受注した代金引換配送の受取先約44万件も流出した可能性があるとしています。これらとネットストアの約27万件との重複関係は明らかではありません。
原因
報道によると、第三者が外部で不正に入手した可能性のあるIDやパスワードを使い、機械的にログインを試みるリスト型攻撃を行ったとみられています。
追記（2026-11-12）
ITmedia NEWSによると、良品計画は2026年11月12日の会見で、MUJI Cardの番号を2021年7月まで顧客の識別に使用していたと説明しました。特典付与システムの変更に伴い番号の連携を終了した後も、それ以前に取得した番号の一部を削除せず、マスキングや暗号化をせずに保管していました。削除漏れが人為的なミスかシステム上の問題かは調査中です。
同社は、11月4日に外部からアクセスされた可能性を公表したMUJI Cardの番号全桁など約109万件について、アクセスにつながった攻撃はネットストアへのリスト型攻撃とは異なると説明しました。約109万件は2000年10月から2021年7月までにカードに入会した顧客が対象です。
日テレNEWSによると、良品計画は現在有効なカード約34万5000件の対象顧客が再発行を希望する場合、その手数料を負担します。それ以上の補償は1件ずつ確認して決めるとしています。11月6日から停止しているネットストアの再開時期は、11月12日時点で未定です。
対象情報
- メールアドレス流出のおそれ
メールアドレスが流出した可能性があります。
- 生年月日流出のおそれ
生年月日が流出した可能性があります。
- 氏名流出のおそれ
氏名が流出した可能性があります。
- 住所流出のおそれ
住所が流出した可能性があります。
- 電話番号流出のおそれ
電話番号が流出した可能性があります。
被害に遭われた方、心当たりのある方向けの対処法
利用者への案内
ITmedia NEWSの報道によると、対象者には11月10日から、良品計画とMUJI Card発行元のクレディセゾンがメールや郵送で順次連絡するとしています。
良品計画は利用者に、他社のサービスとは異なるパスワードを設定するよう呼び掛けています。ネットストアの再開時には全利用者にパスワードの再設定を求める方向で準備していると、11月9日時点で説明していました。
日テレNEWSによると、現在有効なMUJI Card約34万5000件の対象顧客が再発行を希望する場合、良品計画が手数料を負担します。それ以上の補償は1件ずつ確認して決めるとしています。
Aとした理由
ネットストアへのリスト型攻撃では、氏名などの本人情報と購入履歴が流出した可能性があり、通常の連絡先を超える情報が対象です。カード情報へのアクセスにつながった攻撃は別と説明されており、このリスト型攻撃の評価とは区別します。
評価基準 v4.1 ・ 評価日 2026-11-12
Aの評価基準金融・人事・具体的な生活や行動履歴の露出、一定規模以上の連絡先流出、又は代替対応を要する一部業務・サービスの停止。