良品計画は2026年10月30日、公式アプリ「MUJIアプリ」の顧客情報が外部に流出した可能性があると発表。対象はメールアドレス・生年月日・性別の3項目で、退会者を含む最大約2,726万件。氏名や住所、カード情報は含まれない。対応状況と利用者が取るべき注意を整理した
2,726万件。日本の人口の2割を超える数字が、買い物アプリひとつから出てきた。もっとも、出た可能性があるのはメールアドレスと生年月日と性別の3点セットで、名前も住所も付いていない。名簿としては不完全だが、詐欺メールの宛先リストとしては十分すぎる量である。数字の大きさに目を奪われると、本当に見るべき「何が出たか」を見誤る。今回はその典型だ。
※個人の感想です
株式会社良品計画は2026年10月30日14時10分、「無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について」と題するプレスリリースを発表しました。
同社によると、MUJIアプリにおいて、同社が保有する顧客情報の一部が外部に流出した可能性があることを確認した、ということです。現時点で外部に流出した可能性がある情報は、次の3項目です。
対象件数は最大で約2,726万件で、すでに退会した利用者の情報も含まれます。これは「流出した可能性がある件数の上限」であり、実際に外部へ渡ったことが確認された件数ではありません。同社は、クレジットカード情報、氏名、住所、電話番号等の情報は含まれない、と明記しています。
同社は、外部からの不正なアクセスを検知し、該当箇所へのアクセスの遮断および修正の適用を行った、としています。現時点では、ダークウェブ等への当該顧客情報の流出、および当該情報を悪用した被害は確認されていないということです。
今後の対応として、情報が漏えいした可能性のある顧客へ順次連絡すること、外部への情報流出が確認された場合には速やかにプレスリリース等で知らせること、個人情報保護に関わる法令に則り適切な措置を取ることを挙げています。また、開発会社・関係会社の協力のもと、セキュリティ対策と監視体制のさらなる強化を実施するとしています。
なお、MUJIアプリと無印良品ネットストアは、現在も正常に利用できる状態だとしています。松屋フーズのようにサービス自体が止まっている事案とは違い、買い物そのものへの影響は出ていません。
問い合わせ先は、株式会社良品計画お客様相談室（フリーダイヤル0120-64-0772、受付時間は月〜土の9時30分〜17時、日曜および年末年始を除く）です。
同社は「お客さまへのお願い」として、今後、当該情報を悪用した「なりすましメール」が発生する可能性があるとしています。不審なメールを受信した場合は、記載されたURLをクリックしたり、個人情報を入力したりしないよう注意を呼びかけています。
今回の対象には生年月日が含まれています。無印良品を名乗るメールに、自分の生年月日や性別を知っているかのような文面が添えられていても、それだけで本物とは限りません。セールやポイントの案内を装ったメールが来ても、メール内のリンクからはログインせず、公式アプリや公式サイトを自分で開いて確認する習慣が有効です。
また、対象には退会した利用者の情報も含まれます。すでにアプリを使っていない人も、過去に登録したメールアドレス宛ての不審なメールには注意が必要です。
対象件数と項目が示されたことで、利用者側の疑問はおおむね次の3つに集約されます。発表内容から読み取れる範囲で整理します。
Q. 退会したのに、なぜ自分の情報が対象になるのですか
同社は、対象件数に「退会されたお客さまの情報」を含むと明記しています。退会の手続きをした後も、同社の側に登録時の情報が残っていたということです。そのため、現在アプリを使っていない人、退会した人も、登録していたメールアドレス宛ての連絡や不審なメールには注意が必要です。
Q. パスワードの変更は必要ですか
今回の発表で流出した可能性があるとされたのは、メールアドレス・生年月日・性別の3項目で、パスワードは含まれていません。同社もパスワード変更を求める案内は出していません。ただし、生年月日は他のサービスで本人確認の材料に使われることがあります。無印良品を名乗る連絡で生年月日やその他の個人情報を尋ねられても、答えないことが大切です。
Q. 店舗での買い物やネットストアにも影響はありますか
同社は、MUJIアプリと無印良品ネットストアは正常に利用できるとしています。発表はMUJIアプリで保有する顧客情報に関するもので、店舗の営業やネットストアの利用自体が止まるという内容ではありません。
報道によると、この発表は会員向けセール「無印良品週間」の開催期間中に行われました。利用者がアプリを開く機会が多い時期と重なったことで、発表に触れる利用者は平時より多かったとみられます。一方で、発表では不正アクセスを検知した日時や侵入の経緯は示されておらず、原因の説明は今後の続報待ちです。
IT Postでは、今回の件は「2,726万件」という数字だけで評価すべきではないと考えます。出た可能性があるのは3項目で、氏名や住所、決済情報は含まれません。1件あたりの情報の密度は、同じ日に発表された松屋フーズの事案（届け先住所や電話番号を含む）より明確に低い。だからといって無害という話でもありません。メールアドレスと生年月日の組み合わせは、なりすましメールやアカウントの手がかりとして使い回せる材料です。
評価できるのは、発表が「可能性」の段階で、対象項目と含まれない項目、上限の件数と退会者の扱いまでを一度に示した点です。利用者が「自分に関係があるか」「何を警戒すればいいか」を、その場で判断できる形になっています。残る疑問は、検知の経緯と時期、そして実際に外へ渡ったのかどうかの確定です。2,726万件という上限だけが独り歩きしないよう、次の発表で範囲を狭めてもらいたいところです。
※個人の感想です
同社は、対象者への順次連絡と、外部流出が確認された場合の追加公表を予定しています。次の確認点は、不正アクセスの検知日時と侵入経路の説明、実際に対象となる利用者の範囲の確定、そして再発防止策の具体化です。
IT Postでは、続報が公表された場合は本記事を更新します。
「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。
松屋フーズホールディングスは2026年10月30日、公式アプリの管理システムへの不正アクセスで個人情報の漏えいを確認したと適時開示で発表。松弁ネット等の利用者情報2,377,127件とアプリ登録者情報2,000件が対象で、届け先住所や暗号化されたパスワードが含まれる。経緯と利用者が取るべき対応を整理した
個人情報保護委員会は2026年10月28日、2026年4月から10月16日までに報告された不正アクセスによる漏えい等が延べ約2億6,000万人分、報告2,094件だったと公表した。10月は半月で830件と急増。延べ人数の読み方の注意点と、政府が10月30日に開設したサイバー対応特設サイトを整理した
ヤクルト本社は2026年10月30日、公式サイトへの不正アクセスで個人情報約4万件の漏えいを確認したと第2報で発表。問い合わせフォームの利用者、給食サイト「たのしい給食」の会員、報道関係者、対応した社員の4区分が対象で、件数と対象期間は調査中。経緯と利用者が取るべき対応を整理した
株式会社ワールドは2026年10月30日、連結子会社のティンパンアレイの業務サーバーへの不正アクセスで、会員情報 延べ約120万件が流出した可能性があると適時開示で発表。氏名・住所・電話番号・生年月日などが対象で、対象会員と件数の詳細は確認中。侵入は10月17日、検知は10月28日だった。経緯と未確認事項を整理した
ローソンが2026年10月8日に発表した「ローソンID」「ローソンアプリ予約」への不正アクセス。215万5,345件という規模と、発生から公表までの経緯を整理する
株式会社ミスターマックスはアプリ・オンラインストアの会員情報の一部流出を確認。最大173万5154人は可能性の対象上限だ。流出していないと確認した項目、公表対応、通知と注意点を整理する
Bing検索からのクリック数にもとづく（集計期間: 2026年9月26日〜2026年10月23日）
