MAKOSOYO Tech

ニュース

MUJI Cardの番号流出、2021年7月以前に入会して今も使っているなら再発行を考えたい。カードの更新を待っても番号は変わらない

良品計画への不正アクセスで、2000年10月〜2021年7月にMUJI Cardに入会した会員約109万件のカード番号全桁と生年月日に、第三者がアクセスした可能性がある。有効期限の更新ではカード番号が変わらないため、古くから使っているカードも今の番号が対象に入る。有効期限とセキュリティコードは含まれないが、番号だけでも不正利用の足がかりにはなる。自分が対象かの確かめ方、再発行する場合としない場合の違い、再発行で番号が変わったかの確認、本物のカード番号を添えた偽の連絡への備えを整理する。

この記事は2026年11月4日時点の情報をもとにしています。その後の状況の変化は原則として反映していません。

MUJI Card約109万件に不正アクセスの可能性　対象の確認方法と再発行の判断ポイント

無印良品を展開する良品計画は11月4日、10月30日に公表した「MUJIアプリ」への不正アクセスについて第二報を出した。クレディセゾンが発行するクレジットカード「MUJI Card」のカード番号全桁を含む会員情報約109万件にも、第三者がアクセスした可能性があるという。このうち約34.5万件は、いまも使えるカードだ。

クレディセゾンは、希望者にカードを再発行するとしている。ただし、再発行によってカード番号が変われば、公共料金やサブスクなどの登録をやり直す必要が生じる場合がある。

この記事では、自分が対象かをどう確かめるか、再発行したほうがよいのは誰か、再発行するときに何を確認するかを整理する。

先に結論

まずはMUJI Cardの入会年月日を確認する。 今回の対象範囲は、2000年10月〜2021年7月に入会した会員だ。2021年8月以降に発行されたMUJI Cardは対象外とされている。入会年月日は、セゾンのNetアンサーかセゾンPortalアプリの「お客様情報の確認・変更」で確かめられる。

古くから使っているカードは、現在の番号も対象になっている可能性がある。 セゾンカードは、有効期限が来て更新されても、通常はカード番号が変わらない。ただし、途中で紛失・盗難などによる番号変更をしている場合は、現在のカード番号まで対象かどうかをクレディセゾンに確認したい。

対象のカードを今も使っているなら、再発行を検討したい。 今回アクセスされた可能性がある情報にはカード番号の全桁と生年月日が含まれる一方、有効期限とセキュリティコードは含まれていない。それでも不正利用のリスクがなくなったわけではない。再発行する場合は、今回の情報流出を理由とした手続きでカード番号が変更されるか、申し込む前に確認しておきたい。

今のカードを使い続ける場合は、利用明細を定期的に確認する。 セゾンカードの通常の補償案内では、連絡した日を含めて61日前までの不正利用が補償対象とされている。ただし、補償には条件がある。不審な利用を見つけたら、月末を待たずにクレディセゾンへ連絡する。

すでに身に覚えのない利用がある場合は、再発行を検討する前にクレディセゾンへ連絡する。 カードの利用停止や不正利用の調査が必要になる場合がある。

本物のカード番号を書き添えた偽の連絡に気をつける。 良品計画もクレディセゾンも、メールや電話でカード番号やセキュリティコードを尋ねることはないとしている。

何が起きた？

10月29日午前1時ごろ、良品計画のシステムが不正アクセスを受けた。10月30日の第一報では、流出した可能性があるのはMUJIアプリ利用者のメールアドレス、生年月日、性別だけで、クレジットカード情報や氏名、住所は含まれないとしていた。

11月4日の第二報で、対象が次の3つに広がった。

対象 件数 アクセスされた可能性がある情報
MUJIアプリ・無印良品ネットストアの会員（退会者を含む） 最大約2,726万件 メールアドレス、生年月日、性別、会員ID。うち約52万件は氏名・住所・電話番号も
2000年10月〜2021年7月に入会したMUJI Card会員 約109万件（有効なカードは約34.5万件） カード番号の全桁、生年月日、MUJI Card ID。一部の人は氏名・住所・電話番号・性別・メールアドレスも
MUJIアプリやネットストアにクレジットカードを登録していた人の一部 約120件 カード番号の先頭6桁と末尾2桁、カード名義

MUJI Cardの番号は、2021年7月まで、カードの特典としてポイントを付けるためにクレディセゾンから良品計画へ渡されていたものだ。ポイントの仕組みを変えたあとも、良品計画のシステムに残っていた。

クレディセゾン自身のシステムへの不正アクセスは確認されていない。

良品計画によると、ダークウェブなどへの情報流出や、悪用された被害は確認されていない。クレディセゾンも、MUJI Cardの不正利用の増加は確認されていないとしている。

ただし、これは被害が起きないと確認されたという意味ではない。良品計画は、情報が実際に持ち出されたかどうかを含めて調査を続けている。

自分のMUJI Cardが対象か確かめる

良品計画かクレディセゾンから、対象者にメールか郵送で順次連絡が来る。良品計画が連絡先を把握していない会員には、クレディセゾンから連絡するという。

連絡を待たずに、自分で対象範囲に入るかを確かめることもできる。

セゾンPortalアプリかNetアンサーにログインし、メニューの「お客様情報の確認・変更」で入会年月日を見る。2000年10月〜2021年7月に入会していれば、今回発表された対象範囲に含まれる。

カードが新しくても、番号が新しいとは限らない

ここで見落としやすいのが、カードの更新だ。

セゾンカードのFAQによると、有効期限が来て新しいカードが届いても、通常はカード番号は変わらず、変わるのは有効期限とセキュリティコードだけだ。

たとえば2015年に入会し、2020年と2025年に有効期限の更新を受けたカードなら、券面のデザインや有効期限が新しくなっていても、カード番号は2015年から同じ可能性が高い。

「新しいカードだから関係ない」とは判断できない。

一方、入会後にカードを紛失したり、盗難に遭ったりして再発行した場合は、カード番号が変更されていることがある。

その場合、入会年月日は対象期間に入っていても、現在使っている番号が今回アクセスされた可能性のある番号と同じとは限らない。

入会時期が対象で、途中で番号を変更した覚えがある人は、現在のカード番号まで対象なのかをクレディセゾンに確認したい。

すでに解約したカードや、有効期限が切れて更新されなかったカードも、今回の約109万件に含まれる。

現在使えないカードであれば、その番号を使った通常の決済への対応は基本的に不要だ。ただし、生年月日や、一部の人は氏名・住所などもアクセスされた可能性があるため、偽の連絡には引き続き注意が必要になる。

カード番号だけで不正に使われるのか

今回の対象に、有効期限とセキュリティコードは含まれていない。

多くのネット通販では、カード番号に加えて有効期限などの入力が必要になるため、番号だけでは成立しない決済も多い。

ただし、すべての取引で同じ情報が求められるわけではない。カード番号だけが知られた場合でも、不正利用のリスクがなくなったとは言えない。

英ニューカッスル大学の研究チームは2016年、複数の決済サイトを使い分けることで、有効期限やセキュリティコードを推測する攻撃手法を報告している。

この研究では、サイトごとに入力失敗回数の制限が異なることなどを悪用し、カード情報を割り出せる可能性が示された。ただし、研究は約10年前のもので、現在の決済環境でも同じ方法が通用するとは限らない。

国内のネット通販では、不正利用への対策も進んでいる。

経済産業省が示す「クレジットカード・セキュリティガイドライン」は、2025年3月末までに、原則すべてのEC加盟店へ本人認証の仕組み「EMV 3-Dセキュア」の導入を求めた。

EMV 3-Dセキュアでは、カード会社が取引のリスクを判断し、必要に応じて追加の本人認証を行う。

ただし、すべての決済で認証画面が表示されるわけではない。電話・郵便での注文など、適用されない取引もある。海外のサイトも国内のガイドラインの対象ではない。

有効期限とセキュリティコードが漏れていないことは重要だが、それだけで安全と判断することはできない。

再発行するか、明細を見続けるか

対象のカードを今も使っている人は、再発行するか、今のカードを使い続けながら利用状況を確認するかを考えることになる。

比較項目 再発行する 今のカードを使い続ける
今回アクセスされた可能性のある番号 番号が変更されれば、旧番号を使った新たな決済を防ぐ対策になる 同じ番号を使い続ける
手間 公共料金・携帯・サブスク・ネット通販などの登録変更が必要になる場合がある 利用明細の確認を継続する
費用 通常の案内ではNetアンサー・セゾンPortalからの手続きは無料。電話は原則1,100円。今回の特別な扱いは要確認 再発行費用はかからない
待ち時間 新しいカードが届くまで時間がかかる場合がある なし
注意点 番号が変わる手続きか、申し込み前に確認する 不審な利用があれば速やかに連絡する

再発行を検討したい人

再発行を検討したいのは、今回の対象範囲に入るカードを今も使っていて、ネット通販などでも利用している人だ。

通常の有効期限更新ではカード番号は変わらない。現在の番号が今回アクセスされた可能性のある番号と同じなら、更新を待つだけではその状態は変わらない。

カード番号を変更できれば、今回知られた可能性のある旧番号を使った新たな不正利用を防ぐ対策になる。

ただし、再発行には、公共料金やサブスクなどの登録先を変更する手間がある。カード情報が自動更新される加盟店もあるが、すべてが対象ではない。

再発行の申し込み前に、毎月・毎年の支払い先を確認しておくとよい。

今のカードを使い続ける場合

公共料金やサブスクなど、多くの支払いをMUJI Cardにまとめている人は、すぐに再発行すると手続きが大変になるかもしれない。

その場合は、利用明細を確認しながら、支払い先を少しずつ別のカードへ移し、その後に再発行する方法も考えられる。

ただし、カードを使い続ける間は、不正利用の可能性が残る。

セゾンカードの通常の補償案内では、連絡した日を含めて61日前までさかのぼった不正利用が補償対象とされている。

これは、61日以内なら無条件で補償されるという意味ではない。会員規約に基づく条件や例外があり、状況によって補償されない場合もある。

また、61日より前の利用は通常の補償範囲から外れるおそれがある。

今のカードを使い続けるなら、少なくとも毎月、できればもっとこまめに明細を確認したい。

セゾンPortalアプリで利用明細を確認し、利用通知を設定できる場合は活用する。不審な利用を見つけたら、月末を待たずにクレディセゾンへ連絡する。

すでに身に覚えのない利用がある場合は、再発行の手続きを自分で進める前に、クレディセゾンへ相談する必要がある。

再発行するときに確かめること

申し込みはNetアンサーかセゾンPortalから

クレディセゾンは、再発行をNetアンサーかセゾンPortalアプリから受け付けている。電話でも受け付けているが、問い合わせが集中してつながりにくい場合があるとしている。

セゾンカードの通常の案内では、次の場合はNetアンサーで再発行の手続きができず、電話での対応になる。

  • 有効期限まで3か月以内のとき
  • 直近にNetアンサーで停止・再発行の手続きをしたとき
  • 身に覚えのない利用があるとき

今回の情報流出に伴う再発行で、通常と異なる取り扱いがあるかは、クレディセゾンの案内を確認したい。

申し込む前に、カード番号が変わるか確認する

今回、特に確認しておきたいのが、再発行によってカード番号が変更されるかどうかだ。

セゾンカードのFAQによると、再発行で番号が変わるかは理由によって違う。

紛失や盗難による再発行では番号の一部が変わるが、カードの破損や名義変更などによる再発行では番号が変わらない場合がある。

今回の情報流出を理由とした再発行で、カード番号が必ず変更されるかは、確認できた発表には明記されていない。

再発行を申し込む際は、今回の件を理由とした番号変更を希望していることを伝え、番号が変わる手続きなのか確認したい。

通常の有効期限更新では番号が変わらないため、更新を待つだけでは対策にならない。

新しいカードが届いたら、念のため旧カードと番号を見比べる。番号が変わっていなければ、クレディセゾンへ問い合わせる。

登録先の変更が必要になる場合がある

番号が変われば、公共料金、携帯電話、保険、サブスク、ネット通販など、カードを登録している支払い先の変更が必要になる場合がある。

クレディセゾンは、支払い先の登録が自動で新しいカード情報に切り替わる場合もあるが、条件によっては切り替わらないので、自分で確認してほしいとしている。

直近数か月の明細から、毎月や毎年引き落とされている支払い先を書き出しておくと、変更漏れを防ぎやすい。

無印良品側の登録は、ほとんどそのままでよい。

無印良品のFAQによると、再発行してもMUJI Card IDは変わらず、MUJIアプリとの連携もやり直さなくてよい。

ただし、ネットストアにクレジットカード番号を登録していた場合は、新しい番号に変更する必要がある。

本物のカード番号を書き添えた偽の連絡に気をつける

今回、カード番号と生年月日が組になって第三者にアクセスされた可能性がある。一部の人は、氏名・住所・電話番号まで含まれる。

ここからはこの記事での推測になる。

この組み合わせが攻撃者に知られていれば、「カード番号の末尾が実際の番号と一致する」「生年月日が合っている」といった、本物らしい偽メールや電話を作ることが考えられる。

たとえば、「不正利用の疑いがあるので、有効期限とセキュリティコードを確認させてほしい」といった連絡だ。

今回アクセスされた可能性がある情報に有効期限とセキュリティコードは含まれていないが、偽の連絡でそれらを聞き出されれば、さらに危険が高まる。

良品計画は、メールや電話でクレジットカード情報を尋ねることはないとしている。

クレディセゾンも、良品計画やクレディセゾンを装ってカード番号、暗証番号、セキュリティコードの入力を求める案内が届いても、リンク先に入力しないよう呼びかけている。

これから、本物のお詫びの連絡と偽物が同じ時期に届く可能性がある。

届いたメールのリンクや、電話で案内された番号には頼らず、自分で開いたセゾンPortalアプリやNetアンサー、公式サイトで確認する。

カード番号の一部や生年月日が合っているだけでは、本物の連絡とは判断できない。

MUJI Cardを持っていない人は

MUJI Cardを持っていなくても、MUJIアプリか無印良品ネットストアに登録したことがあれば、最大約2,726万件の対象に入っている可能性がある。退会した人も含まれる。

アクセスされた可能性があるのはメールアドレス、生年月日、性別、会員IDで、約52万件は氏名・住所・電話番号も含む。

この対象については、パスワードは流出した項目に挙がっていない。良品計画は、今回の件を理由とした一律のパスワード変更を求めていない。

ただし、偽の連絡には注意が必要だ。

無印良品を名乗るメールに自分の生年月日や氏名が書かれていても、それだけで本物とは判断しない。

また、今回の件とは別に、複数のサービスで同じパスワードを使い回している場合は、重要なサービスから異なるパスワードに変更しておきたい。

現時点で分からないこと

  • 今回の件で再発行したとき、番号が必ず変わるか。 クレディセゾンの確認できた発表には明記されていない。申し込み前に確認したい。
  • 電話で再発行したときの1,100円が免除されるか。 通常の案内では電話での再発行は原則1,100円かかる。今回の特別な扱いは確認できていない。
  • 侵入の経路と、情報が実際に持ち出されたか。 良品計画は原因と影響範囲を調査中としている。発表は「アクセスされた可能性」であり、持ち出しが確認されたとは書かれていない。
  • どの会員に氏名・住所・電話番号まで含まれるか。 MUJI Card会員のうち「一部」とされていて、件数や条件は示されていない。
  • 入会後にカード番号を変更した人の、現在の番号への影響。 対象期間内に入会していても、現在のカード番号が同じとは限らないため、個別に確認する必要がある。

出典

一次情報

その他

← 記事一覧へ