当サイトでは11月5日の記事で、MUJI Cardのカード番号が連携の終了後も残っていたことを、「手放す設計」の問題として整理しました。本記事は、その補足です。クレディセゾンの11月4日の発表をもとに、対象になりうる方が確かめることや、すでに解約したカードの扱いなど、先の記事では触れきれなかった点を、追加情報としてまとめます。
目次▼先の記事の続きとして▼まず、自分が対象かどうかを確かめる▼対象だった場合にすること▼すでに使っていないカードの場合▼MUJI Cardの会員でなくても、確かめたいこと▼発表から確かめられたこと、まだ見えないこと
関連記事 / 編集部後記 / 参考リンク / 用語解説 / 参考記事
2026年10月29日午前1時ごろ、良品計画のシステムに第三者が不正アクセスした。過去にクレディセゾンから良品計画へ連携していたMUJI Cardのカード番号も対象の可能性があると判明し、クレディセゾンは11月4日に公表した。対象は2000年10月から2021年7月までに入会した会員で、約109万件。現在利用できるカードが約34.5万件、解約や有効期限切れなどで利用できないカードが約74.5万件である。流出した可能性があるのは全桁のカード番号、生年月日、MUJI Card IDで、一部の会員では氏名、住所、電話番号、性別、メールアドレスも含まれる。MUJI Cardの情報にカード名義、有効期限、セキュリティコードは含まれない。カード番号と生年月日はポイント付与のため連携していた情報で、現在は連携していない。クレディセゾンのシステムへの不正アクセスは確認されていない。
From: 
MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び（クレディセゾン）
【編集部解説】
先の記事の続きとして
先の記事では、第一報から第二報で対象がどう広がったか、連携の終了後も全桁のカード番号が残っていた点、そして改正割賦販売法や個人情報保護法第22条といった制度の面を整理しました。件数の内訳も、そちらに詳しく書いています。
ここでは、そこで触れきれなかったこと、つまり、対象になりうる人が今日から何を確かめられるか、そして発表のどこが書かれていないかに絞ります。
まず、自分が対象かどうかを確かめる
基準は入会の時期です。2000年10月から2021年7月までに入会した会員が対象で、2021年8月以降に発行されたカードは対象外とされています。
入会年月日は、セゾンPortalまたはNetアンサーの「メニュー」から「お客様情報の確認・変更」で確認できます。対象の会員には、良品計画またはクレディセゾンからメールか郵送で順次連絡があるとされています。良品計画が連絡先を把握していない会員には、クレディセゾンが連絡します。
解約済みで、これらにログインできない人がどう確かめるのかは、クレディセゾンの発表に書かれていません。確認できなかった点です。電話窓口（0120-227-190）は、12月26日まで毎日10時から17時、2027年1月4日からは月曜から土曜の受付です。お問い合わせフォームも用意されています。
対象だった場合にすること
クレディセゾンが会員に求めているのは、次の二つです。利用明細を確認し、心当たりのない利用があれば問い合わせること。不審なメール、SMS、電話に注意し、会社を装ってカード番号、暗証番号、セキュリティコードなどの入力を求める案内には、カード情報を入力しないことです。
先の記事が書いたとおり、氏名や生年月日を正しく言い当てられると、人は相手を信じやすくなります。今回の情報には全桁のカード番号と生年月日が含まれる可能性があるので、連絡の中でそれらが「正しく言い当てられている」ことは、本物であることの根拠になりません。ここから一歩進めて、確かめ方を書きます。不審な連絡に書かれたリンクや番号ではなく、カードの裏面や公式サイトにある窓口から、自分で確かめるのが安全です。これは発表の文言ではなく、編集部の見方です。漏れた情報別の対処は、当サイトの手引きにも整理しています。
再発行は、希望者が行えます。NetアンサーまたはセゾンPortalから手続きし、届くまでには時間がかかります。再発行の手数料と、再発行でカード番号が変わるかどうかは、クレディセゾンの発表に記載がありません。手続きの前に窓口で確かめたい点です。
再発行をすべきかどうかについて、発表は「希望者」としか言っていません。有効期限とセキュリティコードが含まれていないことは一つの手がかりですが、それだけで悪用を防げるとは、私たちには言い切れません。利用中のカードで、支払いの登録先が多い人ほど、手続きの重さと不安の釣り合いを自分で測ることになります。
すでに使っていないカードの場合
対象約109万件のうち、約74.5万件は現在利用できないカードです。利用できないカードの番号が悪用されうるのか、クレディセゾンの発表は述べていません。確認できなかった点です。
ただ、氏名や住所、メールアドレスが含まれる会員もいます。カードが使えなくても、なりすましの連絡の材料にはなりえます。不審な連絡への注意は、カードが生きているかどうかにかかわらず必要です。
MUJI Cardの会員でなくても、確かめたいこと
良品計画は11月4日の第二報で、10月30日の第一報にあった「クレジットカード情報は含まれない」という前提を改めました。MUJIアプリを使っていないネットストア会員、一部の方の氏名・住所・電話番号、アプリやネットストアで登録したクレジットカード情報の一部も、対象に加わっています。件数の内訳は、先の記事に詳しく書いています。
良品計画は、対象の方にメールか郵送で順次連絡するとしています。メールや電話でカード情報を尋ねることはない、とも書いています。連絡が来る前に届くメールは、本物かどうかを自分で判断せず、公式サイトから確かめるのが無難です。
発表から確かめられたこと、まだ見えないこと
連携の目的と現状は、クレディセゾンの発表で確かめられます。カード番号と生年月日は、ポイント付与のため、2000年10月から2021年7月までクレディセゾンから良品計画へ連携していた情報で、現在はカード番号の連携を行っていない、という説明です。良品計画の第二報も、2021年7月以前は「当社独自の特典を付与するために」カード番号、MUJI Card ID、生年月日を取得していたとしています。
連携が2021年7月までだったとすると、その後も5年以上、全桁の番号が残っていたことになります。先の記事も、この点を指摘しています。一方で、なぜ残ったのか、いつまで残す想定だったのかは、二社の発表のどちらにも書かれていません。原因と影響範囲は調査中とされています。制度の面からこの問題をどう読むかは、先の記事をご覧ください。
【関連記事】
- 無印良品の情報流出、連携終了後も残ったカード番号109万件が問う『手放す設計』
- 情報が漏れたかもしれないときの手引き｜漏れた情報別にできること
- 外務省・日本交通・無印良品などの不正アクセス、10月28〜31日の公表を整理
- サイバーセキュリティ速報一覧（毎日更新）
- サイバーセキュリティ用語集｜ニュースと公表文に出てくる135語
【編集部後記】
先の記事では、使い終えたデータを手放す設計を考えました。一方で、通知を受け取った一人ひとりには、設計の話とは別に、今日どうするかという現実があります。入会年月日を調べ、明細を開き、届いたメールを疑う。小さな動作ですが、確かめる方法が示されているのは、解約した人にまでは及んでいません。契約を終えたあとの情報について、私たちは企業に何を求めてよいのでしょうか。
【参考リンク】
【用語解説】
- MUJI Card：クレディセゾンが発行する、無印良品のクレジットカード。今回の対象は2000年10月から2021年7月までの入会者。
- MUJI Card ID：良品計画の説明では、無印良品のメンバーを識別するID（無印良品メンバーのID）。カード番号や生年月日とともに、今回の対象に含まれる可能性がある。
- カード番号（全桁）・有効期限・セキュリティコード：カード番号、有効期限、セキュリティコード（券面にある確認用の数字）は、ネットでの支払いなどで組み合わせて使われる。今回、MUJI Cardでは全桁の番号が対象の可能性があり、有効期限とセキュリティコードは含まれないとされる。暗証番号とは別の情報。
- なりすましメール（フィッシング）：実在の会社を装い、リンク先でカード情報などを入力させるメールやSMS。メールアドレスや生年月日が漏れると、本物らしい文面を作られやすい。詳しくは当サイトの用語集を参照。
