無印良品の第四報の件数表で、約27万件の行には、ほかの行にない注記が付いています。不正ログインに使われたIDとパスワードは、良品計画以外から手に入れられたものだ、という一文です。同じ「流出の可能性」でも、この行だけは、利用者の側の習慣で結果が分かれたかもしれません。
良品計画は2026年11月9日、MUJIアプリとネットストアの利用者情報流出に関する第四報を公表した。ネットストアで、外部で不正に入手された可能性のあるパスワード等を使う「リスト型攻撃」が行われ、本人以外による不正ログインの可能性が判明した。購入履歴やポイントまで見られた可能性があるのは約27万件。2020年1月2日から2025年2月10日に代金引換の受取先となった約44万件の氏名と郵便番号も対象に加わり、氏名・住所・電話番号を含む件数は約75万件に改められた。11月6日16時から停止しているネットストアの再開は延期され、再開時には全利用者にパスワードの再設定を求める方向だ。
From: 
無印良品の公式アプリ「MUJI アプリ」におけるお客さま情報流出の可能性について（第四報）｜株式会社良品計画
【編集部解説】
11月5日の記事では、連携を終えた後も残っていたMUJI Cardの番号を取り上げました。その後の1週間で、ネットストアが止まり、再開が延期され、理由として「リスト型攻撃」という言葉が出てきました。
性格の違う出来事を分けて読む
第四報の件数表には、性格の違う出来事が並んでいます。1つは、10月30日の第一報から公表されてきた、良品計画のシステムへの不正アクセスです。メールアドレスなど最大約2,726万件、MUJI Cardの番号約109万件が、こちらに当たります。第四報では、代金引換の受取先約44万件への不正アクセスも新たに確認されました。この44万件がどの経路によるものかは、示されていません。
もう1つが、今回明らかになったネットストアへのリスト型攻撃です。購入履歴とポイントまで見られた可能性がある約27万件について、表には「当社以外からID（メールアドレス）、パスワードを入手し、当社ネットストアへ不正ログインしたことによる事象」と注記されています。ここで使われたパスワードは、無印良品の外で手に入れられたものだと、良品計画は説明しています。
この違いは、利用者がとれる行動を分けます。事業者のシステムへの不正アクセスは、利用者の側では防ぎようがありません。リスト型攻撃は、ほかのサービスと同じパスワードを使っていると、そこで漏れた組み合わせを転用される危険が高まる攻撃です。利用者の習慣が、守りの一部になります。
守りを破らず、ログイン画面から入ってくる
リスト型攻撃は、別のサービスから流出したIDとパスワードの組を、ほかのサイトのログイン画面で次々に試していく手口です。英語ではクレデンシャルスタッフィングと呼ばれます。攻撃者はサイトの守りを破るのではなく、入手した組み合わせでログインを試みます。IDとパスワードが一致し、追加の認証や検知で止められなければ、不正ログインにつながります。サイトの側から見ると、本人のログインと見分けにくい攻撃です。
TBSの報道によると、11月12日の会見では、林知果執行役員が、広い範囲のIPアドレスから長い期間をかけて低速で攻撃を受けたため、検知が難しかったと説明しました。1つの接続元から短い時間に大量のログイン失敗があれば、仕組みで止められます。接続元を散らし、速度を落とされると、ふだんのログインの流れに紛れ、検知が難しくなる場合があります。会員制のサイトを持つ事業者の多くが、同じ難しさと向き合っています。
再開時は全員にパスワード再設定を求める方向
ネットストアは11月6日16時から止まっており、11月13日時点で再開の時期は示されていません。店舗は通常どおり営業していて、MUJIアプリは会員証のバーコード表示だけが使える状態です。良品計画は、ネットストアの再開時に、利用者全員にパスワードの再設定を求める方向で準備していると発表しています。あわせて、他社のサービスとは異なるパスワードを設定するよう呼びかけています。
利用者がほかのサービスと異なる新しいパスワードに変えれば、このネットストアでは、変更前の組み合わせを使ったログインを防げます。利用者には手間がかかりますが、変更した人の分については、攻撃者の手元にある組み合わせがここでは通用しなくなります。ただし、再設定でほかのサービスと同じパスワードを選べば、その効果は薄れます。
ネットストアの会員でなくても、同じメールアドレスとパスワードを複数のサービスで使っているなら、見直すきっかけにできます。パスワード管理ツールを使ってサービスごとに別のパスワードにすること、二段階認証を使えるサービスでは有効にしておくことが、リスト型攻撃への基本の備えです。
無印良品で買い物をしていない人も対象に
今回新たに加わった代金引換の受取先は、2020年1月2日から2025年2月10日までに店舗とネットストアで受けた注文が対象で、配送先の氏名と郵便番号が含まれます。依頼主の情報は含まれていません。
受取先は、注文した本人とは限りません。贈り物を受け取っただけで、自分では会員になっていない人もいるはずです。良品計画は、連絡先を持っていない受取先については、今回の発表をもって個別の連絡に代えるとしています。本人あての連絡が届かないまま、対象になっている人がいるということです。
氏名と郵便番号だけでは、直接の金銭被害には結びつきにくい情報です。ただ、本物らしく見せた偽の連絡には使われ得ます。良品計画は、メールや電話、SMSでパスワードやクレジットカード番号を尋ねることはないと明記しています。無印良品を名乗る連絡を受けたら、連絡の中のリンクや電話番号は使わず、自分で公式サイトを開き、掲載された案内や問い合わせ先から確かめてください。
MUJI Cardの対象会員にはメールまたは郵送で個別に連絡
MUJI Cardについては、2021年7月までに入会した会員が対象です。良品計画は、11月10日から同社とクレディセゾンがメールまたは郵送で順次連絡すると案内しています。カードを発行するクレディセゾンは、希望する会員のカード再発行を手数料無料で受け付けています。自分が対象かどうかの確かめ方と、再発行の判断は、11月6日の記事にまとめています。
持たない設計と、使い回さない習慣
清水智社長は会見で、必要のない情報を持たない仕組みづくりを進めていると述べました。前回の記事で書いた「手放す設計」と同じ方向です。
この1週間の出来事は、守る側が2つあることを示しています。事業者が持つデータを減らせば、侵入されたときに失われるものが減ります。利用者がサービスごとに異なるパスワードを使えば、どこか別の場所で漏れた組み合わせが転用される連鎖を断ちやすくなります。ネットストアの再開は、良品計画の対策が形になる場であると同時に、私たちが自分のパスワードを見直す機会にもなります。
【関連記事】
無印良品の情報流出、連携終了後も残ったカード番号109万件が問う「手放す設計」
無印良品の第一報と第二報を扱った記事。連携を終えた後も残っていたMUJI Cardの番号約109万件の問題を読み解いた。
無印良品のMUJI Card、自分は対象？確かめ方と再発行の判断
MUJI Cardの会員に向けた記事。自分が対象かどうかの確かめ方と、カードを再発行するかどうかの判断の材料をまとめた。
ニトリに不正アクセス、最大3,762万件の個人情報が流出の可能性 パスワードとカードは対象外
ニトリへの不正アクセスを扱った記事。最大3,762万件の個人情報が流出した可能性があり、パスワードとカードは対象外とされた。
巨大パスワードリーク「RockYou2024」がセキュリティ警鐘を鳴らす
約100億個のパスワードを集めた「RockYou2024」の記事。使い回しが招くクレデンシャルスタッフィングの危険に触れた。
【編集部後記】
関西テレビの会見の記事には、「この時代仕方ない」という街の声が見出しに並んでいました。これだけ大きな流出が続けば、そう感じるのも無理はありません。
ただ、リスト型攻撃は、利用者が自分で連鎖を断ちやすい攻撃です。サービスごとに違うパスワードを使っていれば、どこかで漏れた組み合わせは、ほかの扉を開けにくくなります。ネットストアが再開して新しいパスワードを決めるときは、ほかのどのサービスとも違うものを選んでおきたいところです。
【用語解説】
リスト型攻撃
別のサービスから流出したIDとパスワードの組を、ほかのサイトのログイン画面で次々に試す攻撃である。英語ではクレデンシャルスタッフィングと呼ぶ。複数のサービスで同じパスワードを使い回していると、1か所の流出がほかのサービスでの不正ログインにつながるおそれがある。
IPアドレス
インターネットにつながる機器に割り当てられる番号である。通信の接続元を見分ける手がかりになる。攻撃者が接続元を多数のIPアドレスに分散させると、接続元ごとのログイン回数の制限では止めにくくなる。
二段階認証
パスワードに加えて、スマートフォンに届く確認コードなど別の手段でも本人であることを確かめる仕組みである。パスワードが知られても、それだけではログインできない。
パスワード管理ツール
サービスごとに異なる長いパスワードを作り、保存し、入力する道具である。覚える必要がないため、使い回しを避けやすくなる。
代金引換
荷物の受け取りと引き換えに、配達員に代金を支払う配送方法である。注文した人と受取先が別の人になることがある。
【参考リンク】
株式会社良品計画「MUJI アプリ」お客さま情報流出の可能性について（第四報）（外部）
良品計画の第四報。ネットストアへのリスト型攻撃による不正ログインの可能性と、再開の延期、それぞれの対象件数の更新を公表した。
株式会社良品計画「無印良品ネットストアの一時停止について」（外部）
良品計画の第三報。11月6日16時からネットストアを止め、MUJIアプリは会員証のバーコード表示だけを使える状態にした。
株式会社クレディセゾン「MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び」（外部）
クレディセゾンのお知らせ。対象は2000年10月から2021年7月の入会者で、希望する会員のカード再発行は手数料無料とした。
総務省「安全なパスワードの設定・管理」（外部）
総務省「国民のためのサイバーセキュリティサイト」の解説ページ。安全なパスワードの作り方と、その管理のしかたを示している。
【参考記事】
無印良品ネットストア、再開延期 リスト型攻撃を確認（外部）
Impress Watchの記事。第四報を受けて、ネットストアの再開時に全利用者へパスワードの再設定を求める方向だと伝えた。
無印良品を襲う「リスト型攻撃」 流出済みのID・パスワードで次々とログイン試み… やりがちな“使い回し”が標的に サイト再開のめど立たず（外部）
TBS NEWS DIGの記事。広い範囲のIPアドレスから長い期間をかけた攻撃で、検知が難しかったという会見での説明を伝えた。
良品計画が不正アクセス巡り会見、破棄すべき情報の流出可能性などを謝罪（外部）
日経クロステックの記事。11月12日の会見で清水社長が3つの点について謝罪したと伝え、これまでの公表の経緯を整理している。
良品計画の清水智社長ら謝罪 削除すべきクレジットカード番号109万件をマスキングせず放置（外部）
WWDJAPANの記事。カード番号が全桁のまま残っていた経緯と、11月12日の会見での経営陣の説明を、くわしく伝えている。
「この時代仕方ない」「”無印”も情報漏えいしてたんだ」街の声も諦めムード 最大2726万件流出の可能性…「無印良品」展開の社長が会見で謝罪 「リスト型攻撃」で新たに約27万件の流出可能性…どんな攻撃？（外部）
関西テレビの記事。11月12日の会見での社長の謝罪と、リスト型攻撃とはどんな攻撃か、街の受け止めを、あわせて伝えている。
