良品計画「MUJIアプリ」への不正アクセス（最大約2,726万件の顧客情報流出のおそれ）
公表日
良品計画は公式アプリ「MUJIアプリ」が外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、退会者を含む最大約2,726万件の顧客情報（メールアドレス、生年月日、性別）が流出した可能性があると発表しました。
対象者は？
「MUJIアプリ」を利用したことがある顧客（退会した利用者を含む）のメールアドレス、生年月日、性別。なお、クレジットカード情報、氏名、住所、電話番号は含まれていません。
良品計画は情報漏洩の可能性がある対象顧客へ順次連絡を進めるとしています。公式発表や個別の案内をご確認ください。
いますぐできること
- 無印良品などを装った不審なメールやSMSが届いても、記載されたリンク（URL）を安易に開かない。
- 不審なメールから誘導されたウェブサイトで、パスワードやクレジットカード番号などの個人情報を入力しない。
- 無印良品ネットストアやアプリを利用する際は、メール内のリンクではなく、公式アプリや事前に登録したブックマークから直接アクセスする。
何が起きたのか
2026年10月30日、良品計画は公式アプリ「MUJIアプリ」に対する外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知したと発表しました。これにより、同社が保有する顧客情報の一部が外部に流出した可能性があることが判明しました。流出した可能性があるのはメールアドレス、生年月日、性別の3項目で、退会した利用者の情報を含め最大約2,726万件に上ります。クレジットカード情報や氏名、住所、電話番号は含まれていないと説明されています。同社は検知後直ちに該当箇所へのアクセスを遮断し修正を実施しており、アプリやネットストアは通常どおり利用できる状態となっています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われた具体的な侵入経路や日時、どのような技術的脆弱性が狙われたのかといった詳細な原因については、発表時点でまだ明らかにされていません。
いまの状況2026-10-30 時点続報待ち
公表時点で、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。等への情報流出や流出情報を悪用した被害は確認されていません。良品計画は対象となる顧客への順次連絡を進めるとともに、今後外部への流出が確定した場合には速やかに公表するとしています。また、開発会社や関係会社と連携してセキュリティ対策と監視体制の強化を進めています。
企業として考えたいこと
自社のサービスにおいて、過去に退会したユーザーの個人情報が必要な保管期限を過ぎてもデータベースに残されたままになっていないでしょうか。
技術的な要約
良品計画は2026年10月30日、公式アプリ「MUJIアプリ」が外部からの不正アクセスを受け、保有する顧客情報が外部に流出した可能性があると発表した。流出した可能性があるのはメールアドレス、生年月日、性別の3項目で、退会した利用者を含め最大約2,726万件に上るが、クレジットカード情報や氏名、住所、電話番号は含まれないとしている。同社は不正アクセスを検知した後に該当箇所へのアクセス遮断と修正を適用しており、公表時点でダークウェブ等への流出や悪用被害は確認されていない。公式アプリや無印良品ネットストアは通常どおり稼働を継続している。良品計画は対象顧客への順次連絡を進めるとともになりすましメールへの注意を呼びかけ、開発会社等と連携してセキュリティ体制の強化を図るとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表では具体的な侵入経路、発生日時、技術的な手口は明らかにされていない。外部からの不正アクセスを検知した後に該当箇所のアクセス遮断と修正適用を行ったことのみが公表されている。
- 脆弱性
- CVE 非公表不明具体的な製品名やCVE番号は非公表。該当箇所へのアクセス遮断および修正が適用されたことのみ公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公表時点で「MUJIアプリ」および「無印良品ネットストア」は通常どおり・正常に利用可能な状態を維持している。
- データ
- おそれ上限 27,260,000確定 —件メール生年月日性別退会した利用者の情報を含み最大約2,726万件。流出した可能性がある項目はメールアドレス、生年月日、性別の3項目。クレジットカード情報、氏名、住所、電話番号は含まれない。流出が確定した件数ではない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 公式アプリ「MUJIアプリ」に対する外部からの不正アクセス。今後の対策として開発会社や関係会社の協力を得る方針が示されているが、委託先経由での侵害等とは公表されていない。
時系列
- 2026-10-30
- 2026-10-30 14:10
- 2026-10-30
- 2026-10-30
- 2026-10-30
- 2026-10-30
- 2026-10-30
- 2026-10-30
技術解説
公表された不正アクセスの概要と対象データの範囲 事実
良品計画の発表によると、公式アプリ「MUJIアプリ」が外部からの不正アクセスを受け、同社が保有する顧客情報の一部が外部に流出した可能性があることが2026年10月30日に公表された。対象件数は退会済みの利用者の情報を含み最大約2,726万件に上る。流出した可能性がある項目はメールアドレス、生年月日、性別の3項目であり、クレジットカード情報や氏名、住所、電話番号は含まれないとしている。同社は外部からの不正アクセスを検知後、該当箇所へのアクセス遮断および修正の適用を実施した。発表時点において、ダークウェブ等への情報流出や当該情報を悪用した被害は確認されておらず、「MUJIアプリ」および「無印良品ネットストア」は通常どおり稼働を継続している。また、不正アクセスを検知した日時や具体的な侵入経路、技術的な手口は発表資料では明らかにされていない。
流出対象データの性質と二次被害リスクの検討 解釈
流出した可能性があるデータはメールアドレス、生年月日、性別の3項目に限定されており、クレジットカード情報や氏名、住所、電話番号などの機微な決済・識別情報は含まれていない。このため、決済不正利用などの直接的な金銭被害に直結する可能性は低いと考えられる。しかし、メールアドレスが利用者の基本属性と結びついた形で流出した場合、無印良品や実在のECサービスを装った標的型フィッシングメール（なりすましメール）の送信に悪用される恐れがある。攻撃者が顧客属性に合わせて巧妙な文面を作成し、偽のログイン画面等へ誘導してパスワードや決済情報を詐取しようとする手口が想定されるため、良品計画も不審なメールのリンクを開かないよう注意喚起を行っている。
退会者情報のデータ保持とアプリ基盤のセキュリティ課題 解釈
今回の事案において注目される点の一つは、対象となる最大約2,726万件の中に「退会した利用者の情報」が含まれていることである。利用者がサービスを退会した後も属性情報が長期間削除されずに保持されていた場合、不正アクセスが発生した際の潜在的な被害件数や影響範囲を拡大させる一因となり得る。不要となった個人データの適切な消去やマスキングなど、データライフサイクル管理の徹底が求められる。また、侵入の具体的な手口は公表されていないものの、検知後に該当箇所へのアクセス遮断と修正を適用していることから、アプリが利用する外部公開APIや通信経路における認可不備、またはWebサーバーの既知の脆弱性などが突かれた可能性が推察される。
対応
- 封じ込め
- 外部からの不正アクセス検知後、直ちに該当箇所へのアクセス遮断を実施し、修正を適用した。
- 公表の仕方
- 2026年10月30日にプレスリリースを通じて顧客情報流出の可能性を公表した。情報漏洩の可能性がある対象顧客へ順次連絡を進める方針を示し、なりすましメールへの注意喚起を行ったほか、外部流出が確認された場合は速やかに公表するとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 退会済みユーザーを含む不要な個人情報のライフサイクル管理と最小化 | 利用規約や法令上の保管義務期間を経過した退会者データについて、自動的に削除または不可逆なハッシュ化・匿名化を行うバッチ処理を導入し、DB内に保持する個人データの総量を最小限に留める。 |
| 公開アプリおよびバックエンドAPIにおける不正リクエストの検知と遮断 | モバイルアプリが連携するバックエンドAPIにおいてオブジェクトレベルの認可チェック（BOLA/IDOR対策）を徹底し、WAFやAPIゲートウェイにより短時間に大量のデータ取得を試みる不審なアクセスを自動検知・遮断するルールを適用する。 |
| 属性情報流出に伴うフィッシング・なりすましメールへの迅速な対策と警戒喚起 | メールアドレスが外部に流出した可能性がある場合、正規ドメインのなりすましを防ぐためにDMARCポリシー（p=rejectまたはquarantine）の運用を徹底するとともに、公式通知でフィッシングメールの手口や正しいURLの確認手順を速やかに利用者に案内する。 |
| 開発委託先や関係会社との迅速なインシデント初動体制の確立 | 不正アクセス検知時に影響範囲の特定や緊急パッチ適用、特定エンドポイントの遮断が即座に実行できるよう、開発ベンダーとの間で緊急対応フローおよびSLAをあらかじめ締結しておく。 |
自組織などでの確認項目
- 自社のサービスやアプリにおいて、退会済みユーザーの個人情報が必要な保管期間を超えてデータベースやバックアップに残存していないか。
- 公開しているAPIやアプリ用サーバーに対して、大量のデータ参照や異常なパラメータ呼び出しを試みるアクセスを即座に検知・遮断できる仕組みがあるか。
- 顧客のメールアドレスや属性情報が流出した疑いが生じた際、速やかになりすましメールへの注意喚起を行い、正規ドメインの偽装を防ぐDMARC設定等が完了しているか。
未解明点
- 外部からの不正アクセスに悪用された侵入経路や脆弱性（公開APIの認可不備、サーバーの欠陥、認証情報の悪用等）の具体的な技術的手口と原因。
- 不正アクセスが発生・継続していた具体的な期間、および最大約2,726万件のうち実際に外部へ流出したことが確定したデータ件数。
出典
- 1株式会社アクト2026-10-30研究者本文確認済
- 2共同通信報道本文確認済
- 3共同通信2026-10-30報道本文確認済
- 4FASHIONSNAP2026-10-30報道本文確認済
- 5NOVAIST2026-10-30報道本文確認済
- 6株式会社良品計画2026-10-30T14:10:00+09:00公式本文確認済
- 7セキュリティ対策Lab2026-10-30報道本文確認済
- 8中日新聞Web2026-10-30報道本文確認済
- 9京都新聞2026-10-30報道本文確認済
- 10日本経済新聞2026-10-30報道本文確認済
- 11オリコンニュース2026-10-30報道本文確認済
- 12東京新聞デジタル2026-10-30報道本文確認済
- 13株式会社良品計画2026-10-30公式本文確認済