【解説】MUJIアプリで最大2726万件流出か
退会者の情報も対象、保持データを点検
良品計画は2026年10月30日、無印良品の公式アプリ「MUJIアプリ」に外部から不正なアクセスがあり、お客さま情報の一部が外部に流出した可能性があると発表しました。対象は最大で約2,726万件で、すでに退会したお客さまの情報も含まれるとしています。大手の自社アプリでも起こりうること、そして「退会者のデータ」が被害の規模を押し上げることを示した事案で、会員情報を持つすべてのEC事業者にとって自社の点検材料になります。
何が変わる？
発表で明らかになっている事実は次のとおりです。原因や侵入の経路、発覚した日時は公表されていません。
- 対象：MUJIアプリのお客さま情報、最大約2,726万件（退会したお客さまの情報を含む）
- 流出の可能性がある情報：メールアドレス、生年月日、性別
- 含まれない情報：クレジットカード情報、氏名、住所、電話番号など
- 被害の状況：発表時点で、ダークウェブへの掲載や情報の悪用は確認されていない
- 会社の対応：不正なアクセスの経路を遮断して修正済み。対象のお客さまには順次連絡し、開発・関係パートナーとともにセキュリティと監視体制を強化する。アプリとネットストアは通常どおり利用できる
- 利用者への呼びかけ：なりすましメールに注意し、不審なメールのURLを開いたり個人情報を入力したりしないよう求めている
LOTでは、10月に入ってからも配送会社や通販サイトでの大規模な流出を取り上げてきました（花キューピットの会員ID流出の解説）。今回は「アプリ」と「退会者の情報」という2つの点で、自社に置き換えて考えやすい事案です。
EC事業者への影響
1. 同じブランドを名乗るメールが届きやすくなる
メールアドレスと生年月日・性別がそろうと、「誕生日クーポン」「会員特典」などを装った、もっともらしいメールが作れてしまいます。流出した会社だけでなく、似た商品を扱う他のショップの名前が使われることもありえます。お客さまから「このメールは本物か」という問い合わせが来たときに、すぐ答えられる準備があると安心です。
2. 退会者のデータは「持っているだけでリスク」
今回の件数には退会者の分が含まれていました。多くのカートやCRMでは、会員が退会しても注文履歴とともに個人情報が残る設定になっていることがあります。売上や税務のために残すべき記録はありますが、メールアドレスや生年月日まで退会後もずっと持ち続ける必要があるかは、一度見直す価値があります。
3. 会員データはカートの外にもある
公式アプリ、LINEのミニアプリ、ポイント・会員証ツール、メール配信やCRMのサービスなど、カート本体とは別の場所に会員情報のコピーが置かれていることは珍しくありません。Shopifyでもアプリ経由で顧客データが外部サービスに渡りますし、自社運用のカートでも連携ツールごとに保管場所が増えます。どこに何件あるかを把握していないと、万一のときに範囲を答えられません。
4. 「おそれ」の段階でも報告・通知が必要になりうる
個人情報保護法では、不正アクセスによる漏えいは、実際に流出したと確定する前の「おそれ」の段階でも、個人情報保護委員会への報告と本人への通知が必要になる場合があります。今回の発表も「可能性」の段階で行われています。安全管理の目安は見直しが進んでいるところです（安全管理措置の改正案の解説）。
今やるべきこと
- カート・アプリ・CRM・メール配信・ポイントツールなど、会員情報が置かれている場所と件数を一覧にする（委託先・連携アプリも含めて）
- 退会した会員の情報がどこに、どこまで残っているかを確認し、不要な項目（メールアドレス・生年月日など）の削除や保持期間をプライバシーポリシーと合わせて決める
- 「当店はメールのリンクからパスワードやカード番号の入力をお願いすることはありません」といった案内を、サイトのお知らせやよくある質問に載せておく
- なりすましメールについての問い合わせ用に、答え方の文面と社内の連絡先を用意する
- 管理画面や連携ツールの管理者アカウントを見直し、使っていないアカウントの削除と多要素認証の設定を済ませる
