株式会社良品計画（MUJIアプリ）のサイバー攻撃被害｜無印良品の公式アプリ「MUJIアプリ」で外部からの不正なアクセスを検知、メールアドレス・生年月日・性別が流出した可能性があり、対象は退会者を含む最大約2,726万件

AI要約・精査

要約

精査

AI要約

AI精査

ChatGPTによるAI精査

GeminiによるAI精査

速報サイバー攻撃の被害事例最終更新 2026年11月2日

株式会社良品計画（MUJIアプリ）無印良品の公式アプリ「MUJIアプリ」で外部からの不正なアクセスを検知、メールアドレス・生年月日・性別が流出した可能性があり、対象は退会者を含む最大約2,726万件

不正アクセス

状況対応中（不正なアクセスの遮断と修正は実施済み、対象のお客さまへ順次連絡）

被害発生日2026年10月30日

企業名株式会社良品計画

この事例の要点

無印良品を展開する株式会社良品計画は、公式アプリ「MUJIアプリ」でお客さま情報の一部が外部に流出した可能性があると発表しました。流出した可能性があるのはメールアドレス、生年月日、性別の3項目で、対象件数は退会したお客さまの情報を含めて最大約2,726万件です。クレジットカード情報、氏名、住所、電話番号等の情報は含まれません。同社は外部からの不正なアクセスを検知し、該当箇所へのアクセスの遮断と修正の適用を行いました。現時点でダークウェブ等への流出や悪用の被害は確認されていないものの、今後「なりすましメール」が発生する可能性があるとして注意を呼びかけています。MUJIアプリと無印良品ネットストアは正常に利用できます。

分かっていること・まだ公表されていないこと

分かっていること

対象サービス：無印良品の公式アプリ「MUJIアプリ」
外部に流出した可能性がある情報：メールアドレス、生年月日、性別
対象件数：最大約2,726万件（退会されたお客さまの情報を含む）
クレジットカード情報、氏名、住所、電話番号等の情報は含まれない
外部からの不正なアクセスを検知し、該当箇所へのアクセスの遮断と修正の適用を行った
現時点で、ダークウェブ等への当該お客さま情報の流出、および当該情報を悪用した被害は確認されていない
今後、当該情報を悪用した「なりすましメール」が発生する可能性があるとして、不審なメールに記載されたURLのクリックや個人情報の入力をしないよう呼びかけている
情報が漏洩した可能性のあるお客さまへ順次連絡する。外部への情報流出が確認された場合は、速やかにプレスリリース等で知らせる
MUJIアプリと無印良品ネットストアは正常に利用できる
開発会社・関係会社の協力のもと、セキュリティ対策と監視体制のさらなる強化を実施するとしている
お問い合わせ先：株式会社良品計画お客様相談室（フリーダイヤル 0120-64-0772、受付時間は月〜土の9:30〜17:00、日曜および年末年始を除く）

まだ公表されていないこと

不正アクセスが起きた時期と、同社が検知した日時
不正アクセスの手口と、遮断・修正を行った「該当箇所」の内容
外部への流出が実際にあったのかどうか（公表時点では「流出した可能性」）
最大約2,726万件のうち、退会したお客さまの件数
対象のお客さまへの連絡が完了する時期
セキュリティ対策と監視体制の強化の具体的な中身

事例の概要

企業名	株式会社良品計画
被害発生日	2026年10月30日
被害の内容	無印良品を展開する株式会社良品計画は2026年10月30日、公式アプリ「MUJIアプリ」において、同社が保有するお客さま情報の一部が外部に流出した可能性があることを確認したと発表した。流出した可能性がある情報はメールアドレス、生年月日、性別で、対象件数は最大約2,726万件（退会したお客さまの情報を含む）。外部からの不正なアクセスを検知し、該当箇所へのアクセスの遮断と修正の適用を行った
出典	株式会社良品計画「無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について」（2026年10月30日）

対策に向けたガーディアンの見解

1メールアドレスと生年月日がそろう場合の、なりすましメールに備える

同社は、今回の情報を悪用した「なりすましメール」が発生する可能性があるとして、記載されたURLをクリックしないよう呼びかけています。メールアドレスに生年月日や性別が加わると、誕生日の特典や会員向けの案内を装った文面を作りやすくなり、受け取った人は本物と見分けにくくなるものです。顧客へメールを送る企業は、送信ドメイン認証のSPF・DKIM・DMARCを設定し、自社の名前をかたるメールが届きにくい状態にしておくとよいでしょう。あわせて、公式メールの送信元アドレスや、メールで個人情報の入力を求めないことを平時から案内しておけば、万一の際の注意喚起も顧客に伝わりやすくなります。

2アプリに保存している項目と、退会者の情報を棚卸しする

今回の対象には退会したお客さまの情報が含まれる一方で、クレジットカード情報、氏名、住所、電話番号等の情報は含まれないと説明されています。このように、漏えいの影響の大きさは、どの項目をどの範囲の顧客について持っていたかで決まります。自社のアプリやWebサービスが機能ごとにどの項目をどのサーバーへ保存しているのかを一覧にし、使っていない項目は持たない、退会から一定の期間を過ぎた情報は消す、といったルールを定めておくことが大切です。件数の多いシステムから順に見直せば、限られた工数でも影響を受ける人数を効率よく減らせます。

3アプリの開発会社と、検知から修正までの分担を決めておく

同社は不正なアクセスを検知して遮断と修正を行い、今後は開発会社・関係会社の協力のもとで監視体制の強化を進めるとしています。アプリの開発や保守を外部に任せている企業の場合、異常の通知を誰が受け取るのか、アクセスの遮断を誰の判断で行うのか、修正をどれくらいの時間で適用するのかを保守契約の中で決めておく必要があります。連絡先の一覧を用意し、年に一度は連絡の流れを実際に試しておくと安心です。夜間や休日に異常が見つかった場合でも、初動を遅らせずに動けるようになるはずです。

企業がするべきセキュリティ対策については

サプライチェーン攻撃の起点は中小企業にある

ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。

対策の解説を読む

お勤め先のホームページは大丈夫ですか？守りの基本を無料で確かめられます

セキュリティ対策を相談する

大企業の情報システム・調達のご担当者取引先のセキュリティを診断で確かめる中小企業の経営者・ご担当者自社のホームページの守りを無料で確かめる

SOLUTION

GUARDIANの
サイバーセキュリティ
対策サービス

SCAN DOG ライト版

まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。

SCSC Dog

診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。

SCAN DOG 正規版

WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。

最新の動き