【2026年】MUJIアプリで最大2726万件の個人情報漏洩｜不正アクセスの手口と企業・利用者が今すぐやるべき対策

最終更新日：2026年10月31日

2026年10月30日、株式会社良品計画は公式アプリ「MUJIアプリ」への不正アクセスを発表しました。漏洩した可能性のある情報は最大約2,726万件にのぼり、退会済み会員のデータも含まれることが明らかになっています。

「自分のデータは大丈夫なのか」「何をすればいいのか」と不安を抱える方も多いはずです。この記事では以下の点を整理して解説します。

今回の漏洩インシデントの全容（何が・何件・なぜ漏れたのか）
MUJIアプリ利用者が今すぐ取るべき具体的な対策
不正アクセスの技術的な手口
企業の情報システム・セキュリティ担当者が参照すべきインシデント対応フローと法的義務

MUJIアプリ個人情報漏洩事案の概要【まず結論】

漏洩の可能性がある情報と件数

まず最も気になる「自分のどんな情報が漏れたのか」を整理します。

項目	内容
漏洩の可能性がある件数	最大約2,726万件
漏洩した可能性がある情報	メールアドレス・生年月日・性別
漏洩していない情報	クレジットカード番号・氏名・住所・電話番号
対象	現会員＋退会済み会員
発表日	2026年10月30日

重要なのは、クレジットカード情報や氏名・住所・電話番号は漏洩していないという点です。直接的な金銭被害が発生するリスクは比較的低いと言えますが、メールアドレスと生年月日の組み合わせは、フィッシング詐欺やアカウント乗っ取りに悪用される恐れがあります。油断は禁物です。

なぜ今回の事案が注目されているのか

本件が大きな注目を集めている背景には、いくつかの要因があります。

まず、発表のタイミングが「無印良品週間」の開催中だったことです。多くの利用者がアプリを積極的に使用するタイミングに重なったことで、SNSでの拡散が加速しました。はてなブックマークには242件を超えるブックマークが集まるなど、ユーザーの関心の高さが窺えます。

また、2026年は国内で不正アクセスによる個人情報漏洩事案が連続して発生しており、業界全体の構造的な課題として受け止められていることも背景の一つです。

良品計画の現在の対応状況

良品計画は、対象となる利用者へ順次連絡することをアナウンスしています。現時点では二次被害の確認は公表されていませんが、調査は継続中です。

なお、公式発表以外の情報（「補償手続きはこちら」「お詫びクーポン」などを謳うメールやSNS投稿）は詐欺の可能性があります。必ず良品計画の公式サイトや公式アプリからの通知で確認するようにしてください。

MUJIアプリ利用者が今すぐやるべき3つの対策

技術的な解説の前に、利用者が今すぐ取れる具体的な行動をお伝えします。

①パスワードの使い回しを今すぐやめる

今回の漏洩でメールアドレスが流出したということは、攻撃者があなたのメールアドレスを把握したということです。もし他のサービスでMUJIアプリと同じパスワードを使い回している場合、クレデンシャルスタッフィング攻撃（後述）によってそれらのアカウントも乗っ取られるリスクがあります。

対応の優先順位として、以下のサービスから順にパスワードを変更することをお勧めします。

銀行・証券・決済サービス（最優先）
メインのメールアカウント
ECサイト・フリマアプリ（クレカ情報が登録されているもの）
SNSアカウント

パスワード管理には、1Password・Bitwarden・Apple キーチェーンなどのパスワードマネージャーの活用をお勧めします。サービスごとに異なるランダムな強力パスワードを自動生成・管理できるため、使い回しのリスクをゼロにできます。

②多要素認証（MFA）を有効化する

メールアドレスと生年月日の組み合わせは、本人確認の「合言葉」として悪用される可能性があります。多要素認証（MFA） を設定しておけば、パスワードが漏洩した場合でもアカウントを守れる可能性が格段に高まります。

特に以下のサービスは優先して設定してください。

決済・銀行アプリ
メインのメールアカウント（Gmail、iCloudなど）
主要なSNSアカウント

認証アプリ（Google Authenticator、Authyなど）を使ったTOTP方式が、SMSよりもセキュリティ強度が高くお勧めです。

③「なりすましメール」「フィッシング」を徹底的に警戒する

個人情報漏洩事故の直後は、漏洩した情報を使った巧妙なフィッシングメールが急増します。「無印良品」「良品計画」「MUJIアプリ」などの名前を使った偽メールが届く可能性があります。

以下のような文面が届いた場合は、絶対にリンクをクリックしないでください。

「個人情報漏洩に関するお詫びクーポン（〇〇円分）はこちら」
「補償手続きのため、本人確認が必要です」
「パスワードリセットが必要です。今すぐ確認してください」

正規の企業が漏洩直後にクーポンや補償手続きをメールのリンクから誘導することはほとんどありません。不審に感じたら、メールのリンクは踏まず、公式サイトに直接アクセスするのが鉄則です。

退会したのに自分のデータが残っていた問題

今回の漏洩対象に退会済み会員が含まれている点も、多くの利用者が驚いた部分でしょう。「退会=データ削除」ではないというのが、現実のサービス運用における課題です。

多くのサービスでは、法令上の保存義務や不正利用の調査目的などから、退会後も一定期間データを保持しています。利用者側の対抗手段として、個人情報保護法に基づく開示請求・削除請求という制度が存在します。良品計画の個人情報窓口に問い合わせることで手続きを進めることが可能です。

不正アクセスの手口を解説｜消費者向けアプリが狙われる理由

注目される「A2B攻撃（App-to-Backend攻撃）」とは

2026年にNICTが特定した**A2B攻撃（App-to-Backend攻撃）**は、消費者向けモバイルアプリへの攻撃手法として近年注目されています。本件の攻撃手口が確定しているわけではありませんが、この種の攻撃の仕組みを理解しておくことは重要です。

攻撃の流れは以下の通りです。

公開されているAndroid/iOSアプリをリバースエンジニアリングして解析する
アプリのコード内に埋め込まれたAPIエンドポイントや認証キーを抽出する
アプリのUIからは通常呼び出せない内部APIを直接呼び出す
認証の回避や権限昇格によって、本来アクセスできないデータベースに到達する

「アプリが公開されている」ということは、攻撃者もアプリを入手できるということです。クライアント側のセキュリティチェックだけに依存した設計は、リバースエンジニアリングによって簡単に突破されます。

クレデンシャルスタッフィング（パスワードリスト攻撃）

他社で過去に漏洩したID・パスワードの組み合わせリストを使い、複数のサービスへの不正ログインを試みる攻撃です。パスワードを使い回しているユーザーが多ければ多いほど、攻撃者にとっての「命中率」が上がります。

大量のログイン試行を検知しにくい理由として、攻撃者が複数のIPアドレスを分散利用し、試行間隔を人間のログインに似せて調整する手法が挙げられます。適切なレート制限と異常ログイン検知がなければ、気づかないうちに突破されるリスクがあります。

その他の主な攻撃手口

攻撃手法	概要
SQLインジェクション	Webアプリの入力処理の脆弱性を突き、DBに直接クエリを送り込む
ブルートフォース攻撃	管理画面やAPIにレート制限がない場合、総当たりでパスワードを突破
既知脆弱性の悪用	未パッチのミドルウェアやフレームワークの脆弱性を使った侵入

大規模漏洩になりやすい構造的な理由

消費者向けアプリで大規模漏洩が起きやすい背景には、技術的な構造要因があります。

会員データベースの一元管理：全会員の情報が単一のシステムに集中しているため、一度侵入されると大量取得が可能になる
退会者データの長期保持：今回のように退会者分も蓄積されることで件数が膨らむ
APIが「正規の通信」として扱われる：人間が操作するWebブラウザと違い、APIへの自動化されたアクセスは異常検知のしきい値を超えにくい

情報漏洩が起きたときのインシデント対応フロー【企業担当者向け】

対応フロー全体像

[検知] → [封じ込め] → [報告] → [通知] → [再発防止]
   ↓          ↓           ↓         ↓          ↓
 ログ監視   アクセス遮断   速報      本人通知   原因分析
 外部通報   証拠保全      3〜5日以内 遅滞なく   恒久対策
           影響範囲特定   確報30日   問合窓口   体制見直し
           PWリセット     以内       設置

フェーズ1：検知と初動（最初の24時間）

インシデントの検知経路は、自社の監視ツール、外部からの指摘、あるいは攻撃者自身からの連絡（脅迫を含む）など様々です。

初動で絶対にやってはいけないことは、「サービスを早く復旧させたい」という焦りから証拠となるログを削除・上書きしてしまうことです。フォレンジック調査や法的対応のために、ログは必ず保全してください。

また、初動判断の責任者（インシデントオーナー）と連絡体制を平時から決めておくことが、対応速度を左右します。

フェーズ2：封じ込めと影響範囲の特定

不正アクセス経路の特定と遮断
APIキー・シークレット・セッショントークンのローテーション
影響を受けた可能性のあるアカウントの強制パスワードリセット
「件数が確定しない」段階での暫定公表の判断

特に最後の点は難しい判断です。完全な調査を待ってから発表しようとすると、公表が遅れてユーザーや規制当局からの信頼を損ないます。実務的には**「判明している事実」と「調査中の事項」を明確に分けた暫定公表**が推奨されます。

フェーズ3：個人情報保護委員会への報告（速報・確報）

報告種別	タイミング
速報	発覚から3〜5日以内
確報	発覚から30日以内（不正アクセス起因は60日以内）

社内の承認プロセスがボトルネックとなって速報が遅れるケースが後を絶ちません。緊急時の承認ルートを事前に設計しておくことが重要です。

フェーズ4：本人通知と外部コミュニケーション

本人への通知は「遅滞なく」が原則です。ただし、今回のように漏洩した情報がメールアドレスである場合、そのメールアドレス宛に通知を送ること自体のリスクも考慮が必要です。

プレスリリース・問い合わせ窓口・FAQ・SNS公式アカウントでの発信は同時に整備することが理想です。「分かっていないこと」を明示する誠実な開示姿勢が、長期的な信頼維持につながります。

フェーズ5：再発防止と信頼回復

技術的対策（脆弱性の修正、監視強化）
ガバナンス面の是正（体制・プロセス・教育）
第三者調査報告書の公開が、ステークホルダーからの評価を大きく左右します

情報漏洩時の通知義務と法的リスク【2026年最新】

改正個人情報保護法（2022年施行）による報告・通知義務

2022年施行の改正個人情報保護法により、不正アクセスに起因する情報漏洩は要配慮情報でなくても報告義務の対象となりました。今回のケース（メールアドレス・生年月日・性別）も報告義務が発生します。

違反した場合の制裁は、行政指導→勧告→命令→罰則（法人に対して1億円以下の罰金など）という段階を踏みます。

サイバー対処能力強化法（2026年10月施行）のインパクト

2026年10月に施行されたサイバー対処能力強化法は、基幹インフラ事業者に対して新たな報告義務と能動的サイバー防御措置を課すものです。流通・小売業が直接の対象となるかは業種によって異なりますが、「自社は対象外」と判断する前に法令の対象範囲を専門家と確認することが重要です。

法令遵守だけでは足りない｜レピュテーションリスク

法的義務を果たしていても、公表の遅れや情報の小出し開示は炎上を招きます。SNS時代において、ユーザーが「隠している」と感じた瞬間に信頼は急落します。

実際の被害として、集団訴訟リスク・損害賠償請求・会員の大量離脱が発生したケースが国内でも複数あります。「なぜ漏れたのか」「何をするのか」を明確に伝える危機コミュニケーションが、法令対応と並んで重要です。

消費者向けアプリのセキュリティ対策チェックリスト【企業側】

API・バックエンド側の対策

APIゲートウェイでのレート制限・WAF導入
サーバーサイドでの権限チェック徹底（クライアント側の検証に依存しない）
異常なアクセスパターン（大量試行・深夜の集中アクセス）の検知とアラート設計

モバイルアプリ側の対策

APIキー・シークレットのアプリコードへの埋め込み禁止（環境変数・シークレットマネージャーの活用）
コードの難読化・改ざん検知・ルート化端末の検出
リリース前のリバースエンジニアリング耐性チェック

認証・アカウント保護

多要素認証（MFA）の実装
パスワードリスト攻撃対策（ログイン試行のレート制限、漏洩済みパスワードとの照合）
ログイン通知・不審アクセスの可視化機能

データ保持ポリシーの見直し（退会者データ問題）

「持たないデータは漏れない」というのはセキュリティの大原則です。

退会者データの匿名化・削除スケジュールの策定
データ保持期間の根拠を法令・業務要件から文書化する
不要なデータカラムを収集しない設計の見直し

継続的な検証

定期的なペネトレーションテスト・脆弱性診断の実施
脆弱性報告窓口（VDP：Vulnerability Disclosure Program）の整備
インシデント対応訓練の定期実施（机上演習・実動訓練）

よくある質問（FAQ）

MUJIアプリを使っていたら必ず漏洩しているの？

今回の件数は「最大約2,726万件の可能性」であり、すべての登録者の情報が確実に漏洩したとは断定されていません。良品計画から個別に連絡が来た場合は、その通知に従って対応してください。

クレジットカード情報は漏れていないの？

良品計画の公式発表によれば、クレジットカード番号・氏名・住所・電話番号は漏洩していないとされています。ただし公式発表の更新に注意し、引き続き情報を確認してください。

退会済みなのに対象になるのはなぜ？

多くのサービスでは、法令上の保存義務や不正利用調査などの目的で、退会後も一定期間データを保持しています。退会後すぐにデータが削除されるわけではないというのが現状です。

良品計画から連絡が来ない場合はどうすればいい？

通知は「順次」送られるため、すべての方に即時連絡が届くわけではありません。良品計画の公式サイトに掲載されている問い合わせ窓口に直接確認することも可能です。

パスワードは変更すべき？

MUJIアプリのパスワード自体は今回の漏洩項目に含まれていませんが、他のサービスでMUJIアプリと同じパスワードを使い回している場合は、変更を強くお勧めします。

補償や損害賠償は受けられる？

現時点で良品計画から補償に関する正式な発表はありません。過去の類似事例では、対応の誠実さが評価を左右しています。今後の公式発表を注視してください。「補償手続き」を装うフィッシングメールには絶対に応じないようにしてください。

まとめ｜「漏れた後」ではなく「漏れる前」に備える

今回のMUJIアプリ個人情報漏洩事案のポイントを整理します。

利用者がやるべき3点：

パスワードの使い回しを解消する（パスワードマネージャー活用）
主要サービスにMFAを設定する
フィッシング・なりすましメールを警戒する

企業の情報システム担当者が準備すべき4点：

APIとバックエンドの防御（レート制限・WAF・権限チェックの徹底）
シークレット管理（アプリコードへのキー埋め込み禁止）
データ保持ポリシーの見直し（持たないデータは漏れない）
インシデント対応フローの事前整備（誰が何をするか平時に決めておく）

2026年は国内での不正アクセス事案が連続しています。「うちのサービスは大丈夫」という思い込みが最大のリスクです。技術的な対策と組織的な対応力の両輪で、今日から備えを始めてください。

参考情報源

Internet Watch「無印良品『MUJIアプリ』個人情報漏えい、最大2726万件の可能性」
ITmedia NEWS「不正アクセスで最大2726万件の会員情報漏えいか」
IPA「不正アクセスによる漏えい等の事案を踏まえた対策」（2026年10月）
JPCERT/CC「国内組織における不正アクセスに関する注意喚起」
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
サイバー対処能力強化法（2026年10月施行）関連資料