ニュース｜社会・くらし
無印良品の不正アクセスで何が漏れた？MUJIアプリ2726万件と対策
無印良品を展開する良品計画は2026年10月30日、公式アプリ「MUJIアプリ」への外部からの不正なアクセスで、お客さま情報が最大約2,726万件流出した可能性があると発表しました。退会した人の情報も含みます。同じ日には牛丼の松屋フーズHDも公式アプリの情報漏えいを発表しています。2社の発表を表で比べ、2026年の大型漏えいの中での規模、個人情報保護委員会の最新集計、利用者が今やることを整理しました。
この記事の結論
- 流出した可能性があるのはメールアドレス・生年月日・性別の3項目です。良品計画は、クレジットカード情報・氏名・住所・電話番号などは含まれないとしています。パスワードは発表の項目に入っていません。
- 件数は最大約2,726万件で、退会者の情報を含みます。「流出が確定した件数」ではなく「流出した可能性がある最大の件数」です。10月30日時点で、ダークウェブなどへの流出や悪用の被害は確認されていないとしています。
- 当ブログが各社の発表で確認した2026年の大型漏えいと並べると、3番目の規模です。同じ日に発表された松屋（237万7,127件＋会員2,000件）とは、対象のアプリも漏れた項目も違い、両社の発表には共通の委託先や同じ攻撃をうかがわせる記載はありません。
- 利用者がまずやることは、無印良品や良品計画を名乗るメールのURLを開かないことです。良品計画は、対象の人には順次連絡するとしています。
MUJIアプリの不正アクセスで何が漏れた？良品計画の発表
良品計画が10月30日に出した発表の中身を、項目ごとにまとめました。発表文は「流出した可能性がある」という書き方で、流出が確定したとはしていません。
| 項目 | 良品計画の発表（10月30日時点） |
|---|---|
| 対象のアプリ | 無印良品の公式アプリ「MUJIアプリ」 |
| 流出の可能性がある情報 | メールアドレス、生年月日、性別 |
| 含まれない情報 | クレジットカード情報、氏名、住所、電話番号など |
| 件数 | 最大 約2,726万件（退会したお客さまの情報を含む） |
| 原因・対応 | 外部からの不正なアクセスを検知し、該当箇所へのアクセスの遮断と修正の適用を行った。詳しい原因や経緯は書かれていない |
| いつ気づいたか | 発表文に日付の記載なし |
| 二次被害 | ダークウェブなどへの流出、情報を悪用した被害は「現時点では確認されていない」 |
| 利用者への連絡 | 流出した可能性のある人に順次連絡。外部への流出が確認されたら、プレスリリースなどで知らせる |
| サービス | MUJIアプリと無印良品ネットストアは正常に利用できる |
| 問い合わせ | 良品計画 お客様相談室 0120-64-0772（月〜土 9時30分〜17時、日曜と年末年始を除く） |
発表は良品計画の公式サイトの「無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について」で読めます。INTERNET Watch（10月30日15時22分）も、原因や経緯などの詳細は明らかにされていないと伝えています。
「最大約2,726万件」は人数ではありません
2,726万件は「件」で、退会した人の情報も含む最大の数です。同じ人が何件分にあたるのか、実際に外へ出たのが何件なのかは、10月30日時点の発表からは分かりません。良品計画は、外部への流出が確認された場合は改めて知らせるとしています。
松屋の不正アクセスと同じ？2社の発表を比べる
10月30日は、松屋フーズHD（牛丼の松屋）も公式アプリの管理システムへの不正アクセスで個人情報が漏えいしたと発表しました。報道では無印良品と並べて伝えられていますが、両社の発表を並べると中身はかなり違います。
| 項目 | 良品計画（MUJIアプリ） | 松屋フーズHD（松屋公式アプリ） |
|---|---|---|
| 狙われた場所 | MUJIアプリ（詳しい場所は非公表） | 松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システム |
| 判明した日 | 記載なし | 10月28日（水） |
| 発表 | 10月30日 | 10月30日 |
| 件数 | 最大約2,726万件（流出の可能性） | 2,377,127件（注文サービスの利用者）＋2,000件（最大3,000件、アプリ会員）。漏えいが判明 |
| 漏れた項目 | メールアドレス・生年月日・性別 | 利用者：会員ID・お届け先住所・氏名・電話番号・松屋ポイント／会員：会員ID・都道府県・氏名・電話番号・生年月日・メールアドレス・暗号化されたパスワード・松屋ポイント |
| カード情報 | 含まれない | 会社で保持していない |
| 原因 | 外部からの不正なアクセス（詳細は書かれていない） | 第三者による不正アクセス。原因と経緯は調査中 |
| アプリ | 通常どおり使える | 停止中。停止期間の補償を予定（11月・12月の会員ランクを1つ上げるなど） |
| 個人情報保護委員会 | 発表文に記載なし（「個人情報保護に関わる法令に則り、適切な措置」） | 報告など必要な対応を進めている |
いちばん大きな違いは漏れた項目です。松屋は注文サービスの利用者237万7,127件で住所・氏名・電話番号が漏れており、名前入りの偽の電話やSMS、郵便物にも注意が要ります。無印良品は名前や住所は含まれない一方、件数が10倍以上あります。
同じ委託先・同じ攻撃なのか
10月30日時点で、良品計画・松屋フーズHDのどちらの発表にも、共通の委託先や同じ攻撃者によるものだと示す記載はありません。良品計画は「開発会社・関係会社のご協力のもと」対策を強化するとしていますが、開発会社の名前は出していません。両社の件は、現時点では別々の事案として発表されていると見るのが妥当です。
松屋の発表は「松屋公式アプリ管理システムに対する第三者からの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」、補償の内容は「サービス停止に関するお詫びと今後の対応について」で確認できます。
2026年の大型情報漏えいの中でどのくらい？件数で比較
当ブログがSo-netの記事（10月27日時点）でまとめた2026年の大型漏えいの表に、今回の2件を加えて件数順に並べ直しました。MUJIアプリの最大約2,726万件は、佐川急便・ユミルリンクに次ぐ3番目、松屋の237万7,127件は14番目です。
| 順 | 会社（サービス） | 件数 | 公表日 |
|---|---|---|---|
| 1 | 佐川急便（お荷物問い合わせサービス） | 最大約5,323万件重複を含む件数 | 10月23日 |
| 2 | ユミルリンク（メール配信Cuenote） | 51,628,280件延べ件数 | 10月26日 |
| 3 | 良品計画（MUJIアプリ） | 最大約2,726万件退会者を含む・流出の可能性 | 10月30日 |
| 4 | Helpfeel（画像共有「Gyazo」） | 約2,362万件ユーザーのデータ件数 | 9月 |
| 5 | Eストアー（ショップサーブ） | 約2,336万人重複を除いた人数 | 10月16日 |
| 6 | アドベンチャー（skyticket） | 約1,464万件客の件数 | 10月9日 |
| 7 | KDDI（ISP事業者向けメール） | 12,231,954名メールアドレスの漏えい人数 | 7月6日 |
| 8 | 物語コーポレーション（焼肉きんぐアプリ） | 10,788,963件アプリ登録の件数 | 10月5日 |
| 9 | 第一興商（委託先） | 約872万4,000件重複を除いた件数 | 10月8日 |
| 10 | ムラウチドットコム | 7,716,811件対象者の件数 | 9月15日 |
| 11 | パーク24（タイムズカー） | 約660万件アカウント数 | 9月28日 |
| 12 | ブックオフグループ | 最大約643万件会員番号の件数 | 10月9日 |
| 13 | So-net（plala（Sコース）を含む） | 2,585,481件2区分の合計 | 10月27日 |
| 14 | 松屋フーズHD（松屋公式アプリ） | 2,377,127件注文サービス利用者（別に会員2,000件） | 10月30日 |
各社の発表の数字。「件」「人」「延べ」など数え方が会社ごとに違うため、順位は目安です。公表日は件数が出た発表の日付（2026年）。当ブログが確認できた範囲で、ほかにも大きな事案がある可能性があります。
発覚から公表までの日数
気づいてから公表するまでの日数も、発表文に日付がある会社だけ並べました。良品計画は発表文に検知した日を書いていないため、計算できません。
| 会社 | 判明・発覚 | 公表 | 日数 |
|---|---|---|---|
| 松屋フーズHD | 10月28日 | 10月30日 | 2日 |
| 良品計画 | 非公表 | 10月30日 | 不明 |
| 佐川急便 | 9月30日 | 9月30日 | 0日 |
| ユミルリンク | 10月16日 | 10月19日 | 3日 |
| So-net | 10月23日 | 10月27日 | 4日 |
| KDDI | 6月17日 | 6月23日 | 6日 |
不正アクセスの漏えい報告は10月に急増、延べ2.6億人
個人情報保護委員会は10月28日の第374回委員会で、不正アクセスによる漏えい等の報告を月ごとにまとめた資料「最近の不正アクセスによる個人データの漏えい等の傾向」を示しました。2026年4月1日から10月16日までに漏えい等した人の数は延べ約2億6,000万人です。時事通信（10月30日15時47分）によると、木原官房長官は30日の記者会見でこの数字に触れ、「大規模な漏えい事案が急速に増加しており、大変深刻に受け止めている」と述べました。
| 速報を受けた月 | 報告件数 | 10万人以下 | 10万〜100万人 | 100万〜1,000万人 | 1,000万人超 | 不明 |
|---|---|---|---|---|---|---|
| 4月 | 166 | 151 | 4 | 6 | 0 | 5 |
| 5月 | 163 | 149 | 3 | 0 | 0 | 11 |
| 6月 | 185 | 162 | 7 | 1 | 0 | 15 |
| 7月 | 212 | 197 | 3 | 2 | 0 | 10 |
| 8月 | 235 | 205 | 10 | 4 | 1 | 15 |
| 9月 | 303 | 229 | 12 | 4 | 1 | 57 |
| 10月（16日まで） | 830 | 588 | 23 | 18 | 4 | 197 |
個人情報保護委員会 第374回 参考資料2（2026年10月28日）。速報時点の数字で、変わる可能性があります。金融業・電気通信業など委任先省庁を経由した報告と、行政機関等の報告は含みません。
表から当ブログが計算したこと
- 4月〜10月16日の報告は合計2,094件。このうち10月分（16日まで）の830件が約40%を占めます。
- 1日あたりにすると、9月は約10.1件、10月（16日間）は約51.9件で、約5.1倍のペースです。
- 1件で100万人を超えた報告は4月以降で41件、そのうち1,000万人超は6件。10月だけで100万人超が22件（1,000万人超は4件）あります。
- 4〜6月の3か月の報告は合わせて514件で、10月の16日間の830件より少ない数です。
MUJIアプリや松屋の件は、この集計の締め（10月16日）より後に発表されたものです。集計に入っているかどうかは、資料からは分かりません。
個人情報保護委員会への報告は義務？法26条のしくみ
個人情報保護法の26条は、個人データの漏えいなどで「個人の権利利益を害するおそれが大きいもの」が起きたとき、会社に個人情報保護委員会への報告と本人への通知を義務づけています。どんな場合が対象かは、施行規則の7条が決めています。
| 施行規則7条 | 報告が必要になる場合 |
|---|---|
| 1号 | 要配慮個人情報（病歴など）が含まれる漏えい等 |
| 2号 | 不正に使われると財産的な被害が出るおそれがある漏えい等（カード番号など） |
| 3号 | 不正の目的で行われたおそれがある行為による漏えい等（不正アクセスなど） |
| 4号 | 本人の数が1,000人を超える漏えい等 |
報告は、事態を知ったあと「速やかに」速報を出し、30日以内（不正の目的によるおそれがある3号の場合は60日以内）に確報を出す決まりです（施行規則8条）。外部からの不正アクセスで、件数も1,000人を大きく超える今回のような事案は、3号と4号にあたると見られます。
松屋フーズHDは発表文で「個人情報保護委員会への報告など、必要な対応を進めております」と書いています。良品計画の発表文には委員会への報告の有無は書かれておらず、「個人情報保護に関わる法令に則り、適切な措置をいたします」としています。
「漏えいのおそれ」でも報告の対象
施行規則7条は、漏えい等が「発生し、又は発生したおそれがある事態」を対象にしています。流出が確定していなくても、おそれの段階で報告や本人への通知が必要になる、というのが法令の作りです。良品計画が「可能性」の段階で公表し、対象者に順次連絡するとしているのも、この考え方に沿った対応と見られます。
MUJIアプリの利用者が今やること
良品計画が呼びかけているのは、情報を悪用した「なりすましメール」への注意です。流出の可能性があるのはメールアドレスと生年月日・性別なので、次の点を確認しておくと安心です。
- メールのURLを開かない：無印良品・MUJI・良品計画を名乗る「お詫び」「クーポン」「アカウント確認」などのメールが届いても、本文のURLからログインやカード情報の入力をしないこと。アプリを直接開いて確かめます。
- 誕生日や年代に合わせた文面にも注意：生年月日と性別がメールアドレスとひもづいているため、誕生日特典や年代向けの案内を装った、もっともらしい偽メールが届くことも考えられます。
- パスワードの使い回しをやめる：今回の発表の項目にパスワードは入っていませんが、ほかのサービスで漏れたパスワードを使い回していると被害が広がります。ログインできるサービスでは、パスキーや二段階認証の設定も検討を。
- 連絡は公式の窓口で確かめる：良品計画のお客様相談室（0120-64-0772）か、公式サイトの発表で確認します。
政府は10月30日、関係機関の相談窓口や注意喚起をまとめた「サイバー対応特設サイト」を開きました。個人向けには、首相官邸の「個人情報流出の被害に遭われた方・ご心配のある方への各種ご相談窓口」や、IPAの「情報セキュリティ安心相談窓口」が案内されています。
アプリが狙われる攻撃への注意喚起も
情報通信研究機構（NICT）は10月13日、相次ぐ情報漏えいの原因の一つとして、公開アプリを解析して接続先のサーバーを狙う「A2B攻撃（App-to-Backend Attack）」を特定したと注意喚起しました。ただし、MUJIアプリや松屋の件がこの手口によるものかどうかは、10月30日時点で両社とも明らかにしていません。
MUJIアプリ不正アクセスまでの経過
- 10月7日個人情報保護委員会が注意喚起大規模な漏えい等事案を踏まえた対応について、事業者に注意喚起を出す。
- 10月13日NICTが「A2B攻撃」を注意喚起公開アプリの解析結果を悪用してサーバーを狙う攻撃を、相次ぐ漏えいの原因の一つとして特定。
- 10月16日委員会の集計の締め4月1日からの不正アクセスによる漏えい報告は2,094件、延べ約2億6,000万人（速報値）。
- 10月28日委員会資料の公表・松屋で判明第374回個人情報保護委員会に集計資料。同じ日、松屋公式アプリの管理システムへの不正アクセスで会員情報等の漏えいが判明。
- 10月30日官房長官会見・特設サイト木原官房長官が延べ約2.6億人に触れ「大変深刻に受け止めている」。政府がサイバー対応特設サイトを開設。
- 10月30日良品計画・松屋フーズHDが発表MUJIアプリで最大約2,726万件の流出の可能性、松屋で237万7,127件＋2,000件の漏えいを発表。
MUJIアプリの不正アクセスについてよくある質問
Q. MUJIアプリの不正アクセスで何が漏れた？
A. メールアドレス、生年月日、性別の3項目が流出した可能性があります。良品計画は、クレジットカード情報、氏名、住所、電話番号などは含まれないとしています。
Q. 何件が対象？退会した人も含まれる？
A. 最大約2,726万件で、退会した人の情報も含みます。流出が確定した数ではなく、流出した可能性がある最大の件数です。
Q. MUJIアプリやネットストアは使える？
A. 良品計画は、10月30日時点でMUJIアプリと無印良品ネットストアは正常に利用できるとしています。
Q. 松屋の情報漏えいと同じ事件？
A. 10月30日時点で、両社の発表に共通の委託先や同じ攻撃を示す記載はありません。松屋は住所・氏名・電話番号などが漏れた237万7,127件（ほかに会員2,000件）で、漏れた項目も件数も違います。
Q. 自分が対象かどうかはどうやって分かる？
A. 良品計画は、流出した可能性のある人に順次連絡するとしています。問い合わせは良品計画お客様相談室（0120-64-0772、月〜土9時30分〜17時）です。連絡を装ったメールのURLは開かず、公式サイトの発表で確かめてください。
あわせて読みたい
出典・参考資料
- 良品計画「無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について」（2026年10月30日）
- 松屋フーズ・松屋フーズHD「松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）管理システムに対する第三者からの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月30日）、「松屋公式アプリのサービス停止に関するお詫びと今後の対応について」
- 個人情報保護委員会「最近の不正アクセスによる個人データの漏えい等の傾向」（第374回個人情報保護委員会 参考資料2、2026年10月28日）、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（10月7日）
- e-Gov法令検索「個人情報の保護に関する法律」26条、「個人情報の保護に関する法律施行規則」7条・8条
- 内閣官房 国家サイバー統括室「サイバー対応特設サイト」
- 情報通信研究機構「【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」（2026年10月13日）
- 時事ドットコム「個人情報漏えい、２億６０００万人 不正アクセス、今月に入り急増」（2026年10月30日15時47分）
- INTERNET Watch「無印良品、「MUJIアプリ」の利用者情報最大約2726万件が不正アクセスにより流出の可能性」（2026年10月30日15時22分）、Impress Watch「松屋、不正アクセスで238万件の個人情報漏えい」（同14時2分）
- 2026年の大型漏えいの件数：各社の発表（当ブログ「So-net不正アクセスで258万件漏えい」の表、10月27日時点）に今回の2件を追加
- アイキャッチ：無印良品 イーアス春日井（写真: KKPCW、CC BY-SA 4.0、トリミング・明るさ調整・文字入れあり）。本文写真：Wing1990hk（CC BY 3.0）。Wikimedia Commonsのフリーライセンス画像
- 月別の割合・1日あたり件数・順位・日数は、上記の資料から当ブログが計算
コメント