無印良品2,726万件流出の恐れ。自社の連絡は本物と示せるか

氏名も、住所も、カード番号も漏れていません。漏れた可能性があるのは、メールアドレスと生年月日と性別の3つだけです。それでも最大で約2,726万件。この3つは、会社を装って本物らしいメールを送るには十分で、会社が本物だと名乗るには1つも使えません。10月30日、良品計画がこの流出の可能性を公表しました。

最初に結論：お金が動く連絡から、確かめ方を1つ決める

やることは1つです。自社が顧客や取引先に出している連絡を、種類で5つ書き出します。請求書の送付、振込先の案内、パスワードの再設定、キャンペーンの案内、会員情報の確認。その横に、お金が動くか、URLを踏ませるか、そして相手がそれを本物だと確かめる方法があるかを書きます。

出典：記入欄と行の例は編集部が作成した想定例です。

最後の列が埋まらない会社は珍しくありません。埋まらないこと自体は、落ち度ではありません。問題は、その空欄が、そのまま他人に使える余白になっていることです。

何が起きたか：漏れた可能性があるのは3項目、最大約2,726万件

10月30日、株式会社良品計画は、公式アプリ「MUJIアプリ」で同社が保有するお客さま情報の一部が外部に流出した可能性があることを確認した、と公表しました。外部に流出した可能性がある情報は、メールアドレス、生年月日、性別の3つです。クレジットカード情報、氏名、住所、電話番号等は含まれないとしています。

対象件数は「最大 約2,726万件（退会されたお客さまの情報を含みます）」。対応として、外部からの不正なアクセスを検知し、該当箇所へのアクセスの遮断および修正の適用を行ったとしています。

出典：株式会社良品計画「無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について」（2026年10月30日）をもとに編集部が整理しました。

ここは正確に読む必要があります。公表されたのは「流出した可能性」であって、流出が確認されたという発表ではありません。同社は、ダークウェブ等への流出と、情報を悪用した被害は現時点では確認されていないとしたうえで、「外部への情報流出が確認された場合には、速やかにプレスリリース等でお知らせいたします」と書いています。MUJIアプリとネットストアは通常どおり使える状態だとしています。

そのうえで同社は、今後「なりすましメール」が発生する可能性があるとして、不審なメールのURLをクリックしたり個人情報を入力したりしないよう呼びかけました。あわせて、情報が漏洩した可能性のある顧客へは順次連絡するとしています。

退会した人の情報まで対象に含まれている点については、委託先に預けた名簿の記事で扱った、仕事が終わってもデータは終わらない、という話と同じ構造です。今回はその先を見ます。

そもそも「なりすましメール」とは：差出人の名前は、送る側が書く

ここを飛ばすと、あとの話が頭に入りません。

メールの差出人の名前は、受け取る側のソフトが調べて表示しているのではありません。送る側が書いて、送っています。封筒の裏にある差出人の欄と同じです。誰が書いても、紙の上では同じように見えます。

出典：編集部が作成した説明図です。送信元を検証する技術的な仕組みは本図では扱っていません。

つまり、受け取る人の画面では、本物の連絡と偽物の連絡が同じ行に並びます。そこに生年月日まで書かれていれば、受け取る側は「自分のことを知っている相手だ」と感じます。本人しか知らないはずの情報を相手が持っているのだから、本人に用のある相手だろう、と読むわけです。

技術的な対策がないわけではありません。送信元のドメインを検証する仕組みはありますし、メールソフトが警告を出すこともあります。ただ、それは受け取る側の環境に左右されます。ここで経営の話として扱うのは、その手前にある部分です。

同じ3項目が、装うには足りて、名乗るには足りない

ここがこのニュースの、いちばん意外なところです。

出典：編集部による整理です。

装う側から見ると、3項目で足ります。メールアドレスは、そのまま届け先になります。生年月日は、本人しか知らないはずの情報として、本人らしさの裏づけになります。性別は、呼びかけ方を自然にします。3つそろうと、「あなた個人に宛てた、会社からの連絡」の形ができあがります。

ところが、名乗る側から見ると1つも使えません。会社が「私は本物です」と示すには、受け取る側も確かめられる材料でなければなりません。メールアドレスも生年月日も、受け取る側は確かめようがない。相手が知っていることは、本物である証明にはならないからです。

もう1つ、この3項目には性質の違いがあります。

パスワードやカード番号が漏れたときは、変えれば止まります。この2つは変えられません。カード番号の流出は「止められる被害」ですが、生年月日の流出は「止められない状態」になります。だから、いま何も起きていないことは、これから何も起きないことを意味しません。

本質はどこにあるか：被害の大きさを決めるのは、本物を示せるかどうか

報道の多くは、何件漏れたか、何が含まれていたか、利用者はどう気をつけるべきかを伝えています。どれも必要な情報です。ただ、経営の側から見ると、論点はもう一段下にあります。

本質は、どの情報が漏れたかではなく、会社が自分からの連絡を本物だと示す手段を、平時に用意していたかどうかです。漏えいの損害は、漏れた情報そのものの価値で決まるのではありません。漏れたあとに、本物と偽物が区別できるかで決まります。

出典：編集部による整理です。

この構造は、今回の発表そのものに現れています。会社はなりすましメールへの注意を呼びかけ、同時に、情報が漏洩した可能性のある顧客へ順次連絡するとしています。本物の連絡が、これから届きます。偽物も、おそらく届きます。そして受け取る側には、その2つを並べたときに分ける材料がありません。これは良品計画に固有の落ち度ではなく、顧客にメールで連絡している会社の多くに共通する構造です。

判断軸でいえば、ここは「仕組みになるか」に当たります。注意喚起は、判断を相手に預けるお願いです。相手が毎回正しく見分けてくれることを前提にしていて、一度間違えればそこで終わります。確かめ方を先に渡すのは、判断の基準を会社側が配る行為です。「振込先の変更は、メールではお知らせしません」と先に伝えてあれば、それを書いたメールは、文面を信じるかどうかを考える前に偽物だと分かります。文面の出来を見比べなくてよくなる、ということです。基準のほうが、偽物をふるい落とします。

GMOの全台停止の記事では、社内で指摘された課題に誰が締め切りを決めるかを扱いました。PHPの穴の記事では、届いた修正を誰が当て、当てられないなら誰が止めるかを扱いました。どちらも、攻撃される前の話です。今回は、その後ろにあります。守りきれなかったときに、会社の名前がどう使われるか。守りの話と、名乗りの話は別だということです。

是非の話ではありません。どこまで対策するかは、扱っている情報と費用との兼ね合いで決まります。言えるのは、漏れた情報は取り戻せず、あとから決められるのは本物の示し方のほうだけだ、ということです。

あなたの会社では：お金が動く連絡の確かめ方を1つ決める

2,726万件という数字は、自分の会社とは関係がなく見えます。関係があるのは件数ではなく、顧客や取引先にメールで連絡しているかどうかです。送っているなら、あなたの会社の名前も、同じように誰かが書ける欄に入っています。

出典：置き換え例は編集部が作成した想定例で、特定の会社の事例ではありません。

会社に売っている会社、たとえば卸、製造、建設なら、お金が動く連絡は請求書と振込先の案内に集まります。決めることは1つです。振込先の変更は、メールでは知らせない。変更が必要なときは、先方が登録済みの番号にかけ直す形だけで受ける。これを取引基本契約か、請求書の定型文に1行入れておきます。相手がその1行を知っていれば、振込先の変更を書いたメールは、それだけで偽物になります。

消費者に売っている会社、たとえば小売、サービス、教室なら、集まるのは会員への一斉メールです。決めることも1つです。URLを載せるメールの種類を1つに絞り、それ以外の連絡はアプリやマイページの通知を正本にする。会員規約か最初の案内で先に伝えておけば、URLの入ったメールが2種類目として届いた時点で、相手は疑えます。

どちらも、全部のメールを作り直す話ではありません。印をつけた種類だけで足ります。

あわせて知っておきたいことが1つあります。個人情報保護委員会は、漏えい等の報告が必要な場合として4つの類型を挙げており、そこには「不正の目的をもって行われたおそれがある行為による個人データの漏えい等（又はそのおそれ）」が含まれます。不正アクセスによる漏えいは、人数にかかわらず報告の対象になりえます。本人の数が1,000人を超える漏えいも、別の類型として挙がっています。報告には速報と確報があり、期限も定められています。「うちは対象の人数が少ないから関係ない」とは限らない、ということです。詳しい要件は同委員会の資料で確認してください。基礎的な備えはサイバー対策の基礎にまとめています。

5問で確認する　自社の連絡は本物と確かめてもらえるか

SELF CHECK / 無料・登録不要

5問で確認｜自社の連絡は本物と確かめてもらえるか

自社から顧客か取引先へ出しているメールを思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1自社がメールで送っている連絡の種類を、すぐ挙げられる

   挙げられる調べれば分かる挙げられない
2. Q2振込先や支払いに関わる連絡を、メールで送ることがある

   送らないと決めている原則送らない送っている
3. Q3「この連絡はこの方法でしか送らない」と相手に伝えてある

   伝えてある一部だけ伝えていない
4. Q4顧客向けメールを出せる人と経路が、把握されている

   把握しているだいたい分かる把握していない
5. Q5漏えいが起きたとき、誰が何を判断するかが決まっている

   決まっている相談先はある決まっていない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

出典・調査の対象範囲