適用對象:註冊過 MUJI 應用程式的人,包括之後已退會的人。本文基於 良品計劃(Ryohin Keikaku Co., Ltd.)的官方通知,不涉及攻擊手法。
事態發展中:本文將隨機構發布更多資訊而更新
截至2026年10月31日尚不清楚
- 資料是否真的流出了公司
- 原因以及入侵者如何進入
- 受影響者將如何、何時被聯絡
- 數量的明細(例如已退會的人數)
- 未經授權存取發生或被發現的時間
公司表示將依次聯絡資料可能已外洩的客戶,並且如果確認資料流出公司之外,將透過新聞稿等方式及時公布。
使用者今天應該做什麼
不要開啟自稱來自 MUJI 的電子郵件中的 URL,應在應用或官方網站中確認
可能外洩的項目是電子郵件地址、出生日期和性別。電子郵件地址可能已外洩,因此隨時可能收到自稱來自 MUJI 的電子郵件。公司本身也提醒,可能會有利用外洩資料的冒充電子郵件發出,並請使用者不要點擊可疑電子郵件中的 URL,也不要輸入個人資訊。
如果收到關於「致歉優惠券」「積分即將到期」或「確認會員資訊」的電子郵件,請不要開啟連結;請自行開啟 MUJI 應用程式或官方網站確認(參見什麼是網路釣魚?)。
檢查用出生日期來驗證身分的服務
與電子郵件地址不同,出生日期無法更改。許多銀行、商店和手機營運商在您聯絡他們或重置帳戶時,會把它當作答案。
請檢查自己是否把出生日期用作密碼或安全問題的答案,如果是,請更換。登入時不要只依賴密碼:開啟多重要素驗證後,即使他人知道您的出生日期,帳戶也更難被接管。
不要向任何人提供密碼或卡號
密碼和銀行卡資訊不在本次通知的項目中。即便如此,如果電子郵件要求您撥打某個號碼,或回覆以「確認」某件事,也不要輸入或說出您的密碼或信用卡號。
對方知道您的出生日期和性別,並不能證明其身分真實,因為這些正是可能已外洩的資料。
如果在其他地方重複使用同一密碼,請將它們分開
通知中沒有出現密碼,因此並沒有因本次事件而必須更改密碼的理由。但電子郵件地址常被用作登入 ID,重複使用的密碼會讓一次外洩波及其他服務。
如何選擇密碼管理工具是進行盤點的現實辦法。您可以用如何確認你的密碼是否外洩檢視重複使用的密碼是否出現在過去的外洩中。
即使已經退會也可能受到影響;請根據內容判斷任何聯絡
通知稱,已退會客戶的資料也包含在內。即使您已不再使用應用,只要曾經註冊過,也請同樣按上述步驟操作。
公司表示將依次聯絡可能受影響的客戶,但通知沒有說明方式。如果無法判斷某條訊息是否真實,請不要開啟其中的連結,並與公司官方網站上的通知進行比對。
透過通知中的渠道聯絡公司
通知中給出了客戶專線:客戶服務中心,免費電話0120-64-0772(週一至週六9:30至17:00,週日及新年假期除外;限日本國內來電)。請使用公司通知中的渠道,而不要使用您收到的訊息中的電話號碼或 URL。
發生了什麼(依據良品計劃的通知)
良品計劃於2026年10月30日發布了《關於 MUJI 官方應用程式中客戶資訊可能外洩的通知》(經 PR TIMES 發布的時間為14:10)。以下內容均基於公司的通知。
通知發布之前(日期未公布)
發現來自外部的未經授權存取。公司阻斷了對相關位置的存取並完成修復。通知沒有給出其發生或被發現的日期。2026年10月30日
公司宣布部分客戶資料可能已外洩。數量最多約2726萬筆紀錄,包括已退會的使用者。之後(公司計劃)
依次聯絡可能受影響的客戶;如果確認資料流出公司之外,將透過新聞稿等方式及時公布。
- 涉及的服務
- MUJI 應用程式中儲存的客戶資料
- 數量
- 最多約2726萬筆紀錄(包括已退會的客戶)。這是可能外洩的數字,並不是已確認被獲取的數量
- 可能外洩的項目
- 電子郵件地址、出生日期、性別
- 據稱未包含的項目
- 信用卡資訊、姓名、地址、電話號碼等
- 原因
- 公司稱發現了來自外部的未經授權存取。通知沒有給出入侵者如何進入或具體原因
- 公司應對
- 阻斷了對相關位置的存取並完成修復。公司表示將與其開發公司及關聯公司一起,進一步加強安全措施和監控
- 損害
- 公司稱,在發布通知時尚未確認有資料流向暗網或被濫用造成損害
- 服務
- MUJI 應用程式和 MUJI 網路商店正常運作
已知與未知的內容
截至2026年10月31日的情況。後續通知發布時,我們將更新狀態列。
| 項目 | 通知內容 | 狀態 |
|---|---|---|
| 未經授權存取 | 來自外部;已阻斷並修復 | 已確認(公司) |
| 紀錄數 | 最多約2726萬條(含已退會使用者) | 可能外洩(公司) |
| 電子郵件地址 | 可能外洩的項目 | 可能外洩(公司) |
| 出生日期 | 可能外洩的項目 | 可能外洩(公司) |
| 性別 | 可能外洩的項目 | 可能外洩(公司) |
| 信用卡資訊、姓名、地址、電話號碼 | 未包含 | 未包含(公司) |
| 密碼 | 未出現在項目中 | 未說明 |
| 資料流向暗網或被濫用造成損害 | 通知發布時尚未確認 | 未確認(公司) |
| 資料是否真的流出公司 | 公司稱如確認將及時公布 | 未確認(公司稱確認後將公布) |
| 原因以及入侵者如何進入 | 通知未說明 | 未說明 |
| 發生或被發現的時間 | 通知未說明 | 未說明 |
| 對受影響者的個別聯絡 | 將依次聯絡可能受影響的客戶 | 計劃中(公司) |
| 服務狀態 | MUJI 應用程式和網路商店正常運作 | 已確認(公司) |
如何理解:「可能外洩」與「未確認損害」的含義
公司寫的是這些項目「可能已外洩」。這意味著它不是已確認被獲取的資料數量,但並不表示沒有發生外洩。「未確認損害」是指在通知發布時尚未發現,並不表示這些資料今後絕不會被使用。
一般而言,出生日期和性別無法更改,因此可能在數月甚至數年之後被用作其他詐騙或帳戶接管的素材(這並不意味著本案已經發生)。
電子郵件地址、出生日期和性別可能被用來做什麼
以下是這樣一組項目一般可能被用來做的事情,並不表示本案中已發生其中任何一項。
- 電子郵件地址:成為冒充電子郵件(釣魚)的目標。公司本身也提醒可能會收到冒充電子郵件。
- 出生日期:部分購物、金融和電信服務把它用作身分核驗,或用作容易被猜到的密碼的一部分。由於無法更改,依賴它的服務需要改用其他核驗方式。
- 性別:單獨來看影響較小,但與電子郵件地址和出生日期結合後,會讓假冒訊息顯得更可信。
通知稱姓名、地址和電話號碼不在其中,因此僅憑本次事件的項目,較難製作帶有您姓名或地址的假冒郵寄信件或電話。但它們仍可能與其他外洩中收集的資料結合,所以訊息中出現您的姓名並不能證明其真實。
電子郵件地址
↓→
冒充電子郵件(釣魚)的目標
→ 不要開啟連結 / 在官方應用程式中確認
出生日期
↓→
可被用作身分核驗或容易猜到的密碼
→ 改用其他核驗方式 / 開啟多重要素驗證
通知中據稱未包含
- 信用卡資訊
- 姓名
- 地址
- 電話號碼
可能已外洩
- 電子郵件地址
- 出生日期(無法更改)
- 性別(無法更改)
營運者應該檢查什麼
原因尚未公布,因此這裡只列出從已公布內容中可以得出的要點。
確定保留已退會使用者資料的期限及理由
受影響的紀錄包括已退會的使用者。有些項目因法律或防欺詐需要,會在退會後保留一段時間,但沒有保留理由的項目應在一定期限後刪除,或改為無法識別個人的形式。
持有的紀錄越多,一次事件波及的人就越多。請為每一類資料設定保留期限。
檢查為什麼要持有出生日期和性別這類無法更改的項目
除電子郵件地址外,本次通知中的項目都是使用者日後無法更改的。請確定優惠券或按年齡提供的優惠所需的範圍,如有可能,只保留年齡段這類更粗略的形式。
參考來源
- 良品計劃(Ryohin Keikaku Co., Ltd.),《關於 MUJI 官方應用程式中客戶資訊可能外洩的通知》(2026年10月30日;標題為日文原文的譯文)— ryohin-keikaku.jp(新聞頁面)及公司在該頁面發布的 PDF;公司透過 PR TIMES 發布的同一通知
- 媒體報道:INTERNET Watch、福井新聞(均為日文)
關於來源的說明
本文基於公司的新聞頁面及其連結的通知 PDF(日期為2026年10月30日)。PR TIMES 發布的是同一通知的副本,也與兩家媒體的報道一致。
更新紀錄
2026-10-31:首次發布,依據良品計劃10月30日的通知。公司表示,如果確認資料流出公司之外,將及時公布。公布後,本文將隨之更新。
延伸閱讀
- 防範後續詐騙:什麼是網路釣魚? / 智慧型手機資安基本觀念
- 保護您的帳戶:多重要素驗證入門 / 如何選擇密碼管理工具 / 如何確認你的密碼是否外洩
- 類似案例(應用會員資料):MrMax 應用程式和網路商店資料外洩事件
- 2026年其他事件:資料外洩與網路攻擊一覽(日本與海外)