LINE セキュリティビジネス 2026.11/13

無印良品の個人情報流出から考える｜顧客情報を預かる事業者の責任

2026年10月末、無印良品を運営する株式会社良品計画が、不正アクセスによる顧客情報流出の可能性を公表しました。

その後の調査で、
MUJI Cardのクレジットカード番号全桁を含む約109万件の情報も対象になっていたことが判明。
しかも、その中には、現在は業務上使われていないにもかかわらず、何年も保管され続けていた情報が含まれていました。

もちろん、不正アクセスを行った第三者に責任があることは言うまでもありません。

ただ、今回の問題で特に考えさせられたのは、すでに必要がなくなった情報が、そのまま保管され続けていたことです。

お客様の情報をお預かりして仕事をしているのは、大企業だけではありません。

予約フォームやLINE公式アカウント、顧客管理システムを使っている小さなお店や個人事業主も同じです。

今回は、日頃からこうした仕組みづくりに携わっている立場として、考えたことを書いてみたいと思います。

無印良品で起きたこと

良品計画の発表によると、
MUJIアプリや無印良品ネットストアの利用者（退会者を含む）の
・メールアドレス
・生年月日
・性別
・会員IDなど
最大約2,726万件の情報が第三者からアクセスされた可能性があります。

さらに、一部の利用者については、氏名・住所・電話番号なども対象に含まれていました。

また、2000年10月から2021年7月までに入会したMUJI Card会員約109万件について、
クレジットカード番号全桁、MUJI Card ID、生年月日などが不正アクセスの対象となった可能性も判明しました。

このうち、
現在も有効なカードは約34万5千件。
残る約74万5千件は、すでに解約・失効などで利用できなくなっていたカードです。

これらは不正アクセスの対象となった可能性のある件数で、すべての情報が実際に外部へ持ち出されたと確定したものではありません。

最初の発表では「含まれない」とされていた情報も

10月30日の第一報では、クレジットカード情報や氏名・住所・電話番号は対象に含まれないと説明されていました。

ところが、
11月4日の第二報では、その後の調査によって、これらの情報も対象に含まれていた可能性があることが公表されています。

調査が進むにつれて影響範囲が明らかになることはありますが、今回の経緯からは、保有している情報の全体像を正確に把握することの重要性も感じます。

不要になった情報が、削除されずに残っていた

今回、不正アクセスの対象となったMUJI Cardのカード番号は、もともと会員への特典付与のために使われていたものでした。

2021年7月にポイント付与の仕組みが変更され、カード番号を連携する運用は終了しています。

にもかかわらず、それ以前に取得したカード番号は、システム内に残ったまま…

当時は必要だった情報でも、仕組みが変われば、その情報を持ち続ける必要がなくなることがあります。

それでも何年もの間、情報が残されていた。

今回の出来事は、外部からの攻撃にどう備えるかという問題だけでなく、情報を持ち続けること自体のリスクを浮き彫りにしてくれました。

お客様の情報は、事業者が自由に使えるものではない

事業を続けていると、お客様の情報は少しずつ増えていきます。

・名前
・電話番号
・メールアドレス
・生年月日
・住所
・購入履歴
・来店履歴 etc

LINE公式アカウントを活用している事業者なら、アンケートの回答や予約情報、興味のあるサービスなども管理しているでしょう。

こうした情報は、お客様に合ったご案内をしたり、継続的なサービスを提供したりするうえで、とても役立ちます。

ただ、忘れてはいけないのは、
お客様は事業者を信頼して、自分の情報を渡しているということです。

・予約をするために電話番号を伝える。
・サービスを受けるために住所を登録する。
・自分に合った情報を受け取るためにアンケートに答える。

そこには、それぞれの目的と信頼関係があってこそです。

情報を取得したからといって、事業者が何にでも自由に使っていいわけではありません。

とはいえ
顧客リストは、事業にとって大切な資産です。

同時に、一人ひとりのお客様から預かっている、大切な情報であり取得側に責任が発生するものでもあります。

便利だからと、必要以上の情報を集めていませんか？

私は普段、LINE公式アカウントや予約フォーム、顧客管理の仕組みづくりに携わっています。

その中で、どんな情報を取得する必要があるのかを考える機会がよくあります。

予約を受け付けるだけなら、お名前と連絡先で十分な場合もあります。

ところが、
クライアントからは今後のために、住所や生年月日、職業など、後で使うかもしれない情報まで取得を要望されることがあります。

もちろん、サービスによって必要な情報は異なります。

ただ、「あれば便利だから」「いつか使うかもしれないから」という理由だけで、入力項目を要望されるとき
本当に必要ですか？と問いかけることがあります。

お客様の入力負担も増えますし、初めましてに近い相手に情報を渡したくないという人間心理だけでなく、万が一情報が流出した場合の影響も大きくなります。
取得する情報が増えるほど、それを管理する責任も増えるということです。

私は、フォームを作るとき、必要な情報をどう取得するかと同じくらい、そもそも取得する必要があるのかを考えることが大事だと思っています。

たくさんの情報を集めることが、必ずしも良い顧客管理につながるわけではありません。

仕組みを変えても、古いデータが消えるわけではない

今回の問題で、特に考えたいのがこの部分です。

新しいシステムに切り替えたからといって、古いシステムに保存されていた情報まで、自動的に消えるとは限りません。

これはLINE公式アカウントの運用でも起こり得ることです。

・キャンペーン用のフォームを使い終えたとき。
・予約システムを乗り換えたとき。
・LINEの拡張ツールを変更したとき。

新しい仕組みがきちんと動いているかには目が向きますが、以前のシステムに残っているデータの整理は、意外と見落とされがちです。

「もう使っていない」と「もう残っていない」は、まったく別のことです。

終了したイベントの参加者名簿、過去の予約データ、何年も使っていない顧客リスト。

こうした情報が、Googleスプレッドシートや顧客管理ツール、パソコンのダウンロードフォルダなどに残っていることもあるはずです。

LINE公式アカウントでも、お客様がLINEをブロックしたからといって、連携している外部ツールの顧客データまで自動的に削除されるとは限りません。

また、LステップやLmessageなどの拡張ツールを乗り換える際には、旧ツール側のデータをどう扱うのかも確認が必要です。

移行が完了したからといって、以前の環境に保存されていた情報の管理まで終わったとは限らないからです。

新しい仕組みを完成させることに加えて、古い仕組みに何が残っているのか。

そこまで確認しておく必要があります。

いつまで保管するのかを決めておく

個人情報保護法第22条では、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めることが求められています。

これは努力義務であり、
すべての情報を一定期間で削除しなければならないという一律のルールではありません。

法令上の保存義務や、サービスを提供するために必要な期間なども考える必要があります。

大切なのは、何となく保管し続ける状態をつくらないことです。

何のために取得した情報なのか
今もその情報が必要なのか
どこに保存されているのか
いつ、どのように削除するのか

情報を取得するときだけでなく、その後の管理についても考えておく必要があります。

LINE公式アカウントを使っているから安心、ではない

LINE公式アカウントや予約システムを使っていれば、顧客情報はサービスを提供するシステム側で管理されます。

そのため、自分で情報を保管しているという感覚が薄くなることがあります。

しかし、外部サービスを利用していても、事業者としての情報管理の責任がなくなるわけではありません。

特にLINE公式アカウントの場合、拡張ツールを連携することで、アンケートや予約、購入履歴など、さまざまな情報を管理できるようになります。

それだけ便利になる一方で、お客様の情報が複数の場所に保存されることもあります。

LINE公式アカウント、拡張ツール、予約システム、決済サービス、スプレッドシート。

それぞれに、どんな情報が保存されているでしょうか。

さらに、見落としたくないのが管理権限です。

退職したスタッフの権限が残っていないか
外部の制作会社や運用担当者に、必要以上の権限を渡していないか
作業のためにダウンロードしたCSVファイルが、パソコンや共有フォルダに残っていないか
複数のツールに同じ顧客情報を保存している場合、それぞれの管理方法を把握しているか

ツール自体にセキュリティ機能が備わっていても、それだけですべてが解決するわけではありません。

誰がアクセスできるのか、どこまでの操作を許可するのか、不要になったデータをどう扱うのか。

こうした運用面の管理も必要です。

私自身も、LINE公式アカウントの構築や運用のために、お客様の管理画面へアクセスする立場です。

だからこそ、どこまでの権限が必要なのか、作業のために取得したデータをどう扱うのか、契約が終了したあとに何を残すのか。

仕組みを作る側も、こうした部分まで意識して仕事をする必要があると考えています。

顧客情報管理を見直す5つのチェックポイント

今回の出来事をきっかけに、ご自身の事業でも一度確認してみてはいかがでしょうか。

1. 取得している情報は、本当に必要か

予約フォームやアンケートに、使っていない項目が残っていないでしょうか。

今後の活用目的が曖昧な情報まで、必要以上に集めていないか確認してみましょう。

2. 顧客情報がどこに保存されているか、把握しているか

LINE公式アカウント、拡張ツール、予約システム、スプレッドシート、CSVファイルなど。

一つの顧客情報が、複数の場所に保存されていることもあります。

3. 誰が情報を閲覧・編集できるか、把握しているか

現在のスタッフや外部委託先に付与している管理権限は、業務に合ったものでしょうか。

担当者が変わったとき、権限の見直しもできているでしょうか。

4. 仕組みを変えたとき、古いデータを整理しているか

終了したキャンペーンや、乗り換え前のシステムに情報が残っていないか。

保管が必要な情報は適切に管理し、不要になったものは整理できているか確認しておきたいところです。

5. 万が一のとき、誰が何をするか決まっているか

不正アクセスや情報流出が疑われたとき、誰に連絡して、何を確認するのか。

必要な報告やお客様への連絡を含めて、対応の流れを考えておくことも大切です。

特別なシステムを新しく導入しなくても、今使っているツールや保存しているデータを見直すことから始められます。

お客様の信頼があるから、情報を預けてもらえる

LINE公式アカウントを使えば、お客様の興味や利用状況に合わせたご案内ができます。

予約の受付をスムーズにしたり、来店後のフォローを自動化したり、必要なタイミングで情報をお届けしたり。

うまく活用すれば、お客様にとっても事業者にとっても、便利な仕組みになります。

私自身、日々こうした仕組みづくりをお手伝いしています。

しかし、
便利な機能を使いこなすことだけが、上手な運用ではないと思っています。

情報がたくさんあることと、その情報を適切に活用できていることは別です。

使う予定のない情報を、ただ持ち続けることは、価値どころかリスクにもなります。
お客様の情報を集める仕組みを作るなら、その情報を守り、必要がなくなったときに適切に手放すところまで考える。

どんな情報を預かり、何に使い、いつまで保管するのか。

そうした判断をきちんとできることも、お客様との信頼関係を築くうえで大切なのではないでしょうか。

今回の無印良品の出来事は、私自身にとっても、仕組みを作る側としての責任を改めて考える機会になりました。

参考資料・公式発表

※本記事は2026年11月13日時点の公式発表に基づいて作成しています。調査の進展により、対象範囲や対応状況が変更される可能性があります。