MUJI Cardのカード番号が流出したら、今日は何をする？

良品計画が11月4日、MUJI Cardのカード番号が全桁そろって流出した可能性があると発表しました。

MUJI Cardに入会したのは何年ごろでしたか？　対象かどうかは、入会の時期で決まります。今日やることは、明細を見ることと、再発行するかを決めること。この2つで足ります。偽の連絡への備えは、そのあとで大丈夫です。

MUJI Cardのカード番号流出、自分は対象か？

入会した時期で決まる

対象は、2000年10月から2021年7月までにMUJI Cardに入会した人です。約109万件のうち今も使えるカードは約34.5万件で、残りは解約や有効期限切れのカードです。2021年8月以降に入会した人は対象外です。発行会社はクレディセゾン（セゾン）で、再発行や不正利用の相談はセゾンが受けます。

入会した日がはっきりしない人は、セゾンのスマホアプリ「セゾンPortal」で、「メニュー」から「お客様情報の確認・変更」を開くと見られます。パソコンなら会員サイト「Netアンサー」でも同じです。アプリをまだ使っていない人は、カードとメールアドレスを用意し、SMS認証などの本人確認を済ませれば登録できます（登録の手順）。以下は、このアプリを使う前提で書きます。

良品計画かセゾンからもメールか郵送で連絡が来ますが、時期は発表に書かれていません。途中でカードが更新された人も、入会した時期で判断します。

漏れた可能性があるのは番号とIDと生年月日

MUJI Card会員について流出した可能性があるのは、カード番号の全桁、MUJI Card ID（カード番号とは別の、無印良品のメンバーID）、生年月日の3つです。カードの名義、有効期限、セキュリティコード（カードに印字された、ネット決済で使う3桁か4桁の確認用の数字）は含まれていません。

この件は、10月30日に良品計画が発表した、MUJIアプリの情報への不正アクセスから始まりました。そのときはカード情報や氏名・住所は含まれないとしていましたが、11月4日の続報で、良品計画のシステムにMUJI Cardの番号が残っていたと分かりました。

システムの中では、アプリやネットストアの登録情報とカード番号を一緒に見られる状態だった人もいます。今使えるカード約34.5万件のうち約16.8万件は、メールアドレスや性別などと一緒でした。さらにそのうち約2.5万件は、氏名・住所・電話番号とも一緒でした。外部から見られた可能性がありますが、自分が入るかを調べる方法は発表されていません。名前や住所が書かれた連絡が来ても、それだけで本物と思わないでください。

カード番号だけの流出で、不正利用はされるのか？

番号だけで勝手に買い物される心配は、小さめです。ただ、ゼロではありません。

ネット通販の多くの店は、カード番号のほかに有効期限とセキュリティコードを求めます。今回はこの2つが漏れていません。支払いの途中で本人かを確かめる「3Dセキュア（本人認証）」も、2025年3月末までに原則すべてのネット通販の店へ入れるよう、カード業界のガイドラインが求めました。

とはいえ全店ではありません。日本クレジット協会によると、2025年のカード不正利用の被害は510.5億円で、その9割超はカードを盗まずに番号などの情報だけで使う手口でした。

良品計画は今のところ悪用の被害を確認しておらず、セゾンもMUJI Cardの不正利用の増加は確認していないとしています。それでも、気づくのが早いほど損をしにくいので、今日は明細を開きます。

クレジットカード番号が流出した日にやること

アプリで、明細を2か月分さかのぼって見る

最後に明細を開いたのはいつですか？　今日はセゾンPortalで利用明細を開き、9月初めからの利用を見てください。2か月分にするのは、補償が連絡した日から61日前までの不正利用を対象にしているからです。

見るのは知らない店名と覚えのない請求です。明細はアプリから開き、メールやSMSのリンクからは入りません。

身に覚えのない請求を見つけたら

セゾンカード紛失受付係（0570-064-107、24時間・年中無休）に電話します。カードをなくしていなくても、覚えのない利用はこの窓口です。この場合、停止や再発行はアプリではできず、電話での手続きになります。0570の番号は通話料がかかります。

補償の決まりはセゾンカード規約の第16条にあります。本人以外に使われた分は、セゾンに連絡した日を含めて61日前までさかのぼって、会員の負担になりません。それより前の利用は補償の外に出るので、早く見るほど取りこぼしが減ります。補償には書面の提出と警察署への届け出も必要で、家族が使った場合や手続きが遅れた場合などは補償されません。何が要るかは、電話のときに確かめてください。

この件の窓口は次の3つです。偽の連絡を見分けるときも、この表の番号と見比べます。

MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び | クレジットカードはセゾンカード

MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び。クレジットカードはポイントが永久不滅のセゾンカード。

www.saisoncard.co.jp

流出したカードは再発行したほうがいい？

そのカード、今も毎月使っていますか？　それなら、手間がかかっても再発行をすすめます。再発行すると番号が変わり、流出した番号は使えなくなるからです。

覚えのない利用がなければ、再発行はアプリから自分で申し込みます。セゾンPortalなら、トップ画面の右下のメニューから「サポート」「紛失・再発行」と進みます。アプリかNetアンサーからなら手数料はかかりません。電話での再発行は原則1,100円（税込）で、今回免除されるかは発表に書かれていません。新しいカードは、受付から1週間から10日ほどで届くとセゾンは案内しています。

番号が変わると、公共料金、サブスク、スマホ決済などに登録したカードは、自分で登録し直します。毎月引き落とされているものを先に書き出し、新しいカードが届いたら上から順に変えると漏れません。今のカードがいつ止まるかは発表に書かれていないので、届くまでに引き落とし日が来る支払いがあるなら、申し込む前にセゾンに聞いておくと安心です。

再発行しないなら、明細を毎月見続けてください。解約済みや期限切れのカードなら、偽の連絡への備えが中心です。

カード番号流出のあとに届く偽の連絡、AIに見せたら見分けられた？

怪しい連絡が届いたら、この章を読み返してください。まず本物の連絡の目安です。良品計画とセゾンからの個別の連絡は、メールか郵送で届きます。良品計画は、メールや電話でカード情報を尋ねることはないとしています。セゾンも、カード番号や暗証番号、セキュリティコードの入力を求める案内が届いても、リンク先に入力しないよう呼びかけています。

では、迷う連絡をAIに貼ったらどうなるか。便乗した架空の連絡を4通作り、AIのClaudeに見せました。公式サイトを調べられない、ふつうのチャットの状態で聞いています。

1. セゾンを名乗るSMS。「本日中に再発行しないと利用停止」と急かし、リンクが付いている
2. 良品計画を名乗るメール。名前・MUJI Card ID・生年月日を書き、補償金を払うからとカード番号や有効期限を入力させる
3. 良品計画を名乗るメール。リンクはなく、再発行は「専用ダイヤル」へ電話するよう案内する。番号は、セゾンの本物の番号の下2桁を入れ替えたもの
4. 本物のお知らせをなぞって作ったメール。入力も電話も求めない。本物が届いたときの答え方を見るための1通

聞き方は、「これは詐欺ですか？」とだけ聞く方法と、このあとの依頼文を使う方法の2通りです。

リンクで入力させる偽物は、AIがすぐ見抜いた

1通目と2通目は、どちらの聞き方でも偽物の可能性が高いと判定されました。名前・ID・生年月日が合っていても、流出した情報なら誰でも書けると、両方の回答が指摘しました。自分の生年月日が書いてあるから本物、とはなりません。

下2桁が入れ替わった電話番号は、AIも見逃した

3通目は、どちらの聞き方でも文面だけでは断定できないという答えで、番号が本物と違うことには気づいていません。AIは本物の番号を知らないので、見比べようがないのです。それでも両方とも、書かれた番号にはかけず、公式サイトの番号と比べるよう答えました。

4通目は本物そっくりに作ったので、見分けがつかないのが正しい答えです。「詐欺ですか？」とだけ聞いたときは、断定はしないものの、文面に詐欺っぽい特徴はほとんどないと本物寄りの答えでした。依頼文では結論を二択にし、文面のURLや電話番号を使わない確かめ方を書くよう指定しています。そのとおり、4通とも「公式の窓口で確かめるまで何もしない」が結論で、確かめ方も毎回返ってきました。

AIに貼るときの依頼文

貼る前に、名前・生年月日・会員番号は○○に置き換えてください。カード番号は貼りません。

次の連絡が、本物か偽物かを見分けたいです。私はカード番号が流出した可能性がある会員です。
本物だと言い切らず、次の順で答えてください。

1. この連絡が私にさせようとしていること（リンクを開く、情報を入力する、電話をかける、など）
2. その中に、正規のカード会社や企業がふつうメールやSMSでは求めないことがあるか
3. 文面の中で本物らしく見せている部分（名前、生年月日、会員番号、公式発表と同じ説明など）と、それが本物の証拠にならない理由
4. 文面に書かれたURL・電話番号・差出人を使わずに確かめる方法
5. 結論を「無視してよい」「公式の窓口で確かめるまで何もしない」のどちらかで

【届いた連絡】
（ここに貼る。名前・生年月日・会員番号は○○に置き換える。カード番号は貼らない）

AIに任せられるのは、相手が何をさせようとしているかの整理までです。届いたメールの電話番号を、公式の番号と1桁ずつ見比べたことはありますか？　3通目は、その見比べでしか偽物と決められませんでした。見比べる先は、前の章の窓口の表です。

使う前の注意

AIの結果は、ClaudeのSonnetというモデルで、4通×2通りの聞き方を1回ずつ試したものです。ChatGPTなど別のAIや聞き直しで、答えが変わることはあります。件数や窓口、受付時間は11月5日時点の両社の発表によるもので、続報で変わることがあります。