【良品計画（7453）】MUJI Card109万件に不正アクセスの可能性、株価・業績への影響は？【2026年11月】

1何が起きたか ── 時系列と「情報の範囲」

無印良品を展開する良品計画（7453）は11月4日、10月29日に発生した不正アクセスについて第二報を公表しました。MUJIアプリなどの顧客情報に加えて、MUJI Card約109万件のカード番号全桁などに、第三者がアクセスした可能性があるという内容です。

ここで押さえておきたいのは、発表されている件数は「外部からアクセスされた可能性がある情報」の件数だという点です。外部に流出した件数や、不正利用が確定した件数ではありません。

良品計画・クレディセゾンの11月4日までの公表資料をもとに作成。

2つの「件数」を混同しない

報道では「2,726万件」と「109万件」の2つの数字が出ています。前者はMUJIアプリ・ネットストア等の顧客情報、後者はMUJI Card会員の情報で、対象者には重複があるため、足し合わせて「約2,835万件」とするのは誤りです。

見出しなどで「109万件のカード番号が流出」と書かれることがありますが、11月4日時点の会社発表は「アクセスされた可能性」です。この記事でもその表現にそろえます。

2会社・カード会社の説明と、カード利用者がやること

不正アクセスを受けたのは「良品計画側のシステム」

MUJI Cardの発行会社はクレディセゾンですが、不正アクセスを受けたのは良品計画側のシステムです。クレディセゾンは、自社システムへの不正アクセスや自社システムからの流出は確認していないとしています。

では、なぜ良品計画のシステムにカード番号があったのか。MUJI Cardのカード番号は、かつてカード特典のポイントを付けるために良品計画側へ連携されていた情報です。2021年8月以降に新しく発行されたカードは今回の対象外と案内されています。

現時点で確認されている被害

• 良品計画は11月4日時点で、ダークウェブ等への流出や、情報の悪用による被害を確認していない
• クレディセゾンも、MUJI Cardの不正利用が増えている状況は確認していない

ただし、これは「今後も被害が出ない」ことを保証するものではありません。

MUJI Cardを持っている人がやること

• 利用明細を確認する。身に覚えのない請求があれば、カード発行会社（クレディセゾン）に連絡する
• カードの再発行は希望すれば受け付けられる。クレディセゾンは利用状況の監視を強化しており、対象者にはメールまたは郵送で順次連絡するとしている
• なりすましに注意する。良品計画やカード会社を名乗るフィッシングメール・SMS・電話で、カード情報やパスワードを聞き出そうとする手口が増えるおそれがある

有効期限やセキュリティコードが含まれていないことは、安心材料の一つです。ただ、カード番号と生年月日・氏名などの組み合わせは、なりすましやフィッシングに使われる可能性があります。悪用の可能性をゼロとは考えないほうが安全です。

3事故の原因 ── わかっていること・わかっていないこと

2021年7月以前のカード番号が残っていたことは、被害の範囲を広げた可能性がある「データ管理」の論点です。ただし、古いデータが残っていたこと自体が侵入の直接の原因だったとは、現時点では言えません。原因は今後の調査結果（第三報以降）を待つ必要があります。

4業績の土台 ── 2026年8月期は営業利益1,034億円

株価への影響を考える前に、良品計画の業績の水準を確認しておきます。10月14日に発表された2026年8月期の本決算は、営業利益が初めて1,000億円を超える過去最高の内容でした。

出典：良品計画 IR「決算サマリ」（2026年8月期）。

注意したいのは、今回の事故は2027年8月期（2026年9月〜）に起きていることです。2026年8月期の好決算に事故の費用は含まれていません。費用が出るとすれば2027年8月期の業績に反映されるため、今後の業績予想の修正や開示を確認する必要があります。

5【独自分析】株価を左右する3つの経路

情報漏えいが株価に効く経路は、大きく「短期の費用」「中期の売上」「長期の信頼」の3つに分けて考えられます。

短期：事故対応費用

お知らせの送付、問い合わせ窓口、外部専門家による調査、システム改修、カード再発行に伴う負担などが考えられます。ただし、再発行費用を良品計画がすべて負担すると決まったわけではありません。誰がどれだけ負担し、いつ計上するかはまだ決まっていません。

そこで、費用の大きさが利益に対してどの程度になるかを、仮の数字で比べてみます。

筆者の試算。全額が営業費用として計上されると仮定した場合の比較用の数字で、費用の予想ではありません。実際の2027年8月期の利益への影響を示すものでもありません。

仮に50億円かかったとしても、前期の営業利益の5%弱です。費用だけで見れば一度きりの負担として吸収できる規模に収まる可能性がありますが、不正利用や追加の流出が判明すれば前提が変わります。

中期：会員の行動と売上

ブランドへの信頼が下がると、MUJIアプリの利用やネットストアでの購入が減るおそれがあります。月次の売上速報は注目材料になりますが、売上は出店数・既存店の客数・客単価・季節要因でも動きます。月次の数字が弱くても、それをすぐに漏えいの影響と決めつけないことが大切です。

長期：ガバナンスと再発防止

使わなくなった個人情報を消すルール、アクセス制御、ログ監視、委託先の管理、経営陣の報告・説明の質。投資家が見るのは、再発防止策がどこまで具体的かです。説明が丁寧で具体的であれば、信頼の回復は早まります。

強気・中立・弱気の3シナリオ

シナリオは筆者の定性的な整理で、株価の予想ではありません。11月4日以降の株価の動きは、TOPIXや小売株全体との比較を確認したうえで別途検証します。

注意すべきイベント

1. 良品計画の第三報 ── 調査結果、侵入経路、流出が確定したかどうか
2. クレディセゾンの不正利用監視の結果、再発行・補償の方針
3. 2027年8月期の業績予想の修正、引当金・特別損失などの開示
4. 国内の既存店・EC売上の月次、アプリ利用への影響（相関をそのまま因果とみなさない）
5. 個人情報保護委員会などの公表、具体的な再発防止策
6. 11月4日以降の株価・出来高と、市場全体との比較

試算やシナリオは前提によって変わります。投資判断はご自身で行ってください。

6AI時代のサイバーリスクとの関係

攻撃者が生成AIを使って、フィッシングメールの作成や攻撃の手順を効率化する可能性は、セキュリティ業界で広く議論されています。ただし、今回の良品計画への攻撃にAIが使われたという根拠は確認できていません。「AIのせいで起きた事件」と結びつけるのは早計です。

2026年は国内企業の情報漏えいが相次ぎ、セキュリティ関連銘柄にも資金が向かいました。ただし、他社の事件と今回の事件が同じ攻撃者・同じ手口だとは確認されていません。セキュリティ関連株の値動きと、その持続性はサイバーセキュリティ株のストップ高を検証した記事で取り上げています。

8良品計画株に投資するなら ── 証券会社と関連記事

良品計画（7453）は東証プライムに上場しており、国内のネット証券で売買できます。

手数料は税込。2026年6月時点の各社公表・比較サイトの情報をもとに作成しています。手数料やキャンペーンは頻繁に変わるため、口座開設前に各社の公式サイトで最新情報を確認してください。

良品計画の記事は銘柄ページにまとめていきます。情報漏えいが相次ぐなかで買われたセキュリティ関連株については、サイバーセキュリティ株の記事もあわせてどうぞ。

まとめ ── 「可能性」の段階。次の開示で前提が変わる

情報漏えいのニュースが出たとき、投資家として確かめたいのは次の4つです。

1. 件数が「アクセスの可能性」か「流出確定」か
2. どんな項目が含まれ、悪用されるとどうなるか
3. 対応費用が利益に対してどれくらいの大きさか
4. 会社の説明と再発防止策が具体的か