无印良品约109万条本应删除的信用卡数据恐泄露 留存与遮罩双失守

这两天在翻 10 月底以来各地区的数据泄露通报，本来是给数据留存清册找参照案例，翻到良品计画这条的时候停了很久——不是因为量大，是因为这次泄露的那批数据，本来四年多前就该被删掉。



事情的最新进展是 11 月 12 日。无印良品的母公司良品计画当天在东京开记者会，社长清水智公开道歉，承认因为系统遭非法访问、被利用漏洞，约 109 万条本应删除的客户信用卡号码等数据可能已经泄露。这是对 10 月 30 日那次通报的追加披露：当时公司说 MUJI App 遭到未经授权的访问，最多约 2726 万条客户信息可能泄露；后续调查往下挖，发现还有约 44 万名客户的完整信用卡号码、会员识别码、出生日期等约 109 万条记录可能也在里面。







几组数字我逐条对过口径。109 万条这个数，新华社、中央社（引读卖新闻）和共同社的报道一致，指的是 2021 年 7 月以前申办无印良品联名信用卡 MUJI Card 的客户记录，里面包括已过期、已注销和仍在有效期内的完整 16 位卡号，其中仍有效的卡片约 34.5 万张，不含卡片有效期和安全码。但 44 万这个人群的表述两家对不上：新华社写的是约 44 万名会员，共同社（经每日新闻英文站转发）写的是约 44 万名有货到付款订单的客户。我翻了良品计画 11 月 9 日的官方第四报，里面确实单列了一类——2020 年 1 月 2 日到 2025 年 2 月 10 日期间在门店和网络商店做代引配送（货到付款）收件人的客户信息也确认被不当访问，所以共同社的说法更贴近官方通报的结构，但官方第四报里没有把 109 万和 44 万直接对齐，我这里如实并列，不下结论。



真正值得记住的是公司自己承认的那个问题。据读卖新闻等日本媒体报道，公司过去为了给 MUJI Card 会员发专属优惠，直接拿信用卡号当会员识别依据，2021 年 7 月改系统后才换成别的识别码；按当时的规定，旧卡号应当全部删除，但没有落实，而且这批卡号没有做遮罩处理，是以完整 16 位明文保存的。公司承认未对卡号做屏蔽保护是这次事件暴露出的最大问题，到底是人为疏失还是系统问题仍在调查。换句话说，2021 年那次升级如果真把该删的数据删干净了，攻击者哪怕进了系统，也拿不到这 109 万条完整卡号。留存了四年多的敏感数据，最后变成攻击者的直接收益，这个链条值得每一个管数据的人摆在自己面前看一遍。



入侵路径官方也给了线索：第四报确认网络商店发生了所谓列表型攻击，也就是拿外部泄露的密码批量试登录，已有非本人登录的可能，这也是网络商店 11 月 6 日起停服、重开一延再延的原因，官方说重开时会要求全员重设密码。处置方面，公司 11 月 10 日起联合发卡方陆续逐一通知受影响客户，说如果完整卡号确实泄露，会全额承担补发卡手续费，之后如果出现盗刷等实际损失，会逐案赔偿。截至我查证时（11 月 14 日），没有看到攻击者身份的官方定性，网店重开时间未定。



这件事放大的背景也值得看一眼。据新华社、央广网引日本个人信息保护委员会的口径，本财年 4 月开始以来，日本累计已有约 2.6 亿人次的个人信息存在泄露风险，接近日本总人口的两倍，零售、餐饮、金融、教育、物流各个行业都有。



给我自己的三条清单，顺手记在这里。第一，敏感数据留存要有硬性到期删除，不能只写在制度里，要有可核查的执行记录，良品计画就是制度写了、执行没跟上的典型。第二，卡号、证件号这类数据在留存期间也要做遮罩或脱敏，至少保证泄露后不能直接利用，完整明文只在确有必要的最小范围内存在——这家公司反而是现行网店登录的卡信息按标准做了遮罩，偏偏旧库里那批没做。第三，撞库这类列表型攻击的防御不能只靠限流，口令撞库里库外泄是常态，站方要做泄露口令比对、异常登录二次验证，出事后第一时间强制全员改密才算闭环，这家是停服十几天后才承诺全员重设。第四，泄露通报要一次给全，10 月 30 日通报 2726 万条，11 月 12 日又追加 109 万条卡号，中间这十几天里受影响用户是按没有卡号风险来做处置决策的，分批披露的代价公司没提。



来源列表（查阅日期 2026-11-14）：

1. 良品计画官方第四报（列表型攻击、代引配送收件人、网店重开延期），2026-11-09：https://www.ryohin-keikaku.jp/news/articles/2026_1109_01

2. 良品计画官方第一报，2026-10-30：https://www.ryohin-keikaku.jp/news/articles/2026_1030_01

3. 新华社英文站 Muji operator apologizes for possible large-scale credit card data leak，2026-11-12：http://chinaview.cn/asiapacific/20261113/16c8d05504c8467a9a8bc84d5df373e9/c.html

4. 每日新闻英文站转发共同社稿（109 万条、44 万名货到付款客户），2026-11-12：https://mainichi.jp/english/articles/20261112/p2g/00m/0bu/038000c

5. 中央社（引读卖新闻、WWD JAPAN，34.5 万张有效卡、完整 16 位未遮罩），2026-11-12：https://www.cna.com.tw/news/aopl/202611120216.aspx

6. 央广网 无印良品紧急致歉（引日本个人信息保护委员会 2.6 亿人次口径），2026-11-13：https://www.cnr.cn/mspd/msyx/20261113/t20261113_527871020.shtml

7. 腾讯新闻转载新华社 日本无印良品道歉，2026-11-13：https://news.qq.com/rain/a/20261113A07C1400



交叉验证说明：109 万条、2726 万条、清水智 11 月 12 日记者会道歉、承担补卡费用由官方通报加新华社、共同社、中央社多源核对一致；44 万名人群的表述（会员与货到付款客户）两源存在差异，正文如实并列未做合并，并以官方第四报的代引配送条目作为旁证；2.6 亿人次为新华社、央广网引日本个人信息保护委员会口径，委员会原文页面未能直接查阅，特此标注。



HKTULU

2026-11-14