无印良品更新数据泄露通报：约109万张MUJI Card涉及完整卡号

据IT之家11月5日报道，运营无印良品的良品计划于11月4日更新数据泄露通报：事件影响范围不止官方应用MUJI App，还涉及官方网络商城用户。其中，约109万张MUJI Card联名信用卡涉及完整卡号等信息，当前仍在有效期内的卡片约34.5万张。相比10月30日首次披露的情况，最新调查扩大了受影响用户与数据类型的范围。

从App扩展至商城，联名卡信息成为调查重点

良品计划此前称，MUJI App约2726万条客户信息外泄，涉及电子邮箱地址、出生日期和性别，当时表示不包括信用卡信息、姓名和住址。最新调查则显示，未安装或使用MUJI App的官方网络商城用户也可能受到影响，部分用户涉及的信息还包括姓名、地址和电话号码。

信用卡方面，此次涉及的是截至2021年7月前加入、由Credit Saison发行的MUJI Card会员。需要注意，约109万张是此次涉及的卡片规模，不能简单视为新增109万名独立受影响用户，也不宜直接与此前披露的客户信息条数相加。

• MUJI Card相关泄露内容包括完整信用卡卡号、MUJI Card ID和出生日期，但不包括持卡人姓名、有效期限及卡背面安全码。
• 在App或官方网络商城绑定信用卡的用户中，另有约120人的信用卡信息可能遭到外部访问，涉及持卡人姓名，但卡号仅暴露前6位和后2位。
• 良品计划将通过电子邮件或纸质信函逐一通知受影响用户；资料缺失、无法直接联系的MUJI Card会员，将由Credit Saison协助联络。

影响解读：零售数字化的风险不只在单一应用

这次更新值得关注的重点，是风险边界从单一App延伸到了商城与联名卡业务。对用户而言，是否安装应用并不能作为判断自身是否受影响的依据；对零售企业而言，会员、交易和金融合作业务涉及不同类型的数据，安全调查也需要覆盖相关系统，而不能只围绕最初发现问题的入口展开。

同时，两类信用卡信息的暴露程度不同，应分别理解。约109万张联名卡涉及完整卡号，但来源明确表示未包含姓名、有效期限和安全码；约120名绑卡用户则涉及姓名与部分卡号。这些差异不应被笼统归为“完整支付资料泄露”，但缺少部分支付要素也不意味着可以忽略后续风险。

据通报，截至目前，尚未发现受影响数据流向暗网等第三方渠道，也未监测到相关滥用造成的实际财产损失或侵权事件。这是当前调查进展，并不代表风险已经解除。相关用户可留意官方单独通知及账户交易变化，对借事件索取验证码、卡片安全码的信息保持警惕。对数字零售行业而言，此事也提示企业：泄露通报需要持续校正，清楚交代不同用户群体、数据字段与处置安排，才能让用户准确判断影响。