109 万张 MUJI 卡的卡号漏了，真正麻烦的是那 2726 万条会员资料

11 月 5 日 IT之家报道了日本良品计划的最新通报：无印良品 MUJI App 那起外泄，受影响范围比 10 月 30 日第一次通报时更大。

第一次说的是约 2726 万条客户信息，涉及邮箱、出生日期、性别，当时官方明确讲不包括信用卡信息，也不包括姓名和住址。几天后补的这份调查把口径改了：受影响的人里还包括官方网络商城的用户，连没装过 App 的也算；其中一部分人的姓名、地址、电话号码也在里面。

信用卡这块的数字是这样的：截至 2021 年 7 月前加入的 MUJI Card 联名卡会员，约 109 万张卡受影响，其中还在有效期内的约 34.5 万张。这张卡由 Credit Saison 发行。泄露的字段包括卡号、MUJI Card ID、出生日期，不含持卡人姓名、有效期和背面的 CVV。

另有约 120 名在 App 或商城绑过卡的用户，卡信息可能被外部访问过，包括持卡人姓名。这部分人泄露的卡号只有前 6 位和后 2 位。

"只有前 6 位和后 2 位"这句话，值得拆开算一遍。一张卡 16 位，前 6 位是发卡行识别码，同一个银行同一类卡全都一样；后 2 位是校验位之外的最后两位。中间还剩 8 位不知道，一亿种组合。拿一亿种组合去撞，还得同时猜对有效期和 CVV，而这两样恰恰没泄露。

再算一层。一张带芯片的信用卡在日本重制一次，银行侧的成本大概 1000 到 1500 日元，34.5 万张有效卡全换一遍，光卡片本身就要 3.5 亿到 5 亿日元，折人民币 1600 万到 2300 万。Credit Saison 会不会真换，通报里没写，只写了"依序一对一通知"。通知一封纸质信在日本寄出去 84 日元起，119 万封就是 1 亿日元。

对比之下，那 109 万张"卡号完整泄露"的卡，风险反而更该被盯着——卡号齐了，缺的是有效期和 CVV。日本网购做本人认证大多还要短信验证码，单靠卡号刷不走钱。所以通报里那句"尚未发现数据被泄露至暗网、未监测到实际财产损失"，从卡的角度看是站得住的。

我担心的是另一堆数据。邮箱、姓名、住址、电话、出生日期、性别，六项凑齐，这就是一份能直接拿去打电话的名单。"我是无印良品客服，您的 MUJI Card 因为数据泄露需要核验信息，请提供一下验证码"——这种电话不需要任何技术，只需要一个能报出你生日和地址的人。日本这几年的特殊诈骗（她们叫"オレオレ詐欺"的变种）里，能报出个人信息的开场白成功率最高。

数字再叠一层。日本《个人信息保护法》2022 年 4 月 1 日施行的那版，把泄露报告义务写成了"可能损害个人权益时必须报告"，要给个人情报保护委员会交一份，通常的窗口是知道事故后 30 天内、严重情况 3 到 5 天。良品计划 10 月 30 日第一次通报，11 月 4 日补第二份，中间隔了 5 天，这个节奏卡在规定里，不算拖。

2726 万条记录对日本 1.24 亿人口来说，差不多每 4.5 个人里就有一条。MUJI App 的下载量早过千万，会员体系从 2019 年推 App 起就在攒数据，五年攒到这个量级并不奇怪。

119 万受影响的信用卡用户，官方说会通过邮件或纸质信函一对一通知，联系不上的交给 Credit Saison 协助。纸质信函这一步是对的——邮件本身可能就是泄露的那个字段，用被泄露的渠道去通知泄露，等于再给钓鱼者递一次素材。

还有个时间线值得记一下。这批 MUJI Card 会员是"截至 2021 年 7 月前加入"的，也就是说五年前就已经停止新增的卡种，数据还完整躺在库里。日本《个人信息保护法》2022 年修订后要求企业在可能损害个人权益的泄露发生后 30 天内向委员会报告，但没要求删掉不再需要的旧数据。留着不用、也不删，出事的时候就是纯负债。

国内的情况差不多。2023 年那次某快递公司泄露，涉事数据 40 万条，最后罚了 30 万；2024 年一家连锁酒店的会员库出事，2100 万条记录，罚款不到 100 万。按这个标准算，一条个人信息的违规成本不到 5 分钱，比留着旧数据的存储费还便宜——这就是为什么没人急着删。

《个人信息保护法》第 47 条写了"处理目的已实现、无法实现或者为实现处理目的不再必要"就该主动删除，但没人核查，企业也就当没这条。真要较真，每个 App 都该有个"清空历史订单地址"的按钮，实际点进去能删干净的没几个。

所以电商、航司、酒店的会员库里，十年八年前的收货地址和手机号大多还在，很多人自己都忘了注册过。真出问题时，你能做的只有改密码，而地址和生日是改不掉的。

至于要不要因为这事退会员。我自己的判断是卡可以先冻结，App 不必急着删——它现在是你唯一能查到"自己到底泄露了哪些字段"的入口。真要防，接下来三个月里凡是能准确说出你生日和地址的来电，一律挂掉，回拨官方客服核实。这条比任何密码都管用。

MUJI 那 2726 万条记录里，丹麦那次 880 万人的泄露。，可能就有我 2019 年在店里填的那张会员表。当时为了一个帆布袋。