10月25日在MUJI日本App下单的童装，到11月6日还没送到。一位在日用户再打开App，订单号已经查不了，首页只剩一行提示：因信息泄露，暂停使用。
这是看得见的部分。看不见的部分，是良品计划在一周里改了两次口径。
10月30日，MUJI日本首次承认系统遭非法访问，最多约2726万条用户信息可能外泄，涉及邮箱、出生日期、性别。当时公司说，不含信用卡资料、姓名、住址和电话号码。环球时报
11月4日的第二份公告，把这个范围改了。遭访问的不止App，还有网络商店会员。环球时报
2726万条里，约52万人的姓名、住址、电话也可能被看到。
更要紧的是另一批：约109万条MUJICard相关信息，可能包含完整卡号、MUJICard ID和出生日期。蓝鲸新闻
三份名单，风险并不一样。
第一份是2726万条邮箱、生日、性别。单看很轻，但它适合拿去做钓鱼邮件和撞库——如果你在别处也用同一个邮箱加旧密码，风险会顺着爬过来。
第二份是其中约52万条姓名、住址、电话。这三样凑在一起，足够冒充快递、海关或银行，打一通能叫出你名字的电话。
第三份是109万条MUJICard记录。良品计划说，这一批只涉及完整卡号，持卡人姓名、有效期和安全码都没有泄露。微博
也就是说，光有卡号，很难直接完成一次网上盗刷。但卡号本身仍是敏感信息，遇到自称发卡机构的来电或邮件，对方能报出卡号，更容易让人放松警惕。
这109万里，目前仍有效的卡约34.5万张，其余约74.5万张已注销或失效。环球时报
真正让人不舒服的，是这些卡号为什么会留到现在。
良品计划的解释是：2021年7月以前，为给部分持卡人提供专属优惠，公司从发卡机构拿到了这些信息；后来资料一直留在系统里，没有清除。蓝鲸新闻
涉事用户是2000年10月至2021年7月间办卡的，跨度超过二十年。
日本网民的追问很直接：既然不是日常业务必需，为什么过期这么多年还不删？也有人问，完整卡号为什么没有加密。
良品计划目前表示，尚未发现信息流入暗网或被恶意利用，会通过邮件或邮寄逐一通知受影响用户。环球时报
中国会员这边，MUJI中国的说法是：中国会员信息存在独立服务器，按本地法规不传输至境外，这次事件与MUJI中国无关。它同时表示已开展网络安全排查。新华网界面新闻
这句话能覆盖的是中国区App和门店会员。它覆盖不了另一类人：在日本办过MUJI Card、后来回国或注销卡的人。卡注销了，记录还在那109万里。
如果你属于这一类，先做三件事。
翻一遍近期信用卡账单，看到不认识的扣款，直接联系发卡机构。
对任何自称MUJI或发卡机构的邮件、短信，不点链接，回官方App或客服电话核实。蓝鲸新闻
如果当年留的日本邮箱、地址已经不用了，主动去查一下有没有错过通知。也把MUJI相关的密码换掉，别和邮箱、支付账户共用。
目前官方用的词还是“可能”。没有确认流出，也没有确认被冒用。
但一份五年前就该删掉的旧资料，不需要等它被用掉，才叫事故。
