11月6日下午，MUJI 中国在官方微博发了一份情况说明。
核心只有一句：日本总部官方 App 遭非法网络访问，经核查，中国消费者信息确认安全，与此次日本事件无关。界面新闻
国内办的 MUJI 会员，要不要改密码？答案取决于账户在哪一边。
MUJI 中国说得很明确：中国会员信息存在独立服务器上，按本地法规不传输至境外。蓝鲸新闻
这次出事的是日本总部的 MUJI App、官网商城，以及日本市场的 MUJI Card。它们和国内会员系统不是同一套。
所以，只在中国大陆注册过会员、只在门店或国内电商买过东西的人，不用为这条新闻改密码。
但“两套系统”不等于“无关”。如果你在日本 MUJI App 或官网下过单，办过 MUJI Card，或海淘、代购时用过日本账号，你就在受影响的一边。
10月30日，良品计划第一次披露：系统遭非法入侵，最多约 2726 万条用户信息可能被访问，包括邮箱、出生日期、性别；当时称不含信用卡、姓名、住址、电话。中国新闻网
11月4日，第二份公告修正了说法。 受影响的不只是 MUJI App，还包括日本官网商城会员。环球时报
2726 万条里，约 52 万人的姓名、住址、电话也可能被访问。 部分在 App 或官网登记过信用卡的用户，信用卡资料也可能被访问。环球时报
11月5日，日本《读卖新闻》报道，公司承认约 109 万条 MUJI Card 相关信息可能外泄，包括完整信用卡卡号、MUJI Card ID 和出生日期。蓝鲸新闻
这些卡主要办于 2000 年 10 月至 2021 年 7 月。仍在有效期内的约 34.5 万张，其余约 74.5 万张已注销或失效。 泄露信息不含有效期和安全码，但完整卡号仍是敏感信息。中国新闻网
良品计划的解释是：2021 年 7 月以前，公司从发卡机构拿到这些信息，用于向部分持卡人提供专属优惠；之后资料一直留在系统里，没有清除。 那些已注销的卡，完整卡号可能还躺在 2026 年的服务器里。蓝鲸新闻
这不是黑客手段有多高明，而是数据该删没删。
第一，只在中国大陆用过 MUJI 的：会员信息在独立服务器，官方已确认安全。不用专门为这次事件改密码。
但如果你日本、中国两个账号用同一个邮箱和密码，建议把中国这边密码也换掉。不是 MUJI 中国漏了，是“同一把钥匙开两扇门”。
第二，有日本 MUJI App 或官网账号的：改密码，检查绑定的邮箱、地址、电话是否还准确；收到自称 MUJI 的邮件，先看发件域名，不要直接点链接。
第三，办过 MUJI Card 的：重点看 2000 年 10 月到 2021 年 7 月这段。查账单、开交易提醒；如果卡还在用，联系发卡机构确认是否需要换卡。
MUJI 说会通过电子邮件或邮寄方式逐一通知受影响用户。 它不会向你索要密码、验证码或卡背安全码。环球时报
第四，收到“MUJI 数据泄露理赔、退款、补积分”的消息，一律当诈骗。泄露的邮箱、姓名、地址、电话，够拼出一封很像真的邮件。
良品计划表示，目前尚未发现信息流入暗网或被恶意利用。 公司已阻断非法访问、加强监控。这能让人稍微松一口气，但不能替代用户自己的动作。环球时报
另一组数字来自 2026 财年财报：营收 9235.92 亿日元，同比增 17.7%。营业利润 1034.36 亿日元，同比增 40.1%。归母净利润 764.22 亿日元，同比增 50.3%。
三项均创历史新高，营业利润首次突破 1000 亿日元。中服圈
中国大陆是它最大的海外市场。截至 2026 年 8 月底，门店总数 433 家，财年新开 42 家；既有门店和电商销售额同比增 16.3%。中服圈
会员盘子越大，数据责任越重。
这次事件里，真正该被追问的，不是“黑客怎么进来的”，而是“为什么 2021 年就该清掉的数据，2026 年还在”。
先弄清账户属于哪一边，再决定改不改密码。
