10月30日，良品计划第一次通报：官方应用 MUJI App 遭非法访问，最多约2726万条用户信息可能外泄，涉及电子邮箱、出生日期和性别。通报特别说明，不包括信用卡信息、姓名和住址。界面新闻
11月4日，第二份通报把范围改了。MUJI Card 也被纳入，约109万条记录包含完整卡号、出生日期等信息。 2726万条里，约52万人的姓名、住址和电话号码也可能遭到非法访问。中国新闻网快科技
第一次说“不含”的信用卡信息和身份信息，第二次都出现了。这不是简单的数字变大，而是企业对“哪些数据还在系统里”的认知被修正了一次。
为什么会有这批卡号？良品计划解释，2021年7月以前，为向部分 MUJI Card 持卡人提供专属优惠，公司从发卡机构获取了这些信息。此后，资料一直留在系统里，没有被清除。成都商报
这109万条记录里，目前仍有效的卡约34.5万张，其余约74.5万张已注销或失效。 外泄信息不包括卡片有效期和安全码。海量财经中国新闻网
问题就出在这74.5万张上。卡注销了，数据没有。对用户来说，“这张卡我早就不用了”和“这家公司已经没有我的资料了”是两件事。
那普通用户要警惕什么？
如果你持有或曾经持有日本 MUJI Card，先别把“已注销”当成安全。留意良品计划通过邮件或邮寄发来的通知。仍在有效期内的卡，核对账单，必要时联系发卡机构换卡。良品计划说会陆续通知受影响客户，并提醒警惕可疑的钓鱼邮件和电话。每日经济新闻
目前，良品计划表示尚未发现信息流入暗网，也未发现被恶意利用造成损失的情况。 但这只是截至通报时的情况。海量财经
如果你在国内是 MUJI 会员，MUJI 中国在11月5日晚回应，中国会员的信息存储在独立服务器上，根据本地法规不会传输至境外，本次事件不影响国内会员。 不必因为这条新闻去改密码或注销账号。但“这次不受影响”不等于品牌名不会被冒用，收到任何声称来自 MUJI 的通知，别急着点链接，回官方 App 或客服核实。每日经济新闻
更普遍的风险，不在卡号本身。多数线上支付还要核对有效期、安全码，或者加一道短信验证，光有卡号通常不够；可一旦卡号、姓名、住址、电话被拼在一起，骗子就能写出很像真的剧本：报得出你的地址，说得出你哪年办过卡，再让你“核实”一下。
评论区有人觉得，信息泄露了也没啥用，反正贷不到款。单条信息确实可能不值钱，但拼起来才值钱。
所以，比起记住109万，更值得记住的是：企业第一次通报的“不含”，通常只是当时查到的范围。不用的服务，也别只注销账号，问一句数据什么时候删。
那74.5万张已经注销或失效的卡，卡号本来不必留到今天。它们出现在通报里，比109万这个数字更值得追问。
