10月30日，良品计划第一次说明系统遭非法入侵。公告称，最多约2726万条用户信息可能被外部访问，涉及邮箱、出生日期和性别，并明确不涉及信用卡资料、姓名、住址和电话号码。环球时报
11月4日的第二份公告，推翻了这句话。
新增范围里，约109万件MUJI Card会员信息可能被非法访问，包括完整信用卡卡号、MUJI Card ID和出生日期。在2726万条信息中，约52万名用户的姓名、住址、电话也可能被访问。
109万件中，仍有效的信用卡约34.5万张，其余约74.5万张已经注销或失效。环球时报
卡注销了，完整卡号还留在系统里。良品计划的解释是：2021年7月以前，为向部分持卡人提供专属优惠，公司从发卡机构取得了这些资料。
此后资料一直留存，没有清除。日本网民追问：既然不是日常业务必需，为什么多年后还留着；完整卡号为什么没有加密。
MUJI Card由日本信用卡公司Credit Saison发行，和国内熟悉的MUJI会员不是一回事。
11月5日晚，MUJI中国回应称，这次影响的是MUJI日本，不是MUJI中国；中国会员信息存在独立服务器上，不会传输至境外。这是公司的说法，国内会员不必按“卡号已泄露”处理。时代财经
但真正该记住的，不是“日本出事、中国没事”，而是“注销”到底做了什么。
注销一张卡，停掉的是继续消费的权限。卡号、生日、姓名、地址什么时候删、删到什么程度，取决于发卡方和商户各自的系统。
卡剪了，数据不一定跟着消失。会员账号也一样：换了手机号、搬了家、不再用了，旧资料可能还留在某个数据库里。
能做的很具体：想想自己在哪些平台留过完整卡号；会员密码别和支付密码共用；收到“账户异常”“积分清零”的短信或邮件，先别点链接，回官方App查。
对MUJI来说，最难解释的不是109万这个数字，而是那74.5万张已经不需要的卡，为什么在2021年7月之后还完整地留在系统里。一个靠“这样就好”建立好感的品牌，这次留下的，恰恰是早该删掉的那部分。
