MUJI 大概是那种你默认「不会出事」的品牌：设计寡淡、推销克制，连收纳盒都透着安全感。结果这次塌房塌在最意想不到的地方——它把 2000 年开始的信用卡资料在服务器里默默存了二十多年，然后，弄丢了。
一、三次公告，两次改口
10 月 30 日，运营方良品计划首次披露：MUJI APP 遭非法访问，最多约 2726 万条用户信息可能外泄，内容涉及邮箱、出生日期、性别，并强调不含姓名、住址和信用卡。界面新闻火绒安全
11 月 4 日第二份公告改口：官网商城会员同样中招，2726 万条里约 52 万人的姓名、住址、电话也可能被访问，登记过信用卡信息用户的卡片资料同样进了黑客视野。环球时报
11 月 5 日最终实锤：约 109 万件 MUJI Card 相关会员信息被非法访问，这次包含完整的信用卡卡号、Card ID 和出生日期。蓝鲸新闻
为什么连 2000 年的卡号都还留着？官方解释：2021 年 7 月前为了给持卡人做专属优惠，公司从发卡机构拿过这批资料，之后一直没清除。日本网民炸了：不是日常业务必需，凭什么存这么多年？环球时报
二、国内用户能松口气吗
11 月 6 日，MUJI 中国发布情况说明：经核查，中国消费者信息确认安全，与此次日本事件无关。国内会员数据则存储在独立服务器、不传境外，公司已主动开展网络安全专项排查。也就是说，只用国内 App 和国内会员的，大概率没事。但有一类人别跳过自查：在日本 MUJI App 或官网注册过账号、办过日本 MUJI Card 的——常去日本、习惯官网下单的，看看自己算不算。界面新闻蓝鲸新闻蓝鲸新闻
三、比生气更要紧的三件事
① 接下来所有「MUJI 发来的」邮件短信都提高警惕。官方自己提醒，后续可能出现冒充 MUJI 的「钓鱼邮件」，让你「点链接领取补偿」「核实账户」的，直接当诈骗处理。界面新闻
② 日区绑过卡的，翻一翻账单。这次涉及的信息中，仍有效的信用卡约 34.5 万张，其余已注销或失效。目前官方尚未发现信息流入暗网或已造成实际损失，但「目前没发现」不等于「永远没事」，看到可疑交易，第一时间找发卡行挂失换卡。环球时报
③ 顺手把自己的数据也收纳一遍。查一遍各 App 里存着的卡号、地址和旧账号，不用的就注销。这次事件最扎心的不是被黑，而是——没人动的旧数据会一直躺着，一泄就是横跨二十多年的存货。
MUJI 的哲学是「这样就好」：克制、简洁、不折腾。现在轮到其他品牌抄作业了：你的用户数据，最好也「这样就好」——该删的删，别囤。
