تسريب بيانات Muji: أرقام البطاقات الكاملة بقيت محفوظة حتى 2021

تكشفت القصة على مراحل. ففي 30 أكتوبر أعلنت الشركة أن جهة خارجية ربما وصلت إلى بيانات ما يصل إلى 27.26 مليون عميل، بينها بيانات تطبيق MUJI. وكانت بطاقات الائتمان مستثناة في البداية. وفي 4 نوفمبر أضافت أن الأرقام الكاملة لبطاقات نحو 1.09 مليون شخص انضموا إلى MUJI Card بين أكتوبر 2000 ويوليو 2021 ربما تعرضت للوصول أيضًا.

لماذا احتفظت Muji بأرقام البطاقات كاملة؟

جُمعت الأرقام لمنح أعضاء MUJI Card مزايا خاصة. وفي يوليو 2021 غيّرت الشركة هذا النظام وأنهت ربطه بأرقام البطاقات، لكنها لم تحذف بعض الأرقام التي جمعتها سابقًا. وقالت في المؤتمر إنها استخدمت رقم البطاقة للتعرف على العملاء حتى يوليو 2021، وإن الأرقام لم تكن معماة ولا مشفرة أثناء التخزين. وتؤكد أن الاحتفاظ لم يكن متعمدًا، بل ناتج عن خلل في إجراءات إدارة البيانات. ولم يتضح بعد هل كان السبب خطأ بشريًا أم مشكلة في النظام.

وطُرح سؤال قانوني أيضًا. فقانون البيع بالتقسيط الياباني المعدل في يونيو 2018 يطلب من الجهات التي تقبل البطاقات، من حيث المبدأ، ألا تحتفظ ببيانات البطاقات أو أن تلتزم بمعيار PCI DSS. وقالت Muji إنها كانت تعلم بهذا المتطلب، وإنها تراجع حاليًا مدى مخالفتها للقانون.

كيف وقع الهجوم؟

رصدت الشركة في متجرها الإلكتروني هجوم «قوائم بيانات الدخول»، أي محاولات تسجيل دخول متكررة بمعرفات وكلمات مرور ربما سُرقت من مواقع أخرى. وجاءت المحاولات من عناوين IP متعددة على مدى فترة طويلة. أما الهجوم الذي أتاح الوصول إلى بيانات البطاقات فكان من نوع مختلف. ولا يزال التحقيق مستمرًا.

وستتحمل الشركة كامل رسوم إعادة إصدار البطاقات المتأثرة. وسُئلت كذلك عن تزامن إعلان 4 نوفمبر مع نهاية تخفيضات «أسبوع Muji»، فنفت ذلك وقالت إن تحديد النطاق تطلب تأكيدات من جهات أخرى.