Muji-Datenleck: Volle Kartennummern bis 2021 gespeichert

Was ist beim Muji-Datenleck passiert?

Am 30. Oktober meldete das Unternehmen, dass bei bis zu rund 27,26 Millionen Kundendatensätzen, darunter der MUJI-App, unbefugt zugegriffen worden sein könnte. Kreditkarten waren zunächst ausgenommen. Am 4. November kam hinzu: Auch die vollständigen Kartennummern von etwa 1,09 Millionen Menschen, die zwischen Oktober 2000 und Juli 2021 der MUJI Card beigetreten sind, könnten betroffen sein.

Die Nummern dienten dazu, MUJI-Card-Mitgliedern eigene Vorteile zu gewähren. Im Juli 2021 wurde das System umgestellt und die Kopplung an die Kartennummer beendet. Ein Teil der früher erfassten Nummern blieb aber gespeichert. Auf Nachfrage hieß es, die Nummer sei bis Juli 2021 zur Kundenidentifikation genutzt worden. Maskiert oder verschlüsselt war sie nicht.

Warum wurden die Nummern nicht gelöscht?

Laut Unternehmen war es keine Absicht, sondern ein Fehler im Ablauf der Datenverwaltung. Ob menschliches Versagen oder ein Systemproblem vorliegt, ist noch offen.

Auch ein möglicher Gesetzesverstoß war Thema. Das seit Juni 2018 geltende japanische Ratenzahlungsgesetz verlangt von Händlern grundsätzlich, Kartendaten nicht zu speichern oder den Sicherheitsstandard PCI DSS einzuhalten. Muji kannte die Regel nach eigener Aussage schon damals, prüft aber noch, ob es dagegen verstoßen hat.

Wie kamen die Angreifer hinein?

Im Onlineshop gab es über lange Zeit massenhaft Login-Versuche von vielen IP-Adressen. Das Unternehmen spricht von einem listenbasierten Angriff, bei dem anderswo erbeutete Zugangsdaten durchprobiert werden. Der Zugriff auf die Kartendaten gehe auf eine andere Angriffsart zurück.

Muji übernimmt die Gebühren für die Neuausstellung betroffener Karten. Dass die Meldung vom 4. November auf das Ende einer Rabattaktion fiel, sei kein Kalkül gewesen, die Klärung des Umfangs habe Zeit gebraucht.