Osegi
Sicherheit·1 Min. Lesezeit

Muji Online-Shop bleibt nach Credential-Stuffing-Angriff offline

Ryohin Keikaku verschiebt die Wiedereröffnung des Muji-Onlineshops, nachdem ein Credential-Stuffing-Angriff unbefugte Logins möglich gemacht haben könnte.

A Muji retail store front with the brand's minimalist signage, illustrating the company's online store outage after a login attack.
Bild: Impress Watch
SUMODialoediviewergiftdetect

Der Muji-Betreiber Ryohin Keikaku verschiebt die Wiedereröffnung seines Onlineshops „Muji Net Store“. Der Shop ist seit dem 6. November, 16 Uhr, abgeschaltet. Das Unternehmen gab die Verzögerung am 9. November im vierten Update zu möglichen Datenabflüssen rund um die MUJI-App bekannt.

Bei der Abschaltung hatte Muji noch eine Rückkehr binnen ein bis zwei Tagen in Aussicht gestellt. Inzwischen wurde jedoch ein Credential-Stuffing-Angriff mit zahlreichen Anmeldeversuchen festgestellt, bei dem sich Dritte möglicherweise unbefugt in Konten eingeloggt haben. Einen neuen Termin nennt das Unternehmen nicht.

Wiederverwendete Passwörter als Einfallstor

Die Angreifer nutzten Passwörter und ähnliche Zugangsdaten, die sie sich möglicherweise andernorts illegal beschafft hatten. Muji hatte die Überwachung nach der ersten Meldung am 30. Oktober verstärkt, hielt nach weiteren unbefugten Zugriffen aber umfassende Sicherheitsmaßnahmen und Prüfungen für nötig.

Bei der Wiedereröffnung sollen alle Nutzer ihr Passwort zurücksetzen müssen. Wer dieselbe E-Mail-Adresse und dasselbe Passwort bei mehreren Diensten verwendet, sei besonders gefährdet; das Unternehmen rät daher zu einem Passwort, das sich von denen anderer Dienste unterscheidet.

Auch Nachnahme-Daten betroffen

Zudem bestätigte Muji unbefugte Zugriffe auf Teile der Daten von Kunden, die zwischen dem 2. Januar 2020 und dem 10. Februar 2025 in Läden oder im Onlineshop Empfänger von Nachnahmelieferungen waren. Die bisher genannte Zahl der Betroffenen wurde teilweise korrigiert.

Ab dem 10. November informieren Ryohin Keikaku und Credit Saison die Betroffenen nach und nach per E-Mail oder Post. Bei Nachnahme-Kunden, deren Kontaktdaten Ryohin Keikaku nicht vorliegen, ersetzt die Mitteilung vom 9. November die persönliche Benachrichtigung.

Für Kunden heißt das: Muji-Passwörter nirgendwo sonst verwenden und nach der Wiedereröffnung mit einer verpflichtenden Zurücksetzung rechnen.

Apps, die sich lohnen

SUMO: das Zahlenrätsel

Tippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.

Schlagwörter:mujiryohin keikakucredential stuffingdata breache-commerce

Mehr von diesem Tag

Alle anzeigen →

Mehr aus: Sicherheit

Alle anzeigen →