Filtración de Muji: guardó números completos de tarjeta hasta 2021

¿Qué pasó con la filtración de datos de Muji?

El 30 de octubre, la compañía avisó de que un acceso no autorizado pudo afectar hasta a 27,26 millones de registros de clientes, entre ellos los de la app MUJI. Al principio excluyó las tarjetas. El 4 de noviembre añadió que los números completos de unas 1,09 millones de personas que se hicieron miembros de la MUJI Card entre octubre de 2000 y julio de 2021 también pudieron ser consultados.

Los números se recogían para dar ventajas propias a los miembros de la MUJI Card. En julio de 2021 la empresa cambió ese sistema y terminó la vinculación con el número de tarjeta, pero parte de los números anteriores siguió guardada. Preguntada por ello, explicó que hasta julio de 2021 usaba el número para identificar al cliente. No estaba enmascarado ni cifrado.

¿Por qué no se borraron esos números?

Según Muji, no fue intencionado: hubo fallos en el proceso de gestión de datos. Aún no sabe si fue un error humano o un problema del sistema.

También se preguntó si guardarlos infringía la ley. La ley japonesa de ventas a plazos, reformada y vigente desde junio de 2018, exige en principio que los comercios no conserven datos de tarjetas o cumplan el estándar PCI DSS. Muji dice que conocía la norma entonces, pero aún comprueba si la incumplió.

¿Cómo entraron los atacantes?

La tienda online recibió durante mucho tiempo un gran volumen de intentos de inicio de sesión desde varias direcciones IP. La empresa lo describe como un ataque de lista, que prueba credenciales robadas en otros sitios. El acceso a los datos de tarjeta fue otro tipo de ataque.

Muji asumirá todos los costes de reemisión de las tarjetas afectadas. Niega que anunciara el 4 de noviembre para coincidir con el final de su promoción: dice que delimitar el alcance llevó tiempo.