Seguridad4 nov 2026, 18:53 UTC·2 min de lectura

MUJI amplía su brecha: números de tarjeta de 1,09 millones de socios

Ryohin Keikaku admite que el acceso no autorizado a la app de MUJI pudo exponer los números completos de tarjeta de 1,09 millones de miembros de MUJI Card.

A MUJI retail store entrance with a smartphone showing the MUJI app, illustrating the data breach. — Imagen: ITmedia NEWS

Ryohin Keikaku, la empresa detrás de MUJI, anunció el 4 de noviembre que el acceso no autorizado a su app MUJI, revelado el 30 de octubre, pudo afectar también a datos de tarjetas de crédito, nombres y direcciones, algo que al principio había descartado. El nuevo alcance incluye unos 1,09 millones de registros de miembros de la tarjeta MUJI Card, con el número completo de tarjeta.

Datos de la MUJI Card

La MUJI Card la emite Credit Saison. Los 1,09 millones de registros corresponden a socios que se incorporaron hasta julio de 2021 e incluyen el número completo de la tarjeta, el ID de MUJI Card y la fecha de nacimiento. Unas 345.000 de esas tarjetas siguen activas; el resto está vencido o cancelado. Según la compañía, no se incluyen el nombre del titular, la fecha de caducidad ni el código de seguridad.

Ryohin Keikaku explica que antes de julio de 2021 recopilaba números de tarjeta para ofrecer ventajas propias a los miembros y que esa información seguía en sus sistemas. Credit Saison ha reforzado la vigilancia de usos fraudulentos y reemitirá tarjetas a quien lo solicite.

Más clientes afectados

La cifra anterior, de hasta 27,26 millones de registros de clientes, también se amplió. El aviso inicial hablaba de correos electrónicos, fechas de nacimiento y género de usuarios de la app. La investigación posterior mostró que también hay miembros de la tienda online que nunca usaron la app y que se expusieron los ID de miembro. Unos 520.000 de esos registros incluyen además nombre, dirección y teléfono.

Además, los datos de unos 120 usuarios que registraron tarjetas en la app o en la tienda online pudieron ser consultados: los seis primeros y los dos últimos dígitos del número y el nombre del titular.

Qué deben hacer los usuarios

La empresa avisará a los afectados por correo electrónico o postal y pide revisar los extractos de la tarjeta y notificar al emisor cualquier cargo desconocido. Por ahora no se ha confirmado ninguna filtración en la dark web ni daños por uso indebido. La app y la tienda online funcionan con normalidad, y la investigación sobre la causa continúa.