Fuite de données Muji : numéros de carte conservés jusqu'en 2021

Que s'est-il passé avec la fuite de données Muji ?

Le 30 octobre, l'entreprise a annoncé qu'un accès non autorisé avait pu toucher jusqu'à 27,26 millions de fiches clients, dont celles de l'application MUJI. Les cartes bancaires étaient d'abord exclues. Le 4 novembre, elle a ajouté que les numéros complets d'environ 1,09 million de personnes inscrites à la MUJI Card entre octobre 2000 et juillet 2021 avaient pu être consultés.

Ces numéros servaient à accorder des avantages propres aux membres de la MUJI Card. En juillet 2021, le système a changé et le lien avec le numéro de carte a pris fin, mais une partie des numéros recueillis auparavant est restée stockée. Interrogée, l'entreprise a répondu qu'elle utilisait ce numéro pour identifier les clients jusqu'en juillet 2021. Il n'était ni masqué ni chiffré.

Pourquoi ces numéros n'ont-ils pas été supprimés ?

Selon Muji, ce n'était pas voulu : le processus de gestion des données présentait des défauts. Erreur humaine ou problème du système, la cause n'est pas encore déterminée.

La question d'une infraction à la loi a aussi été posée. La loi japonaise sur les ventes à tempérament, modifiée et en vigueur depuis juin 2018, demande en principe aux commerçants de ne pas conserver les données de carte ou de respecter la norme PCI DSS. Muji dit avoir connu cette règle à l'époque, mais vérifie encore s'il y a eu infraction.

Comment les pirates sont-ils entrés ?

La boutique en ligne a subi de très nombreuses tentatives de connexion depuis plusieurs adresses IP, sur une longue période. L'entreprise parle d'attaque par liste, qui consiste à essayer des identifiants volés ailleurs. L'accès aux données de carte relèverait d'une autre attaque.

Muji prendra en charge tous les frais de réémission des cartes concernées. Elle assure que l'annonce du 4 novembre, à la fin de sa promotion, n'était pas calculée : définir l'étendue de la fuite a pris du temps.