Osegi
Sécurité·2 min de lecture

Muji repousse la réouverture de sa boutique en ligne après une attaque

Ryohin Keikaku, maison mère de Muji, repousse la réouverture de sa boutique en ligne après une attaque par bourrage d'identifiants touchant peut-être 270 000 données de plus.

A Muji retail storefront with the brand logo, linked to news of a data breach and a suspended online store.
Image: ITmedia NEWS
SUMO Dialo ediviewer giftdetect

Ryohin Keikaku, le groupe derrière Muji, a annoncé le 9 novembre le report de la réouverture de sa boutique en ligne, fermée depuis le 6 novembre. L'entreprise a confirmé une attaque par bourrage d'identifiants (credential stuffing), qui consiste à tester sur ses services des identifiants et mots de passe obtenus illégalement ailleurs. Environ 270 000 données supplémentaires pourraient avoir fuité.

Les informations potentiellement concernées comprennent adresses e-mail, dates de naissance, noms, adresses postales, numéros de téléphone, historique d'achats et points de fidélité. Selon l'entreprise, aucun usage frauduleux n'a été constaté à ce stade. Dès le 10 novembre, Ryohin Keikaku et Credit Saison, émetteur de la carte de crédit MUJI Card, préviendront progressivement les personnes concernées par e-mail et par courrier.

Des chiffres révisés

Les données déjà communiquées ont aussi été corrigées. Sur les 27,26 millions d'enregistrements au maximum évoqués, ceux comprenant noms, adresses et numéros de téléphone passent d'environ 520 000 à environ 750 000. Une nouvelle fuite possible a également été identifiée : environ 440 000 destinataires de commandes payées à la livraison, passées en magasin ou en ligne entre le 2 janvier 2020 et le 10 février 2025, pourraient être concernés.

Ce que doivent faire les utilisateurs

La date de réouverture sera communiquée une fois les mesures et vérifications nécessaires achevées. À la réouverture, l'entreprise prévoit d'exiger de tous les utilisateurs qu'ils réinitialisent leur mot de passe, et leur recommande d'en choisir un différent de ceux utilisés sur d'autres services.

L'affaire a débuté le 30 octobre, lorsque l'entreprise a signalé qu'un accès non autorisé à l'application MUJI pouvait avoir exposé jusqu'à 27,26 millions de données de membres. Un deuxième communiqué, le 4 novembre, a étendu le périmètre aux numéros de MUJI Card. Le 6 novembre à 16 heures, la boutique a été suspendue pour renforcer la sécurité, et l'application limitée à l'affichage du code-barres de la carte de membre.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:mujiryohin keikakudata breachcredential stuffingjapanonline store

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →