Osegi
Bezpieczeństwo·1 min czytania

Muji odkłada ponowne otwarcie sklepu online po ataku na konta

Ryohin Keikaku przesunęło termin wznowienia sklepu internetowego Muji. Firma potwierdziła atak z użyciem list haseł, który mógł umożliwić osobom trzecim logowanie na konta.

A Muji retail store front with the brand's minimalist signage, illustrating the company's online store outage after a login attack.
Zdjęcie: Impress Watch
SUMODialoediviewergiftdetect

Japońska firma Ryohin Keikaku, właściciel marki Muji, odroczyła ponowne uruchomienie sklepu internetowego „Muji Net Store”. Placówka jest wyłączona od 6 listopada od godz. 16:00. W czwartym komunikacie dotyczącym możliwego wycieku danych użytkowników aplikacji MUJI spółka poinformowała, że nowego terminu nie ustalono.

W chwili wyłączenia sklepu firma zakładała, że wznowi działanie w ciągu jednego–dwóch dni. Później okazało się jednak, że przeprowadzono atak z użyciem list danych logowania (tzw. credential stuffing), w którym wykonano bardzo wiele prób zalogowania. Osoby trzecie mogły w ten sposób nielegalnie wejść na cudze konta.

Skąd hasła i co zrobi firma

W ataku wykorzystano hasła, które napastnicy mogli zdobyć poza systemami Muji. Spółka wzmocniła monitoring od pierwszego komunikatu z 30 października, ale po kolejnych próbach nieautoryzowanego dostępu uznała, że potrzebne są kompleksowe środki bezpieczeństwa i weryfikacja.

Przy wznowieniu sklepu firma planuje poprosić wszystkich użytkowników o zresetowanie hasła. Apeluje też o ustawienie haseł innych niż w usługach firm trzecich, bo używanie tego samego adresu e-mail i hasła w wielu serwisach zwiększa ryzyko włamania.

Dodatkowe dane objęte incydentem

Spółka potwierdziła również nieuprawniony dostęp do części danych osób, które w sklepach stacjonarnych i online Muji były odbiorcami przesyłek za pobraniem w okresie od 2 stycznia 2020 r. do 10 lutego 2025 r. Zmieniła się też część dotychczas podanych liczb poszkodowanych.

Ryohin Keikaku i Credit Saison zaczną od 10 listopada kontaktować się z osobami objętymi incydentem pocztą elektroniczną lub tradycyjną. W przypadku odbiorców przesyłek za pobraniem, do których firma nie ma danych kontaktowych, sam komunikat zastępuje indywidualne powiadomienie.

Aplikacje warte uwagi

SUMO: łamigłówka liczbowa

Wybierz właściwe pola, dodaj je i trafiaj w cel. Łatwa do nauczenia, trudna do opanowania. Za darmo, dla każdego wieku.

Tagi:mujiryohin keikakucredential stuffingdata breache-commerce

Więcej z tego dnia

Zobacz wszystkie →

Więcej w kategorii: Bezpieczeństwo

Zobacz wszystkie →