Muji wyciek danych: pełne numery kart trzymano do 2021 roku

Sprawa rozwijała się etapami. 30 października spółka poinformowała, że obcy mogli uzyskać dostęp do danych nawet 27,26 mln klientów, m.in. z aplikacji MUJI. Karty kredytowe początkowo wyłączono z tego zakresu. 4 listopada firma dodała, że dotyczy to także pełnych numerów kart około 1,09 mln osób, które od października 2000 do lipca 2021 roku zapisały się do karty MUJI Card.

Dlaczego Muji miało pełne numery kart?

Numery służyły do przyznawania członkom MUJI Card specjalnych korzyści. W lipcu 2021 roku firma zmieniła ten system i przestała łączyć go z numerami kart, ale część wcześniej zebranych numerów nie została skasowana. Na konferencji firma przyznała też, że do lipca 2021 roku używała numeru karty do identyfikacji klientów. Dlaczego dane przetrwały? Spółka mówi o nieprawidłowościach w procesie zarządzania danymi, a nie o celowym przechowywaniu. Nie ustaliła jeszcze, czy zawinił człowiek, czy system.

Pytano także o prawo. Japońska ustawa o sprzedaży ratalnej, znowelizowana w czerwcu 2018 roku, wymaga od punktów przyjmujących karty co do zasady nieprzechowywania danych kart albo zgodności ze standardem PCI DSS. Muji twierdzi, że o wymogu wiedziało, a ocena zgodności z prawem trwa.

Jak doszło do ataku?

W sklepie internetowym wykryto atak typu credential stuffing, czyli masowe próby logowania na loginy i hasła zdobyte gdzie indziej. Próby szły z wielu adresów IP przez długi czas. Atak, który dał dostęp do danych kart, był jednak innego rodzaju. Śledztwo trwa.

Firma zapowiada pokrycie w całości opłat za ponowne wydanie dotkniętych kart. Pytano też, czy informację z 4 listopada podano dopiero po zakończeniu wyprzedaży „Muji Week”. Spółka zaprzecza i tłumaczy, że ustalenie zakresu wymagało potwierdzeń od innych podmiotów.