Bezpieczeństwo4 lis 2026, 18:53 UTC·1 min czytania

MUJI: wyciek może objąć pełne numery kart 1,09 mln członków

Ryohin Keikaku informuje, że atak na aplikację MUJI mógł ujawnić pełne numery kart ok. 1,09 mln posiadaczy MUJI Card oraz imiona, nazwiska i adresy.

A MUJI retail store entrance with a smartphone showing the MUJI app, illustrating the data breach. — Zdjęcie: ITmedia NEWS

Japoński koncern Ryohin Keikaku, właściciel marki MUJI, poinformował 4 listopada o nowych ustaleniach w sprawie nieuprawnionego dostępu do aplikacji MUJI, ogłoszonego 30 października. Firma przyznała, że dostęp z zewnątrz mogły uzyskać także dane kart kredytowych, imiona i nazwiska oraz adresy, które wcześniej uznawano za nieobjęte incydentem.

Pełne numery kart MUJI Card

Najpoważniejsza nowość dotyczy karty kredytowej MUJI Card, wydawanej przez Credit Saison. Chodzi o około 1,09 mln rekordów członków, którzy zapisali się do lipca 2021 roku. Zawierają one pełny numer karty, identyfikator MUJI Card ID oraz datę urodzenia. Spośród nich około 345 tys. kart jest nadal ważnych, a pozostałe wygasły lub zostały anulowane. Firma zapewnia, że dane nie obejmują nazwiska posiadacza karty, daty ważności ani kodu zabezpieczającego.

Według spółki przed lipcem 2021 roku numery kart pobierano, aby przyznawać posiadaczom MUJI Card specjalne korzyści, a informacje te nadal znajdowały się w systemie. Credit Saison wzmocnił monitoring nieuprawnionych transakcji, a chętni mogą zamówić ponowne wydanie karty.

Szerszy krąg poszkodowanych

Powiększyła się też skala pierwotnego wycieku, który dotyczył maksymalnie około 27,26 mln rekordów. Początkowo wskazywano adres e-mail, datę urodzenia i płeć użytkowników aplikacji. Dalsze dochodzenie wykazało, że w grupie są także klienci sklepu internetowego, którzy z aplikacji nie korzystali, a zakres danych obejmuje również identyfikator członkowski. W przypadku około 520 tys. rekordów wyciekły ponadto imię i nazwisko, adres oraz numer telefonu.

Dodatkowo dostęp mogły uzyskać dane około 120 kart zapisanych w aplikacji lub sklepie internetowym: pierwsze sześć i ostatnie dwie cyfry numeru oraz imię i nazwisko posiadacza.

Ryohin Keikaku skontaktuje się z poszkodowanymi mailowo lub listownie. Użytkowników wzywa do sprawdzenia wyciągów z karty i zgłaszania nieznanych obciążeń wydawcy karty. Na razie nie potwierdzono wycieku do darknetu ani szkód wynikających z nadużyć. Aplikacja i sklep działają normalnie, a firma nadal bada przyczynę i zakres incydentu.