Утечка данных Muji: полные номера карт хранили до 2021 года

История раскрывалась по частям. 30 октября компания сообщила, что к данным до 27,26 млн клиентов, в том числе из приложения MUJI, мог получить доступ посторонний. Кредитные карты сначала в этот список не входили. 4 ноября добавили: под угрозой могли оказаться и полные номера карт примерно 1,09 млн человек, вступивших в MUJI Card с октября 2000 по июль 2021 года.

Зачем Muji хранила полные номера карт?

Номера собирали, чтобы давать держателям MUJI Card особые бонусы. В июле 2021 года компания изменила эту систему и перестала связывать её с номерами карт, но часть прежних номеров не удалила. На конференции Muji добавила, что до июля 2021 года использовала номер карты для идентификации клиентов. При хранении номера не маскировались и не шифровались. Компания говорит, что хранила их не намеренно, а из-за неправильного устройства процессов управления данными. Что это было, ошибка человека или сбой системы, пока не установлено.

Спрашивали и о законе. Японский закон о рассрочке, изменённый в июне 2018 года, требует от точек приёма карт, как правило, не хранить данные карт либо соблюдать стандарт PCI DSS. В Muji ответили, что о требовании знали, а соответствие закону сейчас проверяют.

Как произошла атака?

В интернет-магазине зафиксировали атаку по спискам: многократные попытки входа с логинами и паролями, возможно, украденными где-то ещё. Попытки шли с разных IP-адресов в течение долгого времени. Атака, давшая доступ к данным карт, была другой. Расследование продолжается.

Компания полностью оплатит перевыпуск затронутых карт. Журналисты также спросили, не совпало ли объявление 4 ноября с концом распродажи «Неделя Muji». Компания это отвергла и объяснила, что для определения масштаба требовалось подтверждение от других организаций.