Muji veri sızıntısı: kart numaraları 2021'e kadar saklandı

Olay aşama aşama büyüdü. Şirket 30 Ekim'de, MUJI uygulaması dahil kayıtlardaki en fazla 27,26 milyon müşteri bilgisine dışarıdan erişilmiş olabileceğini açıkladı. Kredi kartları başta kapsam dışı tutulmuştu. 4 Kasım'da ise Ekim 2000 ile Temmuz 2021 arasında MUJI Card'a üye olan yaklaşık 1,09 milyon kişinin kart numaralarının tamamının da erişime açık kalmış olabileceği duyuruldu.

Muji neden tam kart numaralarını saklıyordu?

Numaralar, MUJI Card üyelerine özel avantaj sağlamak için alınmıştı. Şirket sistemi Temmuz 2021'de değiştirip kart numarası bağlantısını bitirdi, ancak önceden alınan numaraların bir kısmını silmedi. Toplantıda Muji, Temmuz 2021'e kadar müşteriyi tanımak için kart numarasını kullandığını da söyledi. Numaralar maskelenmemiş ya da şifrelenmemişti. Şirket bunun bilerek saklama olmadığını, veri yönetim sürecinde uygunsuzluk bulunduğunu söylüyor. Silinmemesinin insan hatası mı sistem sorunu mu olduğu henüz belirlenmedi.

Hukuki soru da gündeme geldi. Haziran 2018'de yürürlüğe giren Japonya taksitli satış yasası, kart kabul eden işletmelerden kural olarak kart bilgisini tutmamayı ya da PCI DSS standardına uymayı istiyor. Muji bu gerekliliği o dönemde bildiğini, yasaya aykırılık olup olmadığını ise incelediğini belirtti.

Saldırı nasıl yapıldı?

Çevrim içi mağazada, başka yerlerden ele geçirilmiş olabilecek kimlik ve şifrelerle art arda giriş denenen bir liste saldırısı yaşandı. Denemeler uzun süre, birçok IP adresinden geldi. Kart bilgilerine erişime yol açan saldırı ise bundan farklıydı. İnceleme sürüyor.

Şirket, yeniden basım ücretlerinin tamamını karşılayacak. Duyurunun 4 Kasım'daki indirim haftasının bitişiyle çakışması da soruldu. Muji bunu reddetti ve kapsamın belirlenmesi için diğer kurumlarla teyit gerektiğini söyledi.