Muji uzlaušanā, iespējams, nopludināti ap 1,09 miljoni MUJI Card karšu numuru

Zīmola Muji (Japānā – Mujirushi Ryōhin) īpašnieks Ryohin Keikaku 4. novembrī paziņoja, ka nesankcionētā piekļuvē tā sistēmām, iespējams, nonākuši arī aptuveni 1,09 miljoni ierakstu par kredītkarti MUJI Card, tostarp pilni karšu numuri. Tas ir jau otrais uzņēmuma ziņojums par šo incidentu, un tas ievērojami paplašina sākotnēji minēto skarto datu loku.

Pēc japāņu mediju ziņām, uzbrukums notika 29. oktobrī ap pulksten vieniem naktī pēc vietējā laika. Pirmajā paziņojumā 30. oktobrī Ryohin Keikaku vēstīja, ka varētu būt noplūdis līdz aptuveni 27,26 miljoniem ierakstu par MUJI lietotnes izmantotājiem – e-pasta adreses, dzimšanas datumi un dzimums. Turpmākā izmeklēšanā noskaidrots, ka skarti arī interneta veikala klienti, kuri lietotni neizmanto, kā arī bijušie dalībnieki, bet ap 520 000 ierakstu ietver arī vārdu, adresi un tālruņa numuru.

MUJI Card izdod finanšu uzņēmums Credit Saison. Skartie aptuveni 1,09 miljoni ierakstu attiecas uz klientiem, kuri karti noformēja laikā no 2000. gada oktobra līdz 2021. gada jūlijam. Tajos ir pilns kartes numurs, MUJI Card identifikators un dzimšanas datums, daļai arī citi kontaktdati. Derīgas joprojām ir ap 345 000 karšu, bet pārējās ap 745 000 ir anulētas vai beidzies to termiņš. Kartes īpašnieka vārds, derīguma termiņš un drošības kods šajā datu kopā neesot bijis.

Ryohin Keikaku skaidro, ka līdz 2021. gada jūlijam tas saņēma karšu numurus, lai kartes lietotājiem piešķirtu savas īpašās priekšrocības. Vēlāk bonusu sistēma tika mainīta, taču agrāk iegūtie dati uzņēmuma sistēmā palika. Papildus tam piekļuve varēja tikt iegūta aptuveni 120 kartēm, kas bija saglabātas lietotnē vai interneta veikalā, – to numuru pirmajiem sešiem un pēdējiem diviem cipariem un kartes īpašnieka vārdam.

Credit Saison norāda, ka tā paša sistēmās ielaušanās vai datu noplūde nav konstatēta. Uzņēmums pastiprinājis karšu krāpniecisku darījumu uzraudzību un pēc klienta lūguma izsniegs jaunu karti. Ryohin Keikaku apgalvo, ka nesankcionētā piekļuve ir bloķēta, lietotne un interneta veikals darbojas kā parasti, bet datu parādīšanās tumšajā tīmeklī vai to ļaunprātīga izmantošana līdz šim nav konstatēta.

Uzņēmums skartajiem klientiem sazināsies pa e-pastu vai pastu un aicina pārbaudīt kartes izrakstus, kā arī uzmanīties no krāpnieciskiem e-pastiem un zvaniem, kas uzdodas par Muji vai karšu izdevēju. Ryohin Keikaku uzsver, ka pats kredītkaršu datus pa e-pastu vai telefonu neprasa. Ziņu aģentūra Kyodo Muji ierindo starp jaunākajiem Japānas uzņēmumiem, kurus skārušas datu noplūdes. Izmeklēšana par uzbrukuma cēloņiem un apmēru turpinās.