Muji bị lộ dữ liệu, 1,09 triệu thông tin thẻ tín dụng có thể bị đánh cắp

Ryohin Keikaku, công ty vận hành thương hiệu Muji của Nhật Bản, hôm thứ Tư (4/11) cho biết khoảng 1,09 triệu dữ liệu hội viên thẻ tín dụng, gồm số thẻ đầy đủ, có thể đã bị người ngoài truy cập trái phép.

Phạm vi ảnh hưởng của vụ rò rỉ dữ liệu cá nhân quy mô lớn tại Muji, thương hiệu đồ dùng sinh hoạt nổi tiếng của Nhật Bản, đang tiếp tục mở rộng. Kết quả điều tra mới nhất mà Ryohin Keikaku công bố hôm thứ Tư cho thấy khoảng 345.000 thẻ tín dụng liên quan hiện vẫn còn hiệu lực.

Trước đó, hôm thứ Sáu (30/10), công ty đã thông báo tối đa khoảng 27,26 triệu dữ liệu khách hàng có thể đã bị lộ, đài TV Asahi của Nhật Bản đưa tin. Khi đó, các dữ liệu được xác định có nguy cơ gồm địa chỉ email, ngày tháng năm sinh và giới tính, không có thông tin thẻ tín dụng, họ tên hay địa chỉ.

Tuy nhiên, khi điều tra sâu hơn, công ty phát hiện số dữ liệu có thể đã bị truy cập nhiều hơn mức nắm được ban đầu. Trong đó có khoảng 1,09 triệu dữ liệu hội viên thẻ tín dụng “MUJI Card”, gồm số thẻ đầy đủ, mã hội viên và ngày tháng năm sinh.

MUJI Card do công ty thẻ tín dụng Credit Saison của Nhật Bản phát hành. Dữ liệu bị ảnh hưởng chủ yếu thuộc về những hội viên mở thẻ trước tháng 7/2021. Khoảng 345.000 thẻ trong số này vẫn còn hiệu lực, số còn lại đã hết hiệu lực hoặc chấm dứt hợp đồng.

Lô dữ liệu này không có họ tên chủ thẻ, ngày hết hạn của thẻ hay mã bảo mật (CVV), Ryohin Keikaku cho biết.

Về lý do lưu giữ nhiều dữ liệu thẻ tín dụng như vậy, công ty giải thích rằng trước tháng 7/2021, họ từng thu thập số thẻ và một số thông tin khác để dành ưu đãi riêng cho hội viên MUJI Card. Các dữ liệu này vẫn nằm trong hệ thống từ đó đến nay.

Hiện Credit Saison đã tăng cường theo dõi các giao dịch bất thường để ngăn thẻ bị sử dụng gian lận. Chủ thẻ nào lo ngại cũng có thể đề nghị cấp thẻ mới.

Ngoài dữ liệu thẻ, phạm vi người bị ảnh hưởng trong số tối đa 27,26 triệu dữ liệu khách hàng công bố trước đó nay cũng đã rõ hơn. Những người có thể bị ảnh hưởng không chỉ là người dùng ứng dụng MUJI App mà còn có cả các hội viên chỉ đăng ký cửa hàng trực tuyến của Muji, không dùng ứng dụng.

Kết quả điều tra cho thấy ngoài địa chỉ email, ngày tháng năm sinh và giới tính, các dữ liệu này còn có mã hội viên. Khoảng 520.000 dữ liệu trong số đó có cả họ tên, địa chỉ và số điện thoại, nghĩa là một bộ phận khách hàng có nguy cơ bị lộ thông tin cá nhân cao hơn.

Dữ liệu của khoảng 120 người dùng từng nhập thông tin thẻ tín dụng trên MUJI App hoặc cửa hàng trực tuyến chính thức của Muji cũng có thể đã bị truy cập từ bên ngoài. Phần dữ liệu này gồm 6 số đầu và 2 số cuối của thẻ, cùng họ tên chủ thẻ.

Ryohin Keikaku cho biết sẽ lần lượt thông báo cho các khách hàng có thể bị ảnh hưởng qua email hoặc thư gửi bưu điện. Công ty cũng nhắc chủ thẻ kiểm tra các giao dịch gần đây. Nếu phát hiện khoản bị trừ tiền không rõ lý do hay giao dịch không do mình thực hiện, chủ thẻ cần liên hệ ngay với ngân hàng phát hành thẻ để xác minh.

Công ty nhấn mạnh rằng tính đến ngày 4/11, họ chưa phát hiện dữ liệu liên quan bị đưa lên dark web hay các kênh mua bán trái phép khác, cũng chưa xác nhận thiệt hại thực tế nào do thông tin cá nhân bị lạm dụng.

Hiện ứng dụng MUJI App và cửa hàng trực tuyến chính thức của Muji vẫn hoạt động bình thường. Ryohin Keikaku sẽ tiếp tục điều tra nguyên nhân vụ việc và làm rõ phạm vi dữ liệu có thể bị ảnh hưởng.