Filtración de la app de Ryohin Keikaku (MUJI) (hasta unos 27,26 millones de registros): pueden haberse filtrado correos, fechas de nacimiento y género — qué deben hacer los usuarios

Los datos que pueden haberse filtrado son dirección de correo, fecha de nacimiento y género. Con las direcciones de correo posiblemente filtradas, pueden llegar en cualquier momento correos que digan proceder de MUJI. La propia empresa advierte de que pueden enviarse correos falsos que usen los datos filtrados, y pide no hacer clic en las URL de correos sospechosos ni introducir datos personales.

Si llega un correo sobre «cupones de disculpa», «puntos a punto de caducar» o «confirmar los datos de su cuenta de miembro», no abra el enlace; abra usted mismo la app de MUJI o el sitio oficial para comprobarlo (véase ¿Qué es el phishing?).

A diferencia de una dirección de correo, una fecha de nacimiento no se puede cambiar. Muchos bancos, tiendas y operadores de telefonía la usan como respuesta cuando usted les contacta o restablece una cuenta.

Compruebe que no haya usado su fecha de nacimiento como contraseña ni como respuesta a una pregunta de seguridad, y cámbiela si es así. No dependa solo de la contraseña para iniciar sesión: activar la autenticación multifactor hace más difícil que le tomen una cuenta aunque se conozca su fecha de nacimiento.

Las contraseñas y los datos de tarjetas no figuran entre los datos de este aviso. Aun así, si un correo le pide llamar a un número o responder para «confirmar» algo, no escriba ni diga su contraseña ni su número de tarjeta de crédito.

Que un remitente conozca su fecha de nacimiento y su género no demuestra que sea auténtico, porque son precisamente los datos que pueden haberse filtrado.

Las contraseñas no aparecen en el aviso, así que no hay aquí nada que le obligue a cambiar una. Pero las direcciones de correo suelen usarse como ID de inicio de sesión, y una contraseña reutilizada permite que una filtración se extienda a otros servicios.

Un gestor de contraseñas es la forma realista de hacer el inventario. Puede comprobar si una contraseña reutilizada aparece en filtraciones pasadas con Cómo comprobar si su contraseña se filtró.

El aviso dice que se incluyen los datos de clientes que se han dado de baja. Aunque ya no use la app, si se registró una vez, siga los pasos anteriores del mismo modo.

La empresa dice que contactará por orden a los clientes que puedan estar afectados, pero el aviso no dice cómo. Si no puede saber si un mensaje es auténtico, no abra sus enlaces; compárelo con el aviso del sitio oficial de la empresa.

El aviso da una línea para clientes: el servicio de atención al cliente, número gratuito 0120-64-0772 (de lunes a sábado, de 9:30 a 17:00, excepto domingos y vacaciones de Año Nuevo; llamadas desde Japón). Use el canal del aviso de la empresa, no un número de teléfono ni una URL de un mensaje que haya recibido.

Los registros afectados incluyen a personas que se han dado de baja. Algunos datos se conservan un tiempo tras la baja por ley o por prevención del fraude, pero los datos sin motivo para conservarlos deben eliminarse pasado un plazo fijado o sustituirse por una forma que no identifique a una persona.

Cuantos más registros conserva, a más personas llega un incidente. Fije el plazo de conservación para cada tipo de dato.

Aparte de la dirección de correo, los datos de este aviso son de los que las personas no pueden cambiar después. Decida el alcance que necesita para cupones u ofertas por edad y, si es posible, conserve una forma más gruesa, como un tramo de edad.