Для кого: для людей, зарегистрированных в приложении MUJI, включая тех, кто его уже удалил. Статья основана на официальном уведомлении Ryohin Keikaku Co., Ltd. и не описывает методы атаки.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 31 октября 2026 годаПока неизвестно
- Покидали ли данные компанию на самом деле
- Причина и способ проникновения
- Как и когда с пострадавшими свяжутся
- Разбивка числа записей (например, удалившие учётную запись)
- Когда несанкционированный доступ произошёл или был обнаружен
Компания говорит, что будет последовательно связываться с клиентами, данные которых могли утечь, и оперативно сообщит в пресс-релизе или подобным образом, если утечка за пределы компании будет подтверждена.
Что делать пользователям сегодня
Не открывайте URL в письмах, якобы от MUJI; проверяйте в приложении или на официальном сайте
Могли утечь адрес эл. почты, дата рождения и пол. Раз адреса эл. почты могли утечь, письма, якобы от MUJI, могут прийти в любой момент. Сама компания предупреждает, что могут рассылаться поддельные письма с использованием утёкших данных, и просит не нажимать на URL в подозрительных письмах и не вводить персональные данные.
Если приходит письмо о «купонах с извинениями», «сгорающих баллах» или «подтверждении данных участника», не открывайте ссылку; откройте приложение MUJI или официальный сайт сами и проверьте там (см. Что такое фишинг?).
Проверьте сервисы, где дата рождения используется для подтверждения личности
В отличие от адреса эл. почты, дату рождения изменить нельзя. Многие банки, магазины и операторы связи используют её как ответ при обращении или сбросе учётной записи.
Убедитесь, что вы не использовали дату рождения как пароль или как ответ на контрольный вопрос, а если использовали, замените. Не полагайтесь на один пароль для входа: включение многофакторной аутентификации затрудняет захват учётной записи, даже если дата рождения известна.
Никому не сообщайте пароль или номер карты
Пароли и данные карт не входят в перечень этого уведомления. Тем не менее, если письмо просит позвонить по номеру или ответить «подтверждаю», не вводите и не называйте пароль или номер кредитной карты.
Отправитель, знающий вашу дату рождения и пол, этим не доказывает, что он настоящий: именно эти данные могли утечь.
Если вы используете один и тот же пароль в других местах, разделите их
Пароли в уведомлении не фигурируют, поэтому из-за него менять пароль нет оснований. Но адреса эл. почты часто служат логинами, а повторно используемый пароль позволяет одной утечке распространиться на другие сервисы.
Реалистичный способ навести порядок — менеджер паролей. Проверить, появляется ли повторно используемый пароль в прошлых утечках, можно по статье Как проверить, утёк ли ваш пароль.
Вы можете быть затронуты, даже если удалили учётную запись; оценивайте любое обращение по содержанию
В уведомлении сказано, что данные удалившихся клиентов включены. Даже если вы больше не пользуетесь приложением, но когда-то регистрировались, выполните описанные выше шаги так же.
Компания говорит, что будет последовательно связываться с клиентами, которые могли пострадать, но как именно, в уведомлении не сказано. Если не можете понять, настоящее ли сообщение, не открывайте его ссылки; сверьте его с уведомлением на официальном сайте компании.
Обращайтесь в компанию по каналу из её уведомления
В уведомлении указана линия для клиентов: служба поддержки клиентов, бесплатный номер 0120-64-0772 (с понедельника по субботу с 9:30 до 17:00, кроме воскресений и новогодних праздников; звонки из Японии). Пользуйтесь каналом из уведомления компании, а не номером телефона или URL из полученного вами сообщения.
Что произошло (по уведомлению Ryohin Keikaku)
Ryohin Keikaku опубликовала «О возможной утечке информации о клиентах в официальном приложении MUJI» 30 октября 2026 года (рассылка через PR TIMES — в 14:10). Всё ниже основано на уведомлении компании.
До уведомления (дата не раскрыта)
Был обнаружен несанкционированный доступ извне. Компания заблокировала доступ к затронутому месту и применила исправление. В уведомлении не указана дата, когда это произошло или было обнаружено.30 октября 2026 г.
Компания объявила, что часть данных клиентов могла утечь. Число — до примерно 27,26 млн записей, включая людей, удаливших учётную запись.Далее (план компании)
Она будет последовательно связываться с клиентами, которые могли пострадать, и оперативно сообщит в пресс-релизе или подобным образом, если утечка за пределы компании будет подтверждена.
- Затронутый сервис
- Данные клиентов, хранящиеся в приложении MUJI
- Число
- До примерно 27,26 млн записей (включая клиентов, удаливших учётную запись). Это число того, что могло утечь, а не подтверждённое число похищенного
- Что могло утечь
- Адрес эл. почты, дата рождения, пол
- Что, как сказано, не затронуто
- Данные кредитных карт, имена, адреса, номера телефонов и подобное
- Причина
- Компания говорит, что обнаружила несанкционированный доступ извне. В уведомлении не указано, как злоумышленник проник, и нет конкретной причины
- Меры
- Заблокирован доступ к затронутому месту и применено исправление. Компания говорит, что усилит меры безопасности и мониторинг совместно с компанией-разработчиком и аффилированными лицами
- Вред
- На момент уведомления, по её словам, утечки в даркнет или вреда от злоупотребления данными подтверждено не было
- Сервис
- Приложение MUJI и интернет-магазин MUJI работают в обычном режиме
Что известно и что неизвестно
Состояние на 31 октября 2026 года. Когда выйдет следующее уведомление, мы обновим столбец статуса.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Несанкционированный доступ | Обнаружен извне; заблокирован и исправлен | Подтверждено (компания) |
| Число записей | До примерно 27,26 млн (включая удалившихся) | Могло утечь (компания) |
| Адрес эл. почты | Пункт, который мог утечь | Могло утечь (компания) |
| Дата рождения | Пункт, который мог утечь | Могло утечь (компания) |
| Пол | Пункт, который мог утечь | Могло утечь (компания) |
| Данные кредитных карт, имена, адреса, номера телефонов | Не затронуты | Не затронуты (компания) |
| Пароли | Не фигурируют в перечне | Не указано |
| Утечка в даркнет или вред от злоупотребления | Не подтверждено на момент уведомления | Не подтверждено (компания) |
| Покидали ли данные компанию на самом деле | Компания говорит, что оперативно сообщит, если это будет подтверждено | Не подтверждено (компания обещает сообщить при подтверждении) |
| Причина и способ проникновения | Не указано в уведомлении | Не указано |
| Когда произошло или было обнаружено | Не указано в уведомлении | Не указано |
| Индивидуальное обращение к пострадавшим | С клиентами, которые могли пострадать, свяжутся последовательно | Запланировано (компания) |
| Состояние сервиса | Приложение MUJI и интернет-магазин работают в обычном режиме | Подтверждено (компания) |
Как это читать: что значат «могло утечь» и «вред не подтверждён»
Компания пишет, что пункты «могли утечь». Это значит, что это не подтверждённое число фактически похищенных данных; это не значит, что ничего не утекло. «Вред не подтверждён» значит, что на момент уведомления он не был обнаружен; это не значит, что данные никогда не будут использованы.
В целом дату рождения и пол изменить нельзя, поэтому их можно использовать через месяцы или годы как материал для других мошеннических схем или захвата учётных записей (это не значит, что так произошло здесь).
Что можно сделать с адресом эл. почты, датой рождения и полом
Ниже — то, что такое сочетание пунктов в целом позволяет. Это не значит, что что-либо из этого произошло в данном случае.
- Адрес эл. почты: становится целью для поддельных писем (фишинг). Сама компания предупреждает, что могут приходить поддельные письма.
- Дата рождения: некоторые сервисы покупок, финансовые и телеком-сервисы используют её для проверки личности или как часть легко угадываемого пароля. Поскольку её нельзя изменить, сервисам, которые на неё полагаются, нужно перейти на другие проверки.
- Пол: сам по себе влияет слабо, но вместе с адресом эл. почты и датой рождения делает поддельное сообщение правдоподобнее.
В уведомлении сказано, что имена, адреса и номера телефонов не затронуты, поэтому из пунктов этого инцидента одних труднее собрать поддельную почту или звонки с использованием вашего имени или адреса. Но их можно сочетать с данными, собранными в других утечках, поэтому сообщение с вашим именем не доказывает, что оно настоящее.
Адрес эл. почты
↓→
Цель для поддельных писем (фишинг)
→ Не открывать ссылки / проверять в официальном приложении
Дата рождения
↓→
Может использоваться для проверки личности или как угадываемый пароль
→ Перейти на другие проверки / включить многофакторную аутентификацию
Как сказано в уведомлении, не затронуто
- Данные кредитных карт
- Имена
- Адреса
- Номера телефонов
Могло утечь
- Адрес эл. почты
- Дата рождения (изменить нельзя)
- Пол (изменить нельзя)
Что стоит пересмотреть операторам
Причина не раскрыта, поэтому здесь перечислено только то, что следует из опубликованного.
Решите, как долго и зачем хранить данные ушедших пользователей
Затронутые записи включают людей, удаливших учётную запись. Некоторые пункты хранятся какое-то время после удаления из-за закона или предотвращения мошенничества, но пункты, для хранения которых нет причины, следует удалять через установленный срок или заменять формой, не позволяющей идентифицировать человека.
Чем больше записей вы храните, тем больше людей затрагивает один инцидент. Установите срок хранения для каждого типа данных.
Проверьте, зачем вы храните неизменяемые пункты, такие как дата рождения и пол
Помимо адреса эл. почты, пункты этого уведомления — те, которые люди потом изменить не могут. Определите объём, нужный для купонов или предложений по возрасту, и по возможности храните более грубую форму, например возрастную группу.
Источники
- Ryohin Keikaku Co., Ltd., «О возможной утечке информации о клиентах в официальном приложении MUJI» (30 октября 2026; название — перевод японского оригинала) — ryohin-keikaku.jp (страница новостей) и PDF, который компания публикует там же; то же уведомление в рассылке компании на PR TIMES
- Пресса: INTERNET Watch, Fukui Shimbun (обе на японском языке)
Примечание об источниках
Статья основана на странице новостей компании и PDF уведомления (от 30 октября 2026 года), на который с неё есть ссылка. Рассылка через PR TIMES — копия того же уведомления, и оно также совпадает с двумя сообщениями прессы.
История обновлений
2026-10-31: Первая версия, основанная на уведомлении Ryohin Keikaku от 30 октября. Компания говорит, что оперативно сообщит, если утечка за пределы компании будет подтверждена. Мы обновим статью, когда это произойдёт.
Читайте далее
- Подготовка к последующему мошенничеству: Что такое фишинг? / Основы безопасности смартфона
- Защита ваших учётных записей: Начало работы с многофакторной аутентификацией / Выбор менеджера паролей / Как проверить, утёк ли ваш пароль
- Похожий случай (данные участников приложения): Взлом приложения и интернет-магазина MrMax
- Другие инциденты 2026 года: Утечки данных и кибератаки (Япония и зарубежные страны)