MUJI thừa nhận sai sót khiến 1,09 triệu dữ liệu thẻ tín dụng gặp rủi ro

Chi tiêu quốc tế của người Việt có xu hướng tăng cao

Meta khởi kiện tài khoản quảng cáo lừa đảo tại Việt Nam

Bên trong đường dây lừa đảo Trung Quốc đánh cắp hàng tỷ USD qua thanh toán số

Ngày 12/11/2026, tại cuộc họp báo ở Tokyo, ông Satoshi Shimizu, Chủ tịch Ryohin Keikaku, doanh nghiệp vận hành thương hiệu bán lẻ MUJI của Nhật Bản, đã cúi đầu xin lỗi khách hàng sau sự cố an ninh mạng nghiêm trọng. Lãnh đạo công ty thừa nhận những thiếu sót trong việc lưu trữ và quản lý thông tin cá nhân, khiến dữ liệu nhạy cảm có nguy cơ bị truy cập trái phép.

Theo kết quả điều tra được công bố, khoảng 1,09 triệu hồ sơ thẻ tín dụng MUJI Card nằm trong phạm vi có thể bị ảnh hưởng. Trong đó, khoảng 345.000 thẻ vẫn còn hiệu lực, còn 745.000 thẻ đã hết hạn hoặc bị hủy. Đây là những thẻ được đăng ký trong giai đoạn từ tháng 10/2000 đến tháng 7/2021.

Đáng chú ý, dữ liệu có nguy cơ bị truy cập bao gồm toàn bộ 16 chữ số trên thẻ tín dụng, mã định danh thành viên và ngày sinh. Những số thẻ này được lưu trữ mà không che bớt các chữ số hoặc mã hóa. Tuy nhiên, bộ dữ liệu thẻ liên quan không bao gồm ngày hết hạn, mã bảo mật CVV và tên chủ thẻ.

Nguyên nhân khiến vụ việc trở nên nghiêm trọng nằm ở cách MUJI quản lý thông tin khách hàng trong nhiều năm.

Trước tháng 7/2021, doanh nghiệp sử dụng số thẻ tín dụng để nhận diện thành viên khi cấp điểm thưởng và cung cấp ưu đãi. Sau khi chuyển sang phương thức xác thực khác, công ty đã ban hành quy định xóa dữ liệu thẻ không còn cần thiết nhưng không thực hiện đầy đủ.

Chủ tịch Ryohin Keikaku, ông Satoshi Shimizu (bên phải), cúi đầu xin lỗi tại cuộc họp báo ở Tokyo ngày 12/11/2026, liên quan đến vụ tấn công mạng có thể đã làm rò rỉ dữ liệu khách hàng. (Kyodo)

Điều này đồng nghĩa lượng lớn thông tin nhạy cảm vẫn tồn tại trong hệ thống hơn 5 năm sau khi doanh nghiệp thay đổi phương thức quản lý. Ryohin Keikaku cho biết đang tiếp tục điều tra để xác định nguyên nhân dữ liệu không được xóa theo quy định.

Sự cố bắt đầu được phát hiện ngày 29/10, khi hệ thống của MUJI ghi nhận hoạt động truy cập trái phép. Ngày 30/10, doanh nghiệp thông báo khoảng 27,26 triệu bản ghi thông tin khách hàng có nguy cơ bị xâm phạm, bao gồm địa chỉ email, ngày sinh và giới tính. Các cuộc điều tra tiếp theo xác định một phần dữ liệu còn chứa tên, địa chỉ và số điện thoại.

Ngoài vụ truy cập dữ liệu, khoảng 270.000 tài khoản thành viên còn trở thành mục tiêu của hình thức tấn công nhồi thông tin đăng nhập. Tin tặc sử dụng tên đăng nhập và mật khẩu thu thập từ các vụ rò rỉ khác để thử truy cập tài khoản MUJI. Theo công ty, đây là hình thức tấn công khác với hoạt động truy cập dữ liệu thẻ tín dụng.

Trước những rủi ro phát sinh, MUJI đã tạm dừng cửa hàng trực tuyến từ ngày 6/11 và hạn chế nhiều chức năng trên ứng dụng nhằm tăng cường bảo mật. Đến ngày 9/11, doanh nghiệp tiếp tục thông báo hoãn mở lại dịch vụ, đồng thời chuẩn bị phương án yêu cầu người dùng đặt lại mật khẩu.

Ryohin Keikaku cam kết chịu chi phí cấp lại những thẻ bị ảnh hưởng và phối hợp với đơn vị phát hành Credit Saison để tăng cường giám sát giao dịch. Trường hợp phát hiện giao dịch trái phép, các bên sẽ tiến hành xác minh và xử lý theo từng trường hợp cụ thể.

Đến thời điểm công bố, doanh nghiệp chưa xác nhận dữ liệu bị phát tán trên các diễn đàn ngầm hoặc phát sinh thiệt hại thực tế do thông tin bị lợi dụng. Khách hàng được khuyến cáo kiểm tra lịch sử giao dịch, cảnh giác trước email giả mạo và không cung cấp thông tin thẻ qua những đường dẫn đáng ngờ.

Vụ việc cho thấy nguy cơ mất an toàn thông tin không chỉ đến từ các cuộc tấn công mạng, mà còn bắt nguồn từ việc doanh nghiệp lưu giữ dữ liệu khách hàng quá thời hạn cần thiết. Khi quy mô dữ liệu ngày càng lớn, những thiếu sót trong quy trình quản lý có thể làm gia tăng đáng kể hậu quả của một sự cố bảo mật.