MUJI : les numéros de carte d’environ 1,09 million de titulaires de la carte MUJI ont pu être touchés

Le 4 novembre 2026, Ryohin Keikaku, l’entreprise derrière MUJI, a élargi son compte rendu de l’intrusion qu’elle avait d’abord signalée le 30 octobre. Des numéros de carte de crédit sont maintenant en cause. L’entreprise dit que les numéros complets de carte et les dates de naissance d’environ 1,09 million de titulaires de la carte MUJI ont pu être touchés, et que les membres de la boutique en ligne MUJI sont aussi concernés, pas seulement les utilisateurs de l’appli. Kyodo News (en anglais) a rapporté ces chiffres le 5 novembre. Ceci fait suite à notre premier article sur l’appli MUJI; nous ne couvrons donc que ce qui est nouveau.

Ce qui a changé

L’avis du 4 novembre (PDF, en japonais) de Ryohin Keikaku dit que des analyses supplémentaires ont révélé trois choses :

1. La boutique en ligne est incluse. Les jusqu’à 27,26 millions de dossiers, qui peuvent comprendre adresse courriel, date de naissance, sexe et identifiant de membre, appartiennent à des membres de l’appli MUJI et de la boutique en ligne MUJI, y compris des personnes qui n’utilisent pas l’appli et des personnes qui sont parties. Pour environ 520 000 d’entre eux, à ce stade, les noms, adresses et numéros de téléphone ont aussi été touchés.
2. Des numéros de carte MUJI étaient encore dans ses systèmes. Jusqu’en juillet 2021, l’entreprise recevait le numéro de carte, l’identifiant de carte MUJI et la date de naissance des personnes inscrites à la carte MUJI, émise par Credit Saison, pour accorder ses propres avantages. Ces données étaient restées dans son système et ont été touchées : environ 1,09 million de dossiers, dont environ 345 000 cartes encore valides, les autres étant expirées ou annulées.
3. Un petit nombre de cartes enregistrées dans l’appli ou la boutique. Environ 120 clients qui avaient enregistré une carte dans l’appli ou la boutique en ligne ont vu les six premiers et les deux derniers chiffres du numéro de carte, ainsi que le nom du titulaire, touchés.

L’entreprise dit que le nom sur la carte, la date d’expiration et le code de sécurité ne figuraient pas dans les données de carte. Elle dit aussi que, dans son système interne, environ 168 000 des 345 000 cartes valides pouvaient être reliées aux données de courriel, de date de naissance et de sexe du premier groupe, et environ 25 000 d’entre elles à des noms, adresses et numéros de téléphone.

Le point de vue de Credit Saison

Credit Saison, qui émet la carte, dit dans son propre avis (en japonais) que l’intrusion a visé les systèmes de MUJI et non les siens, et qu’elle n’a constaté ni accès non autorisé à ses systèmes ni fuite à partir de ceux-ci. Son déroulement :

• 29 octobre, vers 1 h : quelqu’un a accédé sans autorisation aux systèmes de Ryohin Keikaku.
• 30 octobre : Ryohin Keikaku a annoncé la fuite de l’appli.
• 2 novembre : Ryohin Keikaku a informé Credit Saison que des numéros de carte MUJI pouvaient aussi avoir été touchés.

Les données de carte visent les personnes qui ont adhéré à la carte MUJI entre octobre 2000 et juillet 2021, période où Credit Saison communiquait les numéros de carte à Ryohin Keikaku. Credit Saison dit que les numéros ne sont plus communiqués et que les personnes qui ont obtenu une carte MUJI à partir d’août 2021 ne sont pas touchées. Elle dit avoir renforcé la surveillance et ne voir jusqu’ici aucune hausse de la fraude sur les cartes MUJI. Elle remplacera une carte sur demande et dit qu’elle joindra les clients touchés par courriel ou par la poste. Sa ligne pour la carte MUJI est le 0120-227-190 (au Japon).

Ce qu’on ne sait pas

Ryohin Keikaku dit n’avoir trouvé ni ces données sur le Web clandestin ni de préjudice causé par leur utilisation. Elle n’a pas dit comment l’intrus est entré. Elle dit s’attendre à un effet limité sur les résultats de son groupe.

Ce que ça signifie pour vous

Un numéro de carte complet avec une date de naissance ne suffit généralement pas pour payer en ligne, puisque la date d’expiration et le code de sécurité ne figuraient pas dans les données. Mais un numéro de carte est un atout de choix pour l’hameçonnage : un faux message de « MUJI » ou de « Saison » qui le cite semblera authentique. Si vous avez déjà eu une carte MUJI, vous pourriez aussi faire partie des dossiers où l’entreprise peut relier votre carte à votre courriel et à votre date de naissance.

Ce que vous pouvez faire

1. Vérifiez si vous aviez une carte MUJI avant août 2021. Credit Saison dit que vous pouvez voir votre date d’adhésion dans l’appli Saison Portal ou dans Net Answer, sous les renseignements du client dans le menu.
2. Vérifiez vos relevés de carte pour repérer tout ce que vous ne reconnaissez pas, et signalez-le à Credit Saison.
3. Demandez une nouvelle carte si vous en voulez une. Credit Saison la remplace sur demande, par les mêmes sites.
4. Ne faites pas confiance aux messages qui citent votre numéro de carte. Ryohin Keikaku dit qu’elle ne demande pas de données de carte par courriel ni par téléphone, et Credit Saison demande de ne pas saisir de données de carte à partir de liens dans des messages inattendus. Allez vous-même sur le site officiel. Voyez comment les fraudeurs utilisent les données divulguées.
5. Suivez les conseils de notre premier article sur la fuite des adresses courriel et des dates de naissance, y compris la connexion en deux étapes pour votre compte de courriel.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de vous inscrire aux applis de magasins avec une adresse qui leur est propre, pour qu’une fuite dans un magasin ne révèle pas votre boîte principale. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• MUJI : courriels et dates de naissance d’au plus 27,26 millions d’utilisateurs de son appli ont pu fuiter : notre premier article sur cette fuite, du 30 octobre.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage : pourquoi un numéro de carte ou une date de naissance cités rendent un faux message convaincant.

Sources

• Ryohin Keikaku, 情報流出の可能性に関するお知らせ (PDF, par la Bourse de Tokyo, en japonais), 4 novembre 2026
• Credit Saison, MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び (en japonais), 4 novembre 2026
• Kyodo News via Bangkok Post, « Credit card numbers may have leaked in cyberattack on Muji » (en anglais), 5 novembre 2026
• ITmedia NEWS, 無印良品、クレカ「MUJI Card」カード番号全ケタ、約109万件漏えいか (en japonais), 4 novembre 2026