Muji amplía la fuga de datos: 1,09 millones de tarjetas y 27 millones de registros afectados

La empresa que opera Muji, Ryohin Keikaku, ha ampliado de forma significativa el alcance de la fuga de datos que anunció a finales de octubre. En un segundo comunicado publicado el 4 de noviembre de 2026, la compañía reconoce que el acceso no autorizado afectó no solo a usuarios de la aplicación MUJI, sino también a clientes de la tienda online y a datos de tarjetas de crédito.

Según el anuncio oficial, el número máximo de registros potencialmente expuestos asciende a unos 27,26 millones. Incluye direcciones de correo electrónico, fechas de nacimiento, género e identificadores de miembro, tanto de usuarios actuales como de antiguos. De ellos, aproximadamente 520.000 registros también contienen nombre, dirección y teléfono.

Lo más relevante es la parte de tarjetas. Ryohin Keikaku indica que unos 1,09 millones de registros de la tarjeta MUJI Card (emitida por Credit Saison) pudieron ser accedidos. Se trata de clientes que se dieron de alta antes de julio de 2021. Los datos incluyen el número completo de la tarjeta, el identificador de la tarjeta MUJI y la fecha de nacimiento. El nombre del titular, la fecha de caducidad y el código de seguridad no formaban parte de la información expuesta.

De esos 1,09 millones, unos 345.000 corresponden a tarjetas que siguen activas. Además, hay unos 120 casos en los que se accedió a información parcial de tarjetas registradas en la aplicación o en la tienda online (los seis primeros y los dos últimos dígitos más el nombre).

La empresa afirma que ha bloqueado el acceso no autorizado, ha reforzado la monitorización y que, por el momento, no ha detectado que los datos hayan aparecido en la dark web ni que se hayan producido usos fraudulentos. La aplicación y la tienda online siguen funcionando con normalidad. Ryohin Keikaku y Credit Saison se pondrán en contacto con los afectados.

Esta fuga se enmarca en una serie de incidentes recientes en Japón relacionados con sistemas de correo y aplicaciones de grandes minoristas. Otras compañías como Bic Camera, Air Do y Solaseed Air también han reportado filtraciones en las últimas semanas, aunque sin confirmar exposición de datos de tarjetas. En los últimos días también se ha hablado del ciberataque a GMO, otro caso de acceso no autorizado en el país.