Ryohin Keikaku ผู้ดำเนินธุรกิจ MUJI อัปเดตเมื่อ 4 พฤศจิกายน 2569 ว่าเหตุเข้าถึงระบบโดยไม่ได้รับอนุญาตครอบคลุมสมาชิกแอปและเว็บสโตร์สูงสุดประมาณ 27.26 ล้านรายการ รวมผู้ยกเลิกสมาชิกแล้ว และข้อมูลบัตรบางส่วน ตัวเลขนี้เป็นขอบเขตข้อมูลที่อาจถูกเข้าถึงหรือรั่วไหล ไม่ใช่จำนวนผู้เสียหายจากการฉ้อโกงที่ยืนยันแล้ว

ข้อมูลใดอยู่ในขอบเขต

  • สมาชิกแอปและเว็บสโตร์: อีเมล วันเกิด เพศ และรหัสสมาชิก สูงสุดประมาณ 27.26 ล้านรายการ ในจำนวนนี้ประมาณ 520,000 รายการมีชื่อ ที่อยู่ และโทรศัพท์ด้วย
  • MUJI Card: ประมาณ 1.09 ล้านรายการมีเลขบัตรครบทุกหลัก รหัส MUJI Card และวันเกิด โดยบัตรที่ยังใช้ได้มีประมาณ 345,000 ใบ ข้อมูลกลุ่มนี้ไม่รวมชื่อบนบัตร วันหมดอายุ และรหัสความปลอดภัย
  • บัตรที่บันทึกในแอปหรือเว็บสโตร์อีกประมาณ 120 รายการ: ครอบคลุมเลขบัตร 6 หลักแรกและ 2 หลักท้าย พร้อมชื่อบนบัตร ไม่รวมวันหมดอายุและรหัสความปลอดภัย

กลุ่มข้อมูลมีส่วนทับซ้อนกัน จึงห้ามนำตัวเลขแต่ละกลุ่มมาบวกเป็นจำนวนคนทั้งหมด ประกาศวันที่ 4 พฤศจิกายนเป็นความคืบหน้าของเหตุที่เปิดเผยครั้งแรกวันที่ 30 ตุลาคม ไม่ใช่หลักฐานว่ามีการโจมตีครั้งใหม่

ผู้ถือ MUJI Card ควรตรวจอะไร

Credit Saison ระบุว่ากลุ่มบัตรที่เกี่ยวข้องเป็นผู้สมัครระหว่างตุลาคม 2543 ถึงกรกฎาคม 2564 ข้อมูลเดิมเคยส่งให้ Ryohin Keikaku เพื่อสิทธิประโยชน์สมาชิก ผู้สมัครตั้งแต่สิงหาคม 2564 ไม่อยู่ในขอบเขต MUJI Card ของเหตุนี้ บริษัทบัตรเพิ่มการเฝ้าระวังและเปิดให้ผู้ที่ต้องการขอออกบัตรใหม่ ทั้งยังระบุว่า ณ วันประกาศยังไม่พบการเข้าถึงระบบของ Credit Saison โดยไม่ได้รับอนุญาต

  • ตรวจใบแจ้งยอดและประวัติใช้บัตร หากพบรายการที่ไม่รู้จัก ให้ติดต่อผู้ออกบัตรผ่านแอปหรือเว็บไซต์ทางการ
  • ตรวจประกาศและการแจ้งเตือนรายบุคคล ระวังอีเมล SMS หรือโทรศัพท์อ้าง MUJI หรือบริษัทบัตรเพื่อขอเลขบัตร รหัสความปลอดภัย หรือ OTP
  • เปิดเว็บไซต์ทางการด้วยตนเองเมื่อต้องตรวจสิทธิ์หรือขอออกบัตรใหม่ ไม่กรอกข้อมูลผ่านลิงก์จากข้อความที่น่าสงสัย

สถานะล่าสุดและขอบเขตประเทศไทย

Ryohin Keikaku ระบุว่าปิดกั้นการเข้าถึงที่ไม่ได้รับอนุญาตแล้ว แอปและเว็บสโตร์ใช้งานได้ตามปกติ และ ณ วันที่ 4 พฤศจิกายนยังไม่ยืนยันว่าข้อมูลปรากฏบนดาร์กเว็บหรือถูกนำไปก่อความเสียหาย ไม่พบหลักฐานจากแหล่งที่ตรวจรอบนี้ว่าฐานลูกค้า MUJI ประเทศไทยอยู่ในขอบเขต จึงไม่ควรเหมารวมว่าลูกค้าทุกประเทศได้รับผลกระทบ

ข้อวิเคราะห์ ALPHASEC: ข้อมูลเก่าต้องมีเจ้าของและวันสิ้นสุดการเก็บ

กรณี MUJI ข้อมูลรั่วไหลที่อยู่ระหว่างตรวจสอบนี้เป็นบทเรียนสำหรับองค์กรไทยเรื่องข้อมูลสมาชิกและข้อมูลการชำระเงินที่เก็บข้ามระบบ แม้เปลี่ยนกระบวนการธุรกิจแล้ว ข้อมูลที่ตกค้างยังสร้างความเสี่ยงได้

  • ทำบัญชีว่าข้อมูลลูกค้าอยู่ที่ระบบใด รวมสำเนาเก่าและข้อมูลที่คู่ค้าได้รับ พร้อมระบุผู้รับผิดชอบ
  • ทบทวนความจำเป็นและระยะเวลาเก็บข้อมูล เมื่อหมดวัตถุประสงค์ให้ดำเนินการตามนโยบายและข้อผูกพันที่เกี่ยวข้อง โดยตรวจว่าการลบครอบคลุมสำเนาที่อยู่ในขอบเขตด้วย
  • จำกัดสิทธิ์เข้าถึงข้อมูลบัตร แยกการเข้าถึงจากระบบสมาชิก และตรวจบันทึกการเรียกดูหรือส่งออกข้อมูลผิดปกติ
  • เตรียมการแจ้งลูกค้าให้แยกจำนวนรายการ จำนวนบุคคล ประเภทข้อมูล และระดับความแน่นอน เพื่อให้ผู้รับข่าวเลือกป้องกันตัวได้ตรงจุด

ข้อเสนอส่วนนี้เป็นการวิเคราะห์เชิงป้องกันของ ALPHASEC ไม่ใช่ข้อสรุปสาเหตุทางเทคนิคของเหตุ MUJI

แหล่งอ้างอิง