Bir alışveriş merkezindeki MUJI mağazasının girişi; kapı üstünde MUJI 無印良品 tabelası, yerde MUJI paspası

Japon perakende markası MUJI'nin işletmecisi Ryohin Keikaku'ya yönelik siber saldırıda, 2021 yılından bu yana silinmesi gereken yaklaşık 1,09 milyon MUJI Card kaydında kart numarasının tamamına erişilmiş olabileceği bildirildi. Şirketin çevrim içi mağazası da parola denemeli «liste tipi saldırı» (credential stuffing) sonrasında 6 Kasım 2026'dan bu yana kapalı tutuluyor.

Ryohin Keikaku Başkanı Satoshi Shimizu, 12 Kasım 2026'da Tokyo'da düzenlenen basın toplantısında siber saldırı nedeniyle özür diledi. Kyodo'ya göre şirket, silinmiş olması gereken bazı kredi kartı bilgilerinin sızmış olabileceğini belirtti ve etkilenmiş olabilecek kartların yeniden basım ücretlerini karşılamayı planlıyor. Nikkei xTECH'e göre Shimizu; yetkisiz erişimin önlenememesi ve müşteri bilgilerinin dışarı sızmış olabilmesi, imha edilmesi gereken kart numarası gibi bilgilerin sistemde kalmış olması ile çevrim içi mağazanın durdurulması ve bu sürenin uzaması konularında özür diledi.

Kart ihraççısı Credit Saison'a göre yetkisiz erişim, 29 Ekim 2026'da Japonya saatiyle 01.00 civarında Ryohin Keikaku'nun sistemine yapıldı. Ryohin Keikaku ve Credit Saison, şimdiye kadar verilerin kötüye kullanıldığını ya da kötüye kullanımda artış yaşandığını tespit etmediklerini bildirdi.

Hangi bilgiler erişilmiş olabilir

Ryohin Keikaku, 30 Ekim 2026'daki ilk açıklamasında MUJI uygulaması kullanıcılarına ait en fazla yaklaşık 27,26 milyon kayıtta e-posta adresi, doğum tarihi ve cinsiyet bilgisinin sızmış olabileceğini, kart bilgisi, ad, adres ve telefonun ise kapsamda olmadığını aktarmıştı. Ancak 4 Kasım 2026 tarihli ikinci duyuruda, bu yaklaşık 27,26 milyon kaydın uygulamayı kullanmayan MUJI çevrim içi mağaza üyelerini de kapsadığı ve üye kimliğinin de erişilmiş olabileceği paylaşıldı. Bu kayıtların bir kısmında ad, adres ve telefon numarası da yer alıyor; 4 Kasım'da yaklaşık 520 bin olarak açıklanan sayı, 9 Kasım'da yaklaşık 750 bine güncellendi.

Uygulamaya ya da çevrim içi mağazaya kartını kaydeden yaklaşık 120 kişinin kart numarasının ilk 6 ve son 2 hanesi ile kart üzerindeki ad da erişilmiş olabilecek bilgiler arasında bulunuyor.

En ağır kalemi ise Credit Saison'un çıkardığı MUJI Card kredi kartı kayıtları oluşturuyor. Ekim 2000 ile Temmuz 2021 arasında karta katılan müşterilere ait yaklaşık 1,09 milyon kayıtta kart numarasının tamamı, MUJI Card kimliği ve doğum tarihi erişilmiş olabilir. Bu kartların yaklaşık 345 bini halen geçerli durumda bulunurken, yaklaşık 745 bini sonlandırılmış ya da süresi dolmuş kartlardan oluşuyor. Kart üzerindeki ad, son kullanma tarihi ve güvenlik kodu (CVV) bu bilgilere dahil değil; Ağustos 2021'den sonra çıkarılan kartlar da kapsam dışında kalıyor.

Şirket, verilerin dark web ortamına sızdığını ya da kötüye kullanıldığını şimdiye kadar tespit etmediğini kaydetti. Saldırgan, saldırının kök nedeni ve giriş yolu açıklanmadı; soruşturma sürüyor.

Silinmesi gereken kart numaraları neden sistemdeydi

Credit Saison'a göre bu kart numaraları, MUJI Card sahiplerine puan ayrıcalığı vermek amacıyla Temmuz 2021'e kadar Credit Saison'dan Ryohin Keikaku'ya aktarılıyordu. Veri aktarımı durdurulduktan sonra da numaralar silinmeyerek Ryohin Keikaku'nun sisteminde kaldı.

Credit Saison, kendi sistemine yetkisiz erişim ya da kendi sisteminden bir sızıntı tespit etmediğini, MUJI Card izlemesini sıkılaştırdığını, kötüye kullanım artışı görmediğini ve isteyen müşterilere kartlarını yeniden bastığını bildirdi.

Çevrim içi mağaza neden kapalı

Ryohin Keikaku, MUJI çevrim içi mağazasını 6 Kasım 2026 saat 16.00'dan itibaren durdurdu; uygulamada da üye barkodu dışındaki işlevler kapatıldı. Şirket ilk başta mağazanın bir iki gün içinde açılacağını belirtmişti.

9 Kasım 2026'daki dördüncü duyuruya göre çevrim içi mağazada, üçüncü kişilerin başka yerlerden ele geçirmiş olabileceği parolalarla çok sayıda giriş denemesi yaptığı «liste tipi saldırı» (credential stuffing) tespit edildi ve hesap sahibi dışındaki kişilerin hesaplara giriş yapmış olabileceği anlaşıldı. ITmedia ve NHK'ye göre bu saldırıyla yaklaşık 270 bin kişinin e-posta, doğum tarihi, ad, adres, telefon, satın alma geçmişi ve puan bilgileri sızmış olabilir.

Aynı duyuruya göre 2 Ocak 2020 ile 10 Şubat 2025 arasında MUJI mağazaları ve çevrim içi mağaza üzerinden kapıda ödemeli gönderilerin alıcısı olan yaklaşık 440 bin kişinin adı ve posta kodu da erişilmiş olabilir.

Şirket mağazanın yeniden açılışını erteledi; Nikkei xTECH'e göre 12 Kasım 2026 itibarıyla açılış tarihi belirsiz. Mağaza açıldığında tüm kullanıcılardan parolalarını yenilemeleri istenecek. Ryohin Keikaku, başka hizmetlerden farklı bir parola kullanılmasını istedi; e-posta, telefon ya da SMS ile parola veya kart numarası istemeyeceğini vurguladı.

Japonya'da art arda veri ihlalleri

Japonya'da aynı dönemde birbirinden bağımsız başka siber güvenlik olayları da kaydedildi. Kyodo'nun 4 Kasım 2026 tarihli haberine göre elektronik perakendecisi Bic Camera, e-posta bülteni dağıtımını yapan yüklenici Arara'nın sistemine yetkisiz erişim nedeniyle yaklaşık 14,9 milyon müşteri kaydının sızmış olabileceğini açıkladı; Nomura Holdings'in yan kuruluşu Nomura Investor Relations da ayrı bir veri ihlali bildirdi. Bu olayların MUJI saldırısıyla bir bağlantısı bulunmuyor.

Türkiye açısından

Olayın Türkiye'deki müşterileri etkilediğine dair bir bilgi bulunmuyor; şirketin açıklamaları Japonya'daki uygulama, çevrim içi mağaza ve MUJI Card kullanıcılarını kapsıyor. Yaşanan tablo iki temel ders taşıyor: kullanılmayan kart numaralarının yıllarca saklanması olası bir saldırıda riski büyütürken, başka sitelerden sızan parolaların yeniden denendiği liste tipi saldırılar aynı parolayı birden fazla hizmette kullananları hedef alıyor. Türkiye'de de 6698 sayılı KVKK, veri sorumlularının işleme amacı ortadan kalkan kişisel verileri silmesini öngörüyor.

Kaynaklar

Kapak görseli: Nick-D / Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, 1200x675).