Rituals beschreibt den Ablauf so, dass das Unternehmen auf unbefugte Downloads aus der Mitgliederdatenbank hingewiesen wurde und das Leck daraufhin in diesem Monat entdeckte. Der Zugang der Angreifer sei mittlerweile blockiert und der Vorfall damit eingedämmt worden.
Zu den potenziell offengelegten Angaben gehören nach Darstellung des Konzerns – soweit Kunden diese überhaupt geteilt hatten – vollständiger Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht und Wohnanschrift. „Wir können bestätigen, dass auf keine Passwörter oder Zahlungsinformationen zugegriffen wurde", erklärte das Unternehmen.
Rituals kündigte zudem eine eingehende forensische Untersuchung an, um den Hergang zu klären und künftige Vorfälle zu verhindern. Der Vorfall sei den zuständigen Behörden gemeldet worden.
Eine Sprecherin nannte keine Zahl betroffener Kunden. Das Programm My Rituals zählt nach Unternehmensangaben jedoch mehr als 41 Millionen Mitglieder. TechCrunch, das zuerst über den Vorfall berichtete, gab an, dass Rituals auch einige Kunden in den USA benachrichtigt hat. „Wir haben die betroffenen Kunden direkt informiert und den Vorfall den zuständigen Behörden gemeldet", teilte die Sprecherin BleepingComputer mit. Aus Sicherheitsgründen könne man keine weiteren Angaben zur Urheberschaft machen und sich nicht zu möglicher Kommunikation mit der unbefugten Partei äußern.
Welche Art von Cyberangriff dem Leck zugrunde liegt, hat Rituals bislang nicht offengelegt. Eine Verantwortung für den Vorfall hat keine Cybercrime-Gruppe und kein Bedrohungsakteur übernommen.
Rituals wurde im Jahr 2000 in Amsterdam gegründet und beschäftigt heute weltweit über 12.000 Mitarbeiter. Für 2025 wies das Unternehmen einen Umsatz von 2,4 Milliarden Euro aus. Es betreibt mehr als 1.400 eigene Boutiquen sowie gut 4.800 Parfümerien und Kaufhausstandorte in 33 Ländern.