Для кого: для участников (полноправных участников) EC-приложения Aena Co., Ltd. Статья основана на официальных объявлениях Aena и не описывает методы атаки. На своём сайте Aena называет себя одной из крупнейших в Японии сетей магазинов уцененных товаров.
В развитии: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 30 октября 2026 годаПока неизвестно
- Подробности причины и пути
- Были ли данные действительно вынесены
- Окончательный список затронутых людей
- Возникнет ли вторичный вред
- Будет ли компенсация
В объявлении от 20 октября компания говорит, что усиливает информационную безопасность и пересматривает системы мониторинга. Сроков для дальнейших объявлений она не называет. Мы проверили её список новостей 30 октября и не нашли объявлений по этому инциденту новее объявления о «возобновлении работы сервиса» от 20 октября.
Что участникам нужно сделать сегодня
Определите, могли ли вы попасть в охват
Люди, чьи данные могли быть просмотрены, — полноправные участники EC-приложения, до 817 215 человек. Участники LINE и клиенты, пользовавшиеся Amazon, Rakuten и подобными сайтами, не затронуты. Компания говорит, что уведомляет участников, которых это могло затронуть, индивидуальными письмами поэтапно.
Если вы были участником EC-приложения, считайте, что можете попадать в охват, получили вы письмо или нет, и переходите к следующим шагам.
Сбросьте пароль в приложении
Согласно объявлению компании от 20 октября, при первом запуске после возобновления работы сервиса появляется экран сброса пароля; следуйте ему и задайте новый пароль. Изменить его можно и в любое время: «Карта участника», затем «Проверка/изменение данных участника», затем «Изменение данных участника».
Компания говорит, что ни один пароль не был просмотрен и не утёк. Тем не менее, если вы использовали тот же пароль в другом сервисе, смените его и там (как проверить, не утёк ли ваш пароль / выбор менеджера паролей). Включите двухэтапную проверку, где она есть (рекомендация этого сайта).
Не пользуйтесь ссылками и номерами из сообщений о доставке и заказах
Компания говорит, что никогда не просит пароли или данные карт по электронной почте, в SMS или по телефону.
На этот раз имя, адрес, телефон и электронная почта могли быть объединены с данными доставки и последними 4 цифрами карты. Этого достаточно для убедительного сообщения вроде «вашу посылку не удалось доставить», «подтвердите заказ» или «заново зарегистрируйте карту». Если вы получили такое, не пользуйтесь ссылками и телефонами в нём; проверьте на официальном сайте, который открываете сами, или в приложении (что такое фишинг).
Проверьте выписки по карте
По картам могли быть просмотрены последние 4 цифры, срок действия и имя владельца. Компания говорит, что не хранит полные номера и коды безопасности и что подтвердила: ни одна покупка не была завершена. В качестве общей меры предосторожности проверьте выписки по карте на незнакомые списания и при любых сомнениях свяжитесь с компанией, выпустившей карту. Спросите у неё, нужна ли замена карты.
Помните, что зарегистрированные вами третьи лица могут быть включены
Информация, которая могла быть просмотрена, включает адреса доставки, имена и телефоны, и в объявлении сказано, что это включает получателей-третьих лиц. Если вы зарегистрировали родственника или друга, например для подарка, их данные могут быть включены. При необходимости предупредите их быть осторожными с неожиданными сообщениями.
Линия обращений и выход из программы
Компания указывает линию для клиентов (бесплатно 0120-532-565, с 10:00 до 17:00 по японскому времени, кроме выходных и праздничных дней; объявление от 14 октября). В списке новостей от 16 октября также есть специальная страница для выхода из членства в EC-приложении. Если хотите выйти, следуйте официальному сайту компании.
1. Сообщение о доставке, заказе или карте от имени Aena
Имя, адрес и данные доставки верны → не решайте здесь
↓
2. Не пользуйтесь ссылками и номерами: сами откройте официальный сайт или приложение
Линия для клиентов 0120-532-565 (по будням с 10:00 до 17:00)
↓
3a. Просьба, которую нельзя подтвердить
Ввести пароль или номер карты, открыть вложение → не отвечайте
3b. На официальном сайте или в приложении то же самое
Следуйте официальным инструкциям
Что произошло (по данным Aena)
Ниже приведено то, что основано на трёх объявлениях компании: от 14 октября («Возможная утечка информации о клиентах из-за несанкционированного внешнего доступа»), от 16 октября («Уведомление о планируемом возобновлении работы сервиса EC-приложения») и от 20 октября («Уведомление о возобновлении работы сервиса EC-приложения»).
13 октября 2026 года (вт), 5:58
Анализ журналов выявил, что личные кабинеты участников были просмотрены без разрешения14 октября (ср)
Объявлено. Данные до 817 215 участников могли быть просмотрены. На момент объявления доступ к EC-сайту был заблокирован, а меры по предотвращению повторения разрабатывались. Участников, которых это могло затронуть, уведомляли индивидуальными письмами поэтапно16 октября (пт)
Объявлено планируемое возобновление работы в «понедельник, 19 октября 2026 года, во второй половине дня», причём время могло измениться в зависимости от хода работ19 октября (пн), полдень
Сервис EC-приложения возобновил работу (по объявлению от 20 октября). При первом запуске после перезапуска появляется экран сброса пароля
- Данные участника
- Имя, адрес, телефон, адрес электронной почты, дата рождения, пол, род занятий
- Данные доставки
- Зарегистрированный адрес доставки, имя и телефон (включая получателей-третьих лиц)
- Настройки
- Любимый магазин, настройки рассылки
- Кредитная карта (частично)
- Последние 4 цифры, срок действия и имя владельца зарегистрированных кредитных карт
- Не входят (компания)
- Полные номера карт и коды безопасности (не хранятся); пароли не были просмотрены и не утекли. Подтверждено, что данные участников не изменялись, никто не выходил из программы и ни одна покупка не была завершена
- Не затронуты (компания)
- Участники LINE; клиенты, пользовавшиеся Amazon, Rakuten и подобными сайтами
- Контакты
- Линия для клиентов 0120-532-565 (с 10:00 до 17:00 по японскому времени, кроме выходных и праздничных дней)
Что известно и чего пока нет
Состояние на 30 октября 2026 года. Мы будем обновлять эту таблицу по мере новых публикаций компании.
| Пункт | Что сказано в объявлении | Статус |
|---|---|---|
| Несанкционированный доступ | Выявлен анализом журналов в 5:58 13 октября | Подтверждено (компания) |
| Участники, чьи данные могли быть просмотрены | До 817 215 (полноправные участники) | Возможно (компания) |
| Имя, адрес, телефон, почта, дата рождения, пол, род занятий | Могли быть просмотрены | Возможно (компания) |
| Адрес доставки, имя и телефон | Включая получателей-третьих лиц; могли быть просмотрены | Возможно (компания) |
| Любимый магазин и настройки рассылки | Могли быть просмотрены | Возможно (компания) |
| Последние 4 цифры карты, срок действия, имя владельца | Могли быть просмотрены | Возможно (компания) |
| Полный номер карты и код безопасности | Не хранятся; не просмотрены и не утекли | Не входят (компания) |
| Пароли | Не просмотрены и не утекли | Не входят (компания) |
| Изменения данных участников, выход из программы, завершение покупок | Подтверждено, что не было | Не подтверждено (компания) |
| Участники LINE; покупатели через Amazon и Rakuten | Не затронуты | Не входят (компания) |
| Были ли данные действительно вынесены | Только «могли быть просмотрены» | Не указано |
| Злоупотребления | Компания говорит, что злоупотреблений данными участников или вторичного вреда от этого инцидента не подтверждено (на 14 октября); предупреждает о фишинге и выдаче себя за других | Не подтверждено (компания) |
| Причина | «Механические непрерывные обращения, осуществлённые через несанкционированный доступ»; подробности расследуются | Расследуется |
| Компенсация | Не указана | Не указано |
Примечание: число — это максимальное число людей, и речь о возможности просмотра, а не о подтверждённой краже
817 215 — максимальное число участников, чьи данные могли быть просмотрены. В объявлении не сказано, сколько человек были просмотрены на самом деле и были ли данные вынесены. Объявление от 16 октября планировало перезапуск на «понедельник, 19 октября, во второй половине дня», а объявление от 20 октября указывает «понедельник, 19 октября, в полдень». (В объявлении также сказано, что сервис возобновлён «сегодня», поэтому его формулировка даты и времени не вполне согласована.) По времени перезапуска этот сайт следует объявлению от 20 октября.
Для чего можно использовать сочетание этих данных
Ниже описано то, что обычно может происходить с такой комбинацией данных. Компания не объявляла, что что-либо из этого произошло в данном инциденте.
- Имя + адрес + телефон + адрес электронной почты: поддельные письма и SMS с правдоподобными именем и контактами. Типичная форма — уведомление о недоставленной посылке или подтверждение заказа
- Данные доставки (включая третьих лиц): сообщения могут дойти не только до участника, но и до тех, кому он отправлял подарки. У этих людей нет отношений с Aena, поэтому у них меньше причин сомневаться в сообщении, а срочный тон может застать их врасплох
- Последние 4 цифры карты, срок действия, имя владельца: материал, который делает сообщение «подтвердите номер карты» похожим на настоящее. По одним этим данным платёж не совершить, но сообщение может пытаться получить остальное от вас
- Дата рождения: удобна для сообщения о проверке личности, которое выглядит так, будто ответ знаете только вы
Большинство этого можно предотвратить, не пользуясь ссылками и номерами из сообщения и проверяя на официальном сайте или в приложении, которые вы открываете сами. Следите за обновлениями в новостях компании.
Что должны пересмотреть операторы
Подробности причины не раскрыты, поэтому этот раздел охватывает только то, что можно сказать по опубликованному ходу событий.
- Как это обнаружили: компания говорит, что просмотр выявил анализ журналов. Это получилось, потому что записи велись. Проверьте, как долго хранятся журналы и есть ли система их проверки.
- Простор для «механических непрерывных обращений»: названа причина — механические непрерывные обращения. Вообще схему, которая быстро один за другим просматривает экраны многих участников, иногда можно остановить ограничением частоты запросов или обнаружением необычного доступа. Путь здесь не раскрыт, поэтому это не утверждается как причина данного инцидента.
- Хранение данных третьих лиц: решение, при котором в личном кабинете хранятся имена, адреса и телефоны третьих лиц, распространяет последствия просмотра за пределы участников. Можно подумать о том, чтобы показывать меньше полей или частично маскировать их.
- Скорость реакции: компания объявила об этом на следующий день после обнаружения, а доступ к EC-сайту на момент объявления был заблокирован. Она также предлагает участникам задать новый пароль при первом запуске после перезапуска. Это то, что показывает опубликованный ход событий.
Источники (публичные материалы)
Факты в этой статье основаны на приведённой ниже публичной информации. Мы не гадаем о подробностях причины, о том, были ли данные вынесены, и о компенсации, которые не объявлены.
- Aena Co., Ltd., «Возможная утечка информации о клиентах из-за несанкционированного внешнего доступа» (на японском языке, 14 октября 2026) — aena.co.jp
- Aena Co., Ltd., «Уведомление о планируемом возобновлении работы сервиса EC-приложения» (на японском языке, 16 октября) — aena.co.jp
- Aena Co., Ltd., «Уведомление о возобновлении работы сервиса EC-приложения» (на японском языке, 20 октября) — aena.co.jp
- Aena Co., Ltd., список новостей (на японском языке, проверено 30 октября) — aena.co.jp/news
История обновлений
2026-10-30: первая версия на основе объявлений Aena от 14, 16 и 20 октября и её списка новостей (проверено 30 октября; по этому инциденту ничего новее 20 октября не найдено). Мы обновим статью, когда будут объявлены подробности причины, были ли данные вынесены, или компенсация.
Читайте далее
- Японский розничный случай того же периода: MrMax (имена, адреса электронной почты и телефоны участников) / утечка из приложения Toypo
- Похожий случай (данные участников интернет-провайдера): несанкционированный доступ к базе данных участников So-net
- Последующие мошенничества: Что такое фишинг? / Основы безопасности смартфона
- Защита аккаунтов: Как проверить, не утёк ли ваш пароль / Выбор менеджера паролей / Выбор многофакторной аутентификации
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)