Для: людей, зарегистрированных в Toku-Kai, сервисе привилегий для держателей карт Credit Saison, который предоставляет Benefit One (включая вышедших), и компаний, передающих часть работы подрядчикам. Статья основана на официальном уведомлении Benefit One и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 30 октября 2026 годаПока неизвестно
- Причина (как злоумышленник проник)
- Окончательное число пострадавших
- Будет ли злоупотребление данными позднее
- Завершение индивидуальных уведомлений
- Когда Toku-Kai возобновит работу
В уведомлении от 28 октября компания написала, что расследование продолжается, число может измениться и что о дополнительных выводах она оперативно сообщит на своем сайте. По состоянию на 30 октября в списке новостей компании нет продолжения (второго сообщения) по этому делу.
Что бывшим и нынешним участникам Toku-Kai делать сегодня
Проверьте, затронуты ли вы (вышедшие участники тоже входят)
Согласно уведомлению, пострадавшие — это люди, зарегистрированные в Toku-Kai, их 29 465, и эта цифра включает некоторых вышедших участников. Компания говорит, что свяжется с пострадавшими участниками индивидуально по зарегистрированному адресу электронной почты. Для тех, до кого не удастся дозвониться, например потому что они вышли, объявление и контактный центр заменяют индивидуальное уведомление.
В уведомлении сказано, что в контактном центре Benefit One (электронная почта security-support@benefit-one.co.jp) можно спросить, затронуты ли вы. Чтобы проверить, настоящее ли полученное письмо, не пользуйтесь ссылками из него; сравните его с объявлением компании на официальном сайте, который вы нашли и открыли сами.
Не открывайте ссылки в сообщениях от имени компании или ее партнеров
Когда вместе известны имя, дата рождения, пол, почтовый индекс, адрес электронной почты и номер клиента, можно написать убедительное поддельное сообщение с верным именем и номерами. Компания предупреждает о подозрительных письмах, звонках и SMS от имени компании, ее партнеров или подрядчиков и говорит, что никогда не спрашивает у участников номера кредитных карт или пароли.
Поскольку компания собирается написать пострадавшим участникам по электронной почте, можно представить и поддельное сообщение «подтвердите, затронуты ли вы» или «зарегистрируйте карту заново», сделанное похожим. Считайте любое сообщение с просьбой назвать номер карты или пароль поддельным и проверяйте на официальном сайте, открытом самостоятельно (как распознавать такие письма: Что такое фишинг?).
Уведомление не просит менять номер карты. В качестве предосторожности проверьте выписку
Компания говорит, что не хранит номера кредитных карт, сроки действия и коды безопасности ни у себя, ни в затронутой системе. Их хранит платежный оператор, к его системе доступа не было, поэтому, по словам компании, данные карт не утекли. Уведомление не советует менять номера карт.
Компания также говорит, что часть ее аутентификационных данных для связи с платежной системой могла утечь и что в сочетании с управляющим номером была возможна мошенническая обработка платежей по членским взносам. Она изменила эти данные 26 октября и говорит, что этим путем мошенничество больше невозможно. В качестве предосторожности проверьте выписку на незнакомые списания членских взносов Toku-Kai.
Уведомление не просит менять пароль
Пароли не входят в перечисленные утекшие данные, и уведомление компании не просит участников их менять. Если вы хотите воспользоваться случаем и пересмотреть слабые или повторяющиеся пароли в других сервисах с тем же адресом электронной почты, стоит рассмотреть менеджер паролей, но для этого инцидента это не обязательный шаг.
Взломан подрядчик, и утекли данные участников партнера
Согласно объявлению, утекшие данные были в системе, которой подрядчик управляет для сервиса, предоставляемого Benefit One участникам партнера. Компания заявляет, что данные не утекли из системы, которой управляет Credit Saison.
С точки зрения участника здесь задействованы и карточная компания, и компания, предоставляющая сервис, и подрядчик, выполняющий ее работу, а несанкционированный доступ произошел в системе подрядчика. Похожий случай из прошлого — утечка адресов электронной почты JR East, VIEW Card и JR Kyushu, где несколько организаций сообщили об одной причине отдельно. Этот случай может пойти иначе.
Credit Saison
Предлагает сервис держателям своих карт. Из ее систем данные не утекли
↓→
Benefit One
Предоставляет Toku-Kai
↓→
Система подрядчика
Где произошел несанкционированный доступ
Данные участников утекли из системы, которой управляет подрядчик (объявление компании).
Что произошло (из объявления Benefit One)
Ниже изложено по объявлению Benefit One от 28 октября 2026 года (PDF) и уведомлению Credit Saison от того же дня.
14 октября 2026, 13:45
У подрядчика происходит несанкционированный доступ, который с перерывами повторяется до 20 октября, 14:05.21 октября
Подрядчик обнаруживает часть несанкционированного доступа (10:30). Benefit One получает сообщение от подрядчика (11:40) и временно приостанавливает сервис (17:00).23 октября
Сообщено в Комиссию по защите персональных данных (предварительное сообщение).24–25 октября
Подрядчик обнаруживает дополнительный несанкционированный доступ, не выявленный на 21-е. Benefit One получает второе сообщение 25-го в 18:50.26 октября
Чтобы предотвратить дальнейший ущерб, Benefit One меняет аутентификационные данные для связи с платежной системой.27 октября
В 19:00 получает от подрядчика третье сообщение и узнает, что часть аутентификационных данных могла утечь.28 октября
Benefit One подтверждает, что после смены 26 октября мошенническая обработка этим путем больше невозможна. Публикует извинения и уведомление.
- Затронутый сервис
- Toku-Kai (сервис для держателей карт Credit Saison Co., Ltd.). Компания говорит, что данные не утекли из систем Credit Saison
- Утекшие данные
- Имя, фуригана, дата рождения, пол, почтовый индекс, адрес электронной почты, номер клиента, сведения о вступлении и выходе и управляющий номер, используемый при обработке членских взносов. Какие пункты относятся к вам, зависит от участника и того, что он указал при регистрации
- Об управляющем номере
- Номер, связывающий сведения об участнике с платежными данными; это не номер кредитной карты
- Возможная утечка, отдельно от данных участников
- Часть аутентификационных данных компании для связи с платежной системой. В сочетании с управляющим номером была возможна мошенническая обработка платежей по членским взносам; данные изменены 26 октября
- По словам компании, не входят
- Данные карт: номера карт, сроки действия и коды безопасности (их хранит платежный оператор, к его системе доступа не было)
- Случаи злоупотребления
- При проверке периода до смены аутентификационных данных мошеннических платежей, связанных с этим инцидентом, не найдено. Ущерба от злоупотребления этими данными не подтверждено
- Принятые меры
- Временная приостановка сервиса, блокировка известных путей несанкционированного доступа, смена аутентификационных данных
- Продолжающиеся меры
- Совместное расследование со связанными сторонами и подрядчиком, расследование сторонней специализированной компанией, сообщение в Комиссию по защите персональных данных, консультация с полицией, выяснение масштаба и причины
Что известно и что пока нет
Состояние на 30 октября 2026 года. Когда появится продолжение, столбец статуса этой таблицы будет переписан.
| Пункт | Что говорится в объявлении | Статус |
|---|---|---|
| Период несанкционированного доступа | С перерывами с 14 октября 2026, 13:45 до 20 октября, 14:05. Дополнительный доступ, не выявленный на 21-е, обнаружен 24–25 октября | Подтверждено (компанией) |
| Число пострадавших | 29 465 (включая некоторых вышедших). Может измениться по мере расследования | Подтверждено (пока; может измениться) |
| Имя, фуригана, дата рождения, пол, почтовый индекс, адрес электронной почты | Различается у участников (зависит от регистрации) | Утечка подтверждена (компанией) |
| Номер клиента, сведения о вступлении и выходе | То же | Утечка подтверждена (компанией) |
| Управляющий номер для обработки членских взносов | Не номер кредитной карты | Утечка подтверждена (компанией) |
| Аутентификационные данные для связи с платежной системой | Часть могла утечь. Изменены 26 октября | Возможно (компания) |
| Номер карты, срок действия, код безопасности | Не хранятся; утечки нет | Не входят (компания) |
| Пароли | Не названы среди утекших данных | Не указано |
| Мошенническая обработка платежей | Связанной с этим инцидентом не найдено | Не подтверждено (компанией) |
| Ущерб от злоупотребления | В настоящее время не подтвержден | Не подтверждено (компанией) |
| Причина и путь проникновения | Система подрядчика подверглась несанкционированному доступу третьей стороны. Подробности расследуются | Расследуется |
| Индивидуальные уведомления | Отправляются по зарегистрированным адресам электронной почты | Запланировано |
| Возобновление Toku-Kai | После установления причины и завершения мер предотвращения; сроки будут объявлены на сайте компании | Не назначено |
Как это читать: «не подтверждено» не значит «не было»
Компания пишет, что мошеннические платежи и ущерб от злоупотребления «не подтверждены». Она говорит, что расследование продолжается, а число может измениться. Имена, даты рождения и адреса почты уже утекли и могут позже использоваться в поддельных сообщениях, поэтому отсутствие данных карт и необходимость остерегаться сообщений — это разные вопросы.
К чему могут привести сочетания утекших данных
В общем случае сочетания, подобные следующим, могут привести к злоупотреблениям такого рода. Это не значит, что так произошло в данном случае.
- Имя + дата рождения + адрес электронной почты + номер клиента: можно написать убедительное письмо «просим подтвердить» или «уведомление о процедуре» с верными именем и номерами
- Адрес электронной почты + название сервиса (Toku-Kai): повод для сообщений от имени «взносов Toku-Kai», «процедуры выхода» или «повторной регистрации карты»
- Сведения о вступлении и выходе: вышедшие тоже могут получать сообщения якобы с «подтверждением выхода»
Для компаний, использующих подрядчиков: что можно проверить по раскрытой хронологии
Причина не раскрыта. Этот раздел не оценивает действия компании или подрядчика; он ограничивается тем, что компании, использующие подрядчиков, могут проверить у себя, исходя из раскрытой хронологии.
- Подрядчик может позже обнаружить новый несанкционированный доступ. В хронологии дополнительный доступ, не выявленный на 21-е, нашли 24–25 октября, а сообщения приходили в три приема. Спросите, можно ли заранее зафиксировать в договоре, что одно сообщение может быть не последним, и как часто вы будете получать промежуточные сведения.
- Держите аутентификационные данные платежных интеграций заменяемыми. В уведомлении сказано, что компания изменила аутентификационные данные интеграции, чтобы предотвратить дальнейший ущерб, а позже получила от подрядчика сообщение, что часть их могла утечь. В общем случае, если вы передаете подрядчику учетные данные интеграции, знание шагов для их замены в любой момент и того, что от этого пострадает, сокращает время сдерживания ущерба.
- Проведите инвентаризацию того, что хранит подрядчик. Здесь в системе подрядчика были данные от имен участников до сведений о вступлении и выходе и платежного управляющего номера. Регулярно проверяйте, укладываются ли хранимые подрядчиком данные в то, что нужно для работы, и нужно ли хранить сведения о вышедших участниках.
Источники (публичные сведения)
Факты в этой статье основаны на следующей публичной информации. Нераскрытые пути проникновения и методы не обсуждаются.
- Benefit One Inc., «Извинения и уведомление об утечке персональных данных участников партнера из-за несанкционированного доступа к нашему подрядчику» (28 октября 2026, PDF, на японском языке) — corp.benefit-one.co.jp
- Credit Saison Co., Ltd., «Об утечке персональных данных в Toku-Kai, предоставляемом Benefit One Inc.» (28 октября 2026, на японском языке) — saisoncard.co.jp
- ITmedia NEWS (29 октября 2026, на японском языке). Использовано для подтверждения согласованности с официальным объявлением — itmedia.co.jp
История обновлений
2026-10-30: Первая версия. Основана на объявлении Benefit One от 28 октября (PDF) и уведомлении Credit Saison от того же дня. Подтверждено, что по состоянию на 30 октября в списке новостей компании нет продолжения (второго сообщения) по этому делу. Компания говорит, что сообщит о дополнительных выводах, и статья будет обновлена, когда они появятся.
Читайте далее
- Похожий случай: Возможная утечка адресов электронной почты JR East, VIEW Card и JR Kyushu
- Как распознать последующее мошенничество: Что такое фишинг? / Как работают менеджеры паролей и как выбрать
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и мир)