Для кого: для всех, кто зарегистрировался как участник Bookoff в Японии через официальное приложение, официальный интернет-магазин или сайт (включая бывших участников), и для тех, кто управляет сервисом, где хранятся данные участников. Статья основана на официальных уведомлениях BOOKOFF GROUP HOLDINGS LIMITED и не затрагивает методы атак.
Ситуация развивается: статья будет обновляться по мере новых публикаций организации
По состоянию на 24 октября 2026 годаПока неизвестно
- Как злоумышленник получил доступ (компания не раскрывает подробности)
Во втором сообщении от 13 октября были указаны число людей, вовлечённые сервисы, данные, которые могли утечь, и данные, которые не затронуты; исправление от 16 октября добавило в список данных «род занятий» и «псевдоним». В уведомлении от 23 октября сказано, что индивидуальные письма на все адреса, доставку на которые удалось подтвердить, были отправлены к 22 октября, что на сайт участников добавлена веб-проверка, затронуты ли вы, и что 22 октября открыта специальная бесплатная линия. В уведомлении от 23 октября нет указаний на изменение чисел. Компания расследует причину вместе с внешними специалистами и обещает незамедлительно сообщать о новых фактах.
Что участникам Bookoff стоит сделать сегодня
Проверьте, затронуты ли вы (участники приложения, интернет-магазина и сайта)
Согласно второму сообщению, затронуты участники приложения, интернет-магазина и сайта Bookoff в Японии, включая бывших участников. Те, кто пользуется только картой участника и не регистрировался через приложение или сайт, не затронуты.
Затронутые и незатронутые сервисы показаны на рисунке ниже в разделе «Что произошло». Участники BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, официального интернет-магазина и других затронуты; Booklog, Aoyama Book Center, Japan TCG Center и другие работают в отдельных системах и не затронуты.
23 октября компания добавила веб-проверку на сайте участников Bookoff, которая показывает, затронуты ли вы. Как ею пользоваться (по уведомлению и FAQ компании):
- Откройте сайт участников Bookoff (member.bookoff.co.jp) из уведомления компании или с официального сайта Bookoff, который вы открываете сами, а не по ссылке из письма или SMS
- Войдите с адресом электронной почты и паролем, зарегистрированными в Bookoff, и следуйте подсказкам на экране, чтобы узнать, затронуты ли вы
- Если вы регистрировали несколько адресов электронной почты или аккаунтов участника, проверьте каждый аккаунт
- Если войти не удаётся, например потому что вы вышли из программы, обратитесь в специальную службу (последний шаг ниже)
Компания говорит, что отсутствие индивидуального письма не означает, что вы не затронуты. Могут быть затронуты и участники, которые перенесли данные карты участника в приложение или на сайт. Если вы регистрировались через приложение или сайт, выполните и шаги ниже, не дожидаясь результата проверки.
Смените пароль для официального приложения и интернет-магазина, а также на других сервисах, где он повторяется
Во втором сообщении компания просит затронутых участников сменить пароли для официального интернет-магазина BOOKOFF и официального приложения. Сделайте это через официальное приложение или сайт, который вы открываете сами. Компания сообщает, что в её уведомительных письмах не будет ссылок на страницу смены пароля.
Мог утечь хеш пароля (значение, полученное так, что его нельзя преобразовать обратно в пароль); по словам компании, его нельзя напрямую прочитать как пароль. Однако в целом короткие или распространённые пароли иногда удаётся подобрать по хешу (как это работает: Что такое хеширование паролей?). Подобранный пароль вместе с адресом электронной почты пробуют на других сервисах.
Компания также просит сменить одинаковый или похожий пароль на других сервисах. Начните с электронной почты, интернет-магазинов и финансовых сервисов. Менеджер паролей — практичный способ не использовать пароли повторно, а двухэтапная проверка делает вход ещё безопаснее.
Не открывайте ссылки в письмах, SMS и звонках от имени Bookoff
Компания предупреждает, что могут приходить письма, SMS и звонки от имени группы или её партнёров. Она просит не открывать ссылки и вложения в неожиданных сообщениях и не вводить личные данные или данные для входа.
Компания сообщает, что группа никогда не будет запрашивать пароли, данные кредитных карт или банковских счетов по электронной почте, SMS или телефону (в уведомлении от 9 октября также были названы коды подтверждения). Любой запрос такого рода — подделка (как её распознать: Что такое фишинг?).
Даже настоящее уведомительное письмо проверяйте через официальную точку входа
Компания в несколько этапов отправляла письма затронутым участникам на зарегистрированные адреса с 15 октября 2026 года (четверг) и сообщает, что отправка на все адреса, доставку на которые удалось подтвердить, завершена 22 октября (четверг). Тема письма — «不正アクセスによる個人情報漏えいに関するお詫びとお知らせ» (извинения и уведомление об утечке персональных данных из-за несанкционированного доступа), а в FAQ (по состоянию на 23 октября) указан отправитель «bookoff@2902.net». Письма могут не дойти из-за смены адреса или настроек почты, а отсутствие письма не означает, что вы не затронуты, поэтому для проверки используйте веб-проверку выше. Адрес отправителя можно подделать, поэтому совпадение отправителя само по себе не доказывает подлинность письма.
Компания сообщает, что эти письма никогда не просят вводить пароль, данные кредитной карты или банковского счёта или отвечать с ними и не содержат ссылок на страницу смены пароля. Сообщение с той же темой, где есть ссылка на страницу смены пароля или просьба ввести пароль, данные карты или банка либо ответить с ними, не соответствует этому официальному описанию. Проверяйте через официальный контакт, не используя ссылки из письма. Проверьте содержание в официальном приложении или на официальном сайте, открытом из вашей закладки или через поиск.
Проверьте, нет ли незнакомого использования баллов или другой активности
Компания просит участников обращаться в службу поддержки, если они заметят подозрительные обращения или незнакомое использование. Если вы можете войти в официальное приложение или интернет-магазин, проверьте баланс баллов, историю использования и зарегистрированные данные на предмет изменений, которых вы не делали. Компания сообщает, что по состоянию на 13 октября она не обнаружила ни изменения данных участников, ни злоупотребления баллами.
Используйте контакты из официального уведомления
22 октября (четверг) компания открыла специальную бесплатную линию по этому инциденту, 0120-300-663 (10:00–18:30, ежедневно, на японском языке). До этого она направляла обращения в службу поддержки клиентов Bookoff Group. Другой контакт — специальная форма обращений на сайте Bookoff Group Holdings (оба указаны в уведомлении от 23 октября). Находите их через уведомление на официальном сайте, который вы открываете сами, а не по номерам или ссылкам из полученных сообщений.
Что произошло (по данным Bookoff Group Holdings)
Далее изложено на основе уведомления компании от 9 октября 2026 года (первое сообщение, раскрытие информации для биржи), второго сообщения от 13 октября (раскрытие информации для биржи), исправления ко второму сообщению от 16 октября (раскрытие информации для биржи), уведомления от 23 октября о веб-проверке и бесплатной линии, а также FAQ компании (по состоянию на 23 октября).
4–6 октября 2026 года
Данные участников, хранившиеся в системе управления участниками BOOKOFF CORPORATION, были похищены извне (вывод второго сообщения).6 октября (вт)
Подтверждён несанкционированный доступ третьего лица к системе управления участниками.После подтверждения
Заблокированы трафик от источника атаки и использованный путь, усилены контроль доступа и мониторинг. Известный путь, использованный для хищения данных, перекрыт.9 октября (пт)
Опубликовано первое сообщение: до примерно 6,43 млн записей (номеров участников).13 октября (вт)
Опубликованы второе сообщение и FAQ. Число затронутых определено как 6 383 279 человек (6 427 735 записей по номерам участников), указаны вовлечённые сервисы, незатронутые данные и просьба сменить пароли. Компания сообщает, что уведомила Комиссию по защите персональной информации и обратилась в полицию.С 15 октября (чт)
Начата поэтапная рассылка писем на зарегистрированные адреса затронутых участников (завершена 22 октября). FAQ обновлён (по состоянию на 15 октября), в нём указан адрес отправителя.16 октября (пт)
Опубликовано исправление ко второму сообщению. «Род занятий» и «псевдоним» были пропущены в списке данных, которые могли утечь, и добавлены. Компания сообщает, что число записей, число людей и остальное содержание сообщения не изменились.22 октября (чт)
Завершена отправка индивидуальных писем на все адреса, доставку на которые удалось подтвердить. Открыта специальная бесплатная линия (0120-300-663).23 октября (пт)
Объявлена веб-проверка на сайте участников Bookoff, позволяющая узнать, затронуты ли вы. FAQ заменён версией по состоянию на 23 октября.
- Система
- Система управления участниками Bookoff в Японии, которую предоставляет консолидированная дочерняя компания BOOKOFF CORPORATION LIMITED
- Люди и записи
- 6 383 279 человек (6 170 908 действующих участников, 212 371 бывший участник). 6 427 735 записей по номерам участников. Число записей — это число номеров участников, чьи данные, согласно журналам системы, были отправлены наружу; при подсчёте людей несколько записей участников, зарегистрированных на один адрес электронной почты, считаются за одного человека
- Затронутые участники
- Участники приложения, интернет-магазина и сайта. Те, кто пользуется только картой участника и не регистрировался через приложение или сайт, не затронуты
- Позиции
- Имя, дата рождения, пол, род занятий, псевдоним, адрес электронной почты, номер телефона, почтовый индекс и адрес, указанные в информации об участнике, хеш пароля, номер бонусной карты, номер участника (род занятий и псевдоним добавлены исправлением от 16 октября). Не все позиции утекли у каждого участника
- Пароли
- Хеши, которые, по словам компании, нельзя напрямую прочитать как пароль. Затронутых участников просят сменить пароли для официального интернет-магазина и приложения
- Не затронуто
- Платёжные данные, такие как реквизиты кредитных карт; банковские реквизиты; адрес, введённый при выкупе в магазине, и текст, считанный с документов, удостоверяющих личность; адреса доставки, указанные при заказе отдельно от адреса участника; адреса забора и изображения документов, удостоверяющих личность, при выкупе по почте
- Публикация и злоупотребление
- По состоянию на 13 октября публикации данных, злоупотребления баллами или изменения данных участников не обнаружено
- Дальнейшие шаги
- Расследование причины с внешними специалистами, срочная проверка всех систем группы, дополнительные меры безопасности и меры по предотвращению повторения. Уведомлена Комиссия по защите персональной информации, подано обращение в полицию
Затронуты (система управления участниками Bookoff)
BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, официальный интернет-магазин BOOKOFF, あそビバ (Asobiba), BOOKOFF FASHION, BINGO, B·SPORTS, B·STYLE, Rehello by BOOKOFF (магазины)
Не затронуты (работают в отдельных системах)
hugall, aidect, Rehello by BOOKOFF (онлайн), Japan TCG Center, Booklog, Aoyama Book Center, ブックオフおかたづけサービス (Bookoff Okatazuke, услуга по расхламлению)
Что известно и что неизвестно
Статус на 24 октября 2026 года. При появлении новых сообщений столбец статуса будет обновлён.
| Пункт | Что сказала компания | Статус |
|---|---|---|
| Данные похищены извне | Данные участников были похищены извне в период с 4 по 6 октября | Утечка подтверждена (компания) |
| Люди и записи | 6 383 279 человек (6 427 735 записей по номерам участников) | Утечка подтверждена (компания) |
| Участники и сервисы | Участники приложения, интернет-магазина и сайта во всех сервисах, использующих систему управления участниками Bookoff в Японии (пользователи только карты участника не затронуты) | Утечка подтверждена (компания) |
| Позиции данных | Имя, дата рождения, пол, род занятий, псевдоним, адрес электронной почты, телефон, почтовый индекс и адрес, хеш пароля, номер бонусной карты, номер участника (зависит от человека; род занятий и псевдоним добавлены исправлением от 16 октября) | Возможно (компания) |
| Платёжные данные и банковские реквизиты | В этой системе не хранятся | Не затронуты (компания) |
| Документы, удостоверяющие личность (текст, считанный при выкупе в магазине, изображения при выкупе по почте) | В этой системе не хранятся | Не затронуты (компания) |
| Публикация, злоупотребление баллами или изменение данных | По состоянию на 13 октября не обнаружено | Не обнаружено (компания) |
| Причина и путь проникновения | Не раскрываются, так как публикация может привести к новым атакам | Расследуется |
| Просьба сменить пароль | Просит сменить пароли для официального интернет-магазина и приложения | Запрошено |
| Индивидуальные уведомления | Письма на зарегистрированные адреса в несколько этапов с 15 октября; отправка на все адреса, доставку на которые удалось подтвердить, завершена 22 октября (отправитель bookoff@2902.net). Отсутствие письма не означает, что вы не затронуты | Подтверждено (компания) |
| Как проверить, затронуты ли вы | 23 октября на сайт участников Bookoff добавлена веб-проверка; тем, кто не может войти, — специальная служба | Подтверждено (компания) |
Как это читать: «злоупотребления не обнаружено» не значит «безопасно»
Компания говорит, что по состоянию на 13 октября она не обнаружила публикации утёкших данных или злоупотребления баллами. Сама утечка подтверждена. Поддельные сообщения могут приходить спустя долгое время после утечки, поэтому оставайтесь бдительны как минимум несколько месяцев.
Для чего можно использовать такие сочетания данных
В целом следующие сочетания данных делают возможным следующие злоупотребления. Это не значит, что это произошло в данном случае.
- Имя + адрес + номер телефона + адрес электронной почты: убедительное сообщение с «извинениями» или «просьбой подтвердить», где верно указаны имя и адрес. Род занятий или псевдоним делают его ещё более личным
- Адрес электронной почты + хеш пароля: если пароль легко угадать, его можно подобрать и попробовать на других сервисах, где он повторяется
- Номер участника или бонусной карты + дата рождения: материал для того, чтобы выдать себя за участника по телефону или в обращении в поддержку. Знание этих номеров не доказывает личность
В прошлом случае — утечка из приложения Seicomart, объявленная в сентябре 2026 года, — число затронутых тоже уточнялось в последующих сообщениях после первой цифры примерно в 570 000 аккаунтов. Здесь второе сообщение превратило «до примерно 6,43 млн записей (номеров участников)» из первого сообщения в 6 427 735 записей и 6 383 279 человек.
Открыть ссылку из письма или SMS
Подлинность приходится оценивать по тексту
↓→
Риск ввести пароль на поддельной странице входа
Зайти через официальное приложение или сайт, который вы открываете сами
Рассматривайте письмо лишь как признак того, что уведомление существует
↓→
Вы видите только настоящее уведомление. Оценивать не нужно
Мнение сайта: настоящие уведомления и подделки придут в одну и ту же неделю
В данном случае компания заранее объявила дату начала (15 октября) и тему своих писем затронутым участникам. Знание того, когда придут эти письма и как они называются, так же помогает тем, кто рассылает подделки. Самый надёжный способ их различить — не текст, а самостоятельный выбор точки входа. Если вы никогда не пользуетесь ссылками из письма и всегда заходите через официальное приложение или сайт, который открываете сами, вы можете сверить сообщение с официальным уведомлением, не полагаясь на его ссылки.
Для сервисов, хранящих данные участников: сделайте так, чтобы уведомления об утечке отличались от подделок
Компания не раскрывает подробности причины, поэтому в этом разделе не обсуждается, как предотвратить проникновение. Из уведомлений можно сделать два вывода: среди данных были хеши паролей, а компания связывается с затронутыми людьми по электронной почте. Шаги ниже ограничены тем, что можно заранее решить для вашего собственного сервиса. В этом разделе не оценивается реакция компании.
Не помещайте ссылки для входа в уведомительные письма об утечке
Уведомительное письмо об утечке становится шаблоном для похожих подделок. Если в уведомлении написано «войдите здесь, чтобы сменить пароль», подделка может использовать точно такое же оформление.
Если в уведомлении нет ссылок и сказано «проверьте уведомление в официальном приложении или на официальном сайте», вы можете последовательно говорить пользователям никогда не открывать ссылки. Также помогает заранее объявить на сайте адрес отправителя и тему письма. Во втором сообщении Bookoff также была опубликована тема письма и сказано, что в письмах не будет ссылки на страницу смены пароля.
Проверьте свой метод хеширования и заранее решите, что вы скажете пользователям
Насколько сложно восстановить пароли по утёкшим хешам, сильно зависит от метода. Убедитесь, что вы храните пароли с помощью медленного метода, предназначенного для паролей (например, bcrypt или Argon2), и с солью.
Также заранее решите, что вы попросите сделать пользователей, если хеши утекут (сброс для всех или совет сменить повторяющиеся пароли), чтобы формулировка объявления не принималась в спешке. Подробнее: Что такое хеширование паролей?
Источники (публичные материалы)
Факты в этой статье основаны на следующей публичной информации. Статья не строит предположений о нераскрытом пути или способе проникновения.
- BOOKOFF GROUP HOLDINGS LIMITED, уведомление с извинениями об утечке персональных данных из-за несанкционированного доступа (второе сообщение) (13 октября 2026 года, раскрытие информации для биржи, на японском) — PDF
- Та же компания, исправление ко второму сообщению (16 октября 2026 года, раскрытие информации для биржи, включает полное исправленное второе сообщение, на японском) — PDF
- Та же компания, уведомление о добавлении функции веб-проверки и открытии специальной бесплатной линии в связи с утечкой персональных данных из-за несанкционированного доступа (23 октября 2026 года, на японском) — PDF
- Та же компания, часто задаваемые вопросы об утечке персональных данных из-за несанкционированного доступа (опубликовано 13 октября 2026 года, заменено версиями по состоянию на 15 и 23 октября; проверено 24 октября, на японском) — PDF
- Та же компания, уведомление с извинениями об утечке персональных данных из-за несанкционированного доступа (первое сообщение, 9 октября 2026 года, раскрытие информации для биржи, на японском) — PDF
- Новости официального сайта Bookoff (первое сообщение, в тот же день, на японском) — bookoff.co.jp
- Страница обращений Bookoff Group Holdings по этому инциденту (проверено 10 октября 2026 года, на японском) — bookoffgroup.co.jp
История обновлений
2026-10-24: Учтено уведомление от 23 октября. На сайте участников Bookoff появилась веб-проверка, затронуты ли вы, поэтому порядок её использования добавлен в первый шаг. Также учтено, что индивидуальные письма на все адреса, доставку на которые удалось подтвердить, были отправлены к 22 октября (отсутствие письма не означает, что вы не затронуты), а специальная бесплатная линия (0120-300-663) открыта 22 октября; контактные данные заменены. Числа не изменились, причина по-прежнему не опубликована.
2026-10-17: Учтено исправление. 16 октября компания исправила второе сообщение, сообщив, что «род занятий» и «псевдоним» были пропущены в списке данных, которые могли утечь. Оба пункта добавлены в списки этой статьи (краткое содержание, FAQ, перечень фактов и таблица). Компания сообщает, что числа и остальное содержание сообщения не изменились. Также в источники добавлены адрес отправителя из обновлённого FAQ (по состоянию на 15 октября) и уведомление об исправлении.
2026-10-14: Учтены второе сообщение и FAQ от 13 октября. Число затронутых обновлено до 6 383 279 человек (6 427 735 записей по номерам участников, 212 371 из них — бывшие участники), добавлены затронутые участники (приложения, интернет-магазина и сайта), затронутые и незатронутые сервисы, период хищения данных (4–6 октября), незатронутые данные (включая текст, считанный с документов, удостоверяющих личность), просьба сменить пароли и индивидуальные письма с 15 октября (тема письма, отсутствие ссылок на страницы смены пароля). Компания сообщает, что не раскрывает подробности причины.
2026-10-10: Первая версия, основанная на уведомлении компании от 9 октября и FAQ на её странице обращений (проверено 10 октября). Компания сообщает, что опубликует число затронутых и данные в последующем сообщении, и статья будет обновлена.
Читайте дальше
- Связанное: Утечка Treasure Factory (746 277 записей)
- Другие случаи утечки данных участников за тот же период: Утечка из приложения Seicomart / Утечка из приложения Yakiniku King / Утечка из приложения и интернет-магазина MrMax / Утечка данных участников SourceNext (включая пароли)
- Пароли: Как проверить, утёк ли ваш пароль / Руководство по менеджерам паролей
- О мошенничестве: Что такое фишинг?
- Другие случаи 2026 года: Утечки данных и кибератаки в 2026 году