Для кого: для владельцев H2O ID (включая пользователей сайта бронирования универмагов Hankyu и Hanshin, HANKYU HANSHIN E-STORES и Remo Order) и для всех, кто управляет общим идентификатором участника для нескольких сервисов. Статья основана на официальных уведомлениях H2O Retailing Corporation и Hankyu Hanshin Department Stores, Inc. и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых данных
По состоянию на 20 октября 2026 годаПока не известно
- Подробная причина несанкционированного доступа (анализируется и расследуется)
- Утекли ли данные из HANKYU HANSHIN E-STORES и Remo Order (история заказов, часть информации о картах, часть информации о бонусных картах, адресная книга)
- Сколько людей соответствуют 1,26 млн записей
- Когда возобновят работу сайт бронирования и Remo Order
- Подробности мер по предотвращению повторных инцидентов
Компании сообщают, что если расследование выявит новые факты, которые необходимо сделать публичными, они незамедлительно опубликуют их на своем сайте. Они планируют возобновить работу сервисов после установления причины, устранения уязвимости и подтверждения безопасности и сообщат о возобновлении на сайте. По состоянию на 20 октября в новостной ленте H2O Retailing не было новых сообщений об этом инциденте.
Что участникам H2O ID нужно сделать сегодня
Не переходите по ссылкам и не выполняйте инструкции из писем, текстовых сообщений и звонков от имени Hankyu, Hanshin или H2O
В числе утекших данных: имя (кандзи и катакана), адрес, почтовый индекс, номера мобильного и стационарного телефонов, адрес электронной почты, дата рождения и возраст. Добавьте «услуги, которыми пользовались с H2O ID», и мошенник сможет отправить сообщение с вашим правильным именем и адресом, которое также упоминает услугу, которой вы действительно пользуетесь.
Компании предупреждают, что подозрительные письма, текстовые сообщения и звонки от их имени могут приходить на адреса электронной почты и номера телефонов, зарегистрированные в H2O ID, и просят клиентов обращать внимание на неожиданные сообщения и подозрительные ссылки. Если в сообщении предлагается, например, «бонусные баллы за извинение», «проверка бронирования» или «возврат за заказ» (примеры этого сайта), не открывайте ссылку; зайдите на официальный сайт сами и проверьте (см. Что такое фишинг?).
Не переходите по ссылкам даже в уведомлениях от компаний
Компании говорят, что по очереди отправляют письма участникам H2O ID. Их уведомления приходят с адреса noreply@h2o-retailing.co.jp, и они просят клиентов с осторожностью относиться к сообщениям с любых других адресов.
Однако имя отправителя можно подделать. Даже если сообщение выглядит так, будто оно пришло с этого адреса, придерживайтесь одного правила: не входите и ничего не вводите по ссылке из письма. Чтобы проверить содержание уведомления, используйте официальный сайт, который вы открываете сами, или контакты ниже.
Будьте осторожны с почтой и звонками, которые просят подтвердить личность
По данным компаний, адреса и номера телефонов утекли вместе. Поддельные обращения могут приходить не только по электронной почте или SMS, но и по телефону или почте.
Того, что звонящий правильно называет ваше имя, адрес и дату рождения, недостаточно, чтобы считать звонок настоящим. Если по телефону у вас просят PIN-код, пароль, номер карты или код подтверждения, положите трубку и перезвоните по официальному номеру, который вы нашли сами.
Если вы используете дату рождения как PIN-код или пароль, смените его
В отличие от адреса электронной почты или номера телефона, дату рождения нельзя изменить, а на этот раз она утекла вместе с именами и адресами.
Если PIN-код банка или карты, код блокировки экрана телефона или любой пароль основан на дате рождения (например, «0815» или «19900815»), смените его сейчас. Это общая рекомендация этого сайта, а не компаний.
Если вы используете один и тот же пароль в других сервисах, смените его на разные
В уведомлении сказано, что утечка паролей для входа не подтверждена, и участников не просят менять пароли. Такая формулировка отражает продолжающееся расследование.
Как правило, если пароль утекает из одного сервиса, злоумышленники пробуют ту же комбинацию почты и пароля на других сервисах. Если вы используете пароль от H2O ID где-то еще, разделите их прямо сейчас. Практичный способ сделать это — менеджер паролей. Чтобы проверить, попадал ли повторно используемый пароль в прошлые утечки, см. как проверить, утекал ли ваш пароль.
Используйте только контакты, указанные в уведомлении
Компании указывают бесплатные номера 0120-110-256 или 0120-369-089 (ежедневно с 10:00 до 20:00 по японскому времени; бесплатные номера работают только из Японии) и форму обратной связи (https://h2o-id.h2o-retailing.co.jp/web/contact ) для вопросов об этом инциденте. В уведомлении Hankyu Hanshin Department Stores телефонная линия названа специальным call-центром. Используйте контакты из уведомления на официальном сайте, а не те, что указаны в полученном вами сообщении.
Что произошло (по данным H2O Retailing и Hankyu Hanshin Department Stores)
H2O Retailing Corporation и ее дочерняя компания Hankyu Hanshin Department Stores, Inc. опубликовали совместные извинения и уведомление 19 октября 2026 года. В тот же день Hankyu Hanshin Department Stores опубликовали уведомление для клиентов с тем же содержанием. Все, что изложено ниже, основано на этих уведомлениях.
16 октября 2026 (пт)
Подтвержден несанкционированный доступ третьей стороны к системе управления клиентами через сайт бронирования универмагов Hankyu и Hanshin. В тот же день компании приняли срочные меры, включая блокировку несанкционированной внешней связи, и остановили всю систему этого сайта.17 октября (сб)
Подтвержден несанкционированный доступ также к HANKYU HANSHIN E-STORES и Remo Order; в тот же день остановлены системы обоих сайтов целиком.19 октября (пн)
Расследование установило, что часть персональных данных около 1,26 млн H2O ID, хранящихся в системе управления клиентами, утекла. Опубликованы извинения и уведомление. В 14:00 того же дня возобновил работу E-STORES (после завершения мер по предотвращению повторных инцидентов и проверок безопасности, сообщили Hankyu Hanshin Department Stores).По состоянию на 20 октября
В новостной ленте H2O Retailing новых сообщений нет. В списке уведомлений универмага Hankyu Umeda нет сообщения о возобновлении работы сайта бронирования или Remo Order.
Компании сообщают, что после подтверждения инцидента они незамедлительно уведомили Комиссию по защите персональной информации Японии и подали заявление об ущербе в местный полицейский участок.
- Сервисы
- Сайт бронирования универмагов Hankyu и Hanshin, HANKYU HANSHIN E-STORES и Remo Order, которыми управляет Hankyu Hanshin Department Stores
- Через сайт бронирования: масштаб
- Около 1,26 млн H2O ID (записей, не обязательно людей). «Хотя расследование продолжается, часть персональных данных почти всех участников H2O ID утекла»
- Через сайт бронирования: данные
- H2O ID, имя (кандзи и катакана), пол, адрес электронной почты, почтовый индекс, адрес, номер мобильного телефона, номер телефона, возраст, дата рождения, услуги, которыми пользовались с H2O ID
- Через E-STORES и Remo Order
- Выясняется, утекли ли данные. Данные, которые хранят эти сервисы: история заказов, часть информации о кредитной карте (тип карты, последние четыре цифры, имя владельца, срок действия), часть информации о бонусной карте (тип бонусной карты, последние четыре цифры), данные адресной книги
- Не хранятся
- Полные номера кредитных карт и коды безопасности (платежные данные не сохраняются). Компании говорят, что риска злоупотреблений нет. Для бонусных карт хранятся только последние четыре цифры, поэтому компании говорят, что риска злоупотребления баллами нет
- Не подтверждено
- Утечка паролей для входа
- Причина (версия компаний)
- Несанкционированный доступ третьей стороны к системе управления клиентами через сайт бронирования. Подробная причина и уязвимость безопасности анализируются и расследуются
- Ущерб
- Злоупотреблений или вторичного ущерба, связанных с инцидентом, на данный момент не подтверждено
- Сделано
- Срочные меры, включая блокировку несанкционированной связи, остановку систем трех сайтов, меры по предотвращению нового ущерба тем же способом, уведомление Комиссии по защите персональной информации, заявление об ущербе в местный полицейский участок, рассылка писем участникам H2O ID по очереди
- Отправитель уведомлений по электронной почте
- noreply@h2o-retailing.co.jp
- Контакты
- Бесплатные 0120-110-256 или 0120-369-089 (ежедневно, с 10:00 до 20:00 по японскому времени), форма обратной связи https://h2o-id.h2o-retailing.co.jp/web/contact
Что известно и что нет
Статус по состоянию на 20 октября 2026 года. Когда будет опубликовано продолжение, колонка статуса будет обновлена.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Утечка части персональных данных H2O ID (через сайт бронирования) | Установлено, что часть персональных данных около 1,26 млн H2O ID утекла; это почти все участники | Утечка подтверждена (по данным компаний) |
| Количество записей | Около 1,26 млн (количество H2O ID; число людей не указано), сказано «хотя расследование продолжается» | Расследуется |
| Имя, пол, возраст, дата рождения | Перечислены среди данных, затронутых через сайт бронирования | Утечка подтверждена (по данным компаний) |
| Адрес, почтовый индекс, телефоны, адрес электронной почты | Перечислены среди данных, затронутых через сайт бронирования | Утечка подтверждена (по данным компаний) |
| H2O ID; услуги, которыми пользовались с H2O ID | Перечислены среди данных, затронутых через сайт бронирования | Утечка подтверждена (по данным компаний) |
| История заказов E-STORES и Remo Order | Указана как данные, которые хранят сервисы | Расследуется |
| Частичная информация о кредитных картах E-STORES и Remo Order (тип, последние четыре цифры, имя, срок действия) | Указана как данные, которые хранят сервисы | Расследуется |
| Частичная информация о бонусных картах E-STORES и Remo Order; данные адресной книги | Указаны как данные, которые хранят сервисы | Расследуется |
| Полные номера кредитных карт и коды безопасности | Вообще не хранятся | Не входит (по данным компаний) |
| Пароли для входа | Утечка не подтверждена | Не подтверждено (по данным компаний) |
| Причина и обстоятельства | Несанкционированный доступ через сайт бронирования; подробная причина и уязвимость расследуются | Расследуется |
| Вторичный ущерб | Злоупотреблений или вторичного ущерба не подтверждено | Не подтверждено (по данным компаний) |
| Связь с участниками | По электронной почте, по очереди, с noreply@h2o-retailing.co.jp | Подтверждено (по данным компаний) |
| Возобновление работы сервисов | E-STORES возобновил работу в 14:00 19 октября. Сайт бронирования и Remo Order — после подтверждения безопасности | Подтверждено (по данным компаний) (только E-STORES) |
| Предотвращение повторных инцидентов | Компании заявляют, что проведут расследование и усилят безопасность. Подробностей нет | Не указано |
Как это читать: в заголовке сказано «могла утечь», в тексте — «утекла»
Заголовок раздела 2 уведомления гласит: «информация о клиентах, которая могла утечь». Однако в тексте о сайте бронирования сказано, что «хотя расследование продолжается, часть персональных данных почти всех участников H2O ID утекла», а в разделе 1 утечка названа «установленной». Этот сайт следует формулировке текста и отмечает данные, затронутые через сайт бронирования, как «Утечка подтверждена (по данным компаний)».
По E-STORES и Remo Order в уведомлении сказано только, что «возможность утечки расследуется», и перечислены данные, которые хранят сервисы. Там не сказано, что история заказов или частичная информация о картах утекли. А «не подтверждено» означает, что пока ничего не найдено, а не что этого никогда не произойдет.
Что делает возможным сочетание утекших данных
Каждый пункт сам по себе обычен, но вместе они помогают сделать мошеннические сообщения похожими на настоящие. Ниже описано то, что в целом может происходить, а не утверждение, что это произошло в данном случае.
Имя + адрес + номер телефона + дата рождения
↓→
Поддельные звонки или письма, которые знают ваш адрес и дату рождения и выдают себя за проверку личности
→ Не считайте то, что им известно, доказательством / не используйте дату рождения как PIN-код
Имя + адрес электронной почты + используемые услуги
↓→
Поддельные письма с вашим именем, которые упоминают услугу, которой вы действительно пользуетесь
→ Не открывайте ссылки / проверяйте на официальном сайте, который вы открываете сами
Номер мобильного телефона + имя
↓→
Поддельные SMS о «сгорающих баллах» или «проверке бронирования»
→ Не вводите пароли и номера карт / используйте фильтр спам-SMS
По E-STORES и Remo Order выясняется, утекли ли данные. Если дальнейшая проверка подтвердит утечку адресной книги, под видом доставки или посылок сообщения могут получить не только участники, но и люди, добавленные как получатели подарков (в уведомлении не сказано, что содержит адресная книга, поэтому здесь предполагается типичная адресная книга интернет-магазина). Пока максимум, что можно сделать, — предупредить людей, которым вы часто отправляете подарки, чтобы они не открывали ссылки в неожиданных сообщениях о доставке.
Не хранятся или не подтверждено, по уведомлению
- Полные номера карт и коды безопасности (не хранятся)
- Пароли для входа (утечка не подтверждена)
- Злоупотребления и вторичный ущерб (пока ничего не подтверждено)
Утекли (через сайт бронирования, по данным компаний)
- Имя (кандзи и катакана), пол, возраст, дата рождения (дату рождения нельзя изменить)
- Адрес и почтовый индекс
- Номера телефонов и мобильный номер (их трудно сменить)
- Адрес электронной почты и H2O ID
- Услуги, которыми пользовались с H2O ID
Для тех, кто управляет общим идентификатором участника для нескольких сервисов
Компании не раскрыли подробную причину, поэтому в этом разделе не говорится, как ее предотвратить, и это не оценка реакции компаний. О том, как отслеживать количество прочитанных записей участников, рассказано в разборе приложения Yakiniku King. Здесь мы остановимся на одном моменте, который подтверждает само уведомление: одна точка входа может получить доступ ко всем участникам общего идентификатора.
Составьте список того, что каждый сервис видит в общей системе управления клиентами
Согласно уведомлению, был несанкционированный доступ к системе управления клиентами через сайт бронирования, и часть данных почти всех участников H2O ID, хранящихся в этой системе, утекла. Как правило, при общем идентификаторе участника точка входа одного сервиса может получить доступ к данным участников, которые никогда этим сервисом не пользовались.
Для своей системы составьте таблицу: какие поля системы управления клиентами каждый сервис может читать и изменять и сколько записей за раз. Если сайту бронирования нужны данные только человека, который делает бронь, это отправная точка, чтобы не давать ему читать адреса и даты рождения других участников.
Не хранить номера карт и заранее публиковать адрес отправителя
По данным компаний, платежные данные не сохраняются, полные номера карт и коды безопасности не хранятся. Это пример общего принципа: то, чего нет в системе, не может утечь (о том, как данные карт все же можно украсть через подмененную платежную страницу, см. разбор случая PhotoGoods).
В этом уведомлении также указан адрес отправителя писем, что помогает участникам отличить настоящее письмо. До того как что-либо произойдет, определите адрес отправителя для важных уведомлений участникам, опубликуйте его и настройте аутентификацию отправителя (как остановить подделку писем с помощью SPF, DKIM и DMARC).
Источники (открытые данные)
Факты в этой статье основаны на следующей публичной информации. Мы не строим предположений о нераскрытых путях проникновения или методах.
- H2O Retailing Corporation и Hankyu Hanshin Department Stores, Inc., «Извинения и уведомление в связи с несанкционированным доступом третьей стороны и утечкой персональных данных» (19 октября 2026 года, на японском языке) — h2o-retailing.co.jp (PDF)
- Hankyu Hanshin Department Stores, Inc., «Извинения и уведомление в связи с несанкционированным доступом третьей стороны и утечкой персональных данных» (19 октября 2026 года, уведомление для клиентов, на японском языке) — hankyu-dept.co.jp (PDF)
- Hankyu Hanshin Department Stores, Inc., «Уведомление о возобновлении работы интернет-магазина HANKYU HANSHIN E-STORES» (19 октября 2026 года, на японском языке) — hankyu-dept.co.jp (PDF)
- Список «Новости» H2O Retailing (проверено 20 октября 2026 года; продолжения по этому инциденту нет) — h2o-retailing.co.jp
- Список «Уведомления» главного магазина Hankyu Umeda (проверено 20 октября 2026 года; уведомления о возобновлении работы сайта бронирования или Remo Order нет) — hankyu-dept.co.jp
История обновлений
2026-10-20: первая версия, основанная на уведомлении H2O Retailing и Hankyu Hanshin Department Stores от 19 октября, уведомлении Hankyu Hanshin Department Stores о возобновлении работы E-STORES (19 октября) и списках уведомлений обеих компаний (проверено 20 октября). Компании сообщают, что расследование подробной причины продолжается; статья будет обновлена, когда будет опубликовано продолжение.
Читайте дальше
- Другое раскрытие по сервису для участников: уведомление Nifty о несанкционированном доступе к системе управления заявками на подключение
- Защита от последующего мошенничества: Что такое фишинг? / Основы безопасности смартфона
- Пароли: Выбор менеджера паролей / Как проверить, утекал ли ваш пароль
- Похожие случаи (утечка имен, дат рождения и номеров телефонов): Утечка приложения Burger King Japan / Утечка приложения и интернет-магазина MrMax
- Другие инциденты 2026 года: Список утечек данных и кибератак (Япония и мир)