Для кого: для всех, у кого есть Lawson ID (учётная запись, которая используется в приложениях и веб-сервисах Lawson), для всех, кто бронировал товары через Lawson App Reservation, и для тех, кто управляет приложением или веб-сервисом для участников. Статья основана на официальном уведомлении Lawson, Inc. и не описывает техники атак.
Ситуация развивается: статья будет обновляться по мере публикации новых данных компанией
- Кого это касается
для всех, у кого есть Lawson ID (учётная запись, которая используется в приложениях и веб-сервисах Lawson), для всех, кто бронировал товары через Lawson App Reservation, и для тех, кто управляет приложением или веб-сервисом для участников.
- ПодтвержденоСмотреть таблицу ↓
- Период несанкционированного доступа
- Записи и данные в Lawson ID
- Записи и данные в App Reservation
Ещё 1
- Возобновление App Reservation
- Пока не подтверждено
- Подробности механизма, которым злоупотребляли
- Как компания обнаружила доступ
- Ход отправки индивидуальных уведомлений по электронной почте
- Что сделать сейчасСмотреть шаги ↓
- Не открывайте ссылки в письмах и SMS, которые выдают себя за Lawson
- Даже если пришло уведомление по электронной почте, проверяйте информацию через официальное приложение
- Пароли не входят в утёкшие данные, поэтому следите за тем, где вы его вводите
Ещё 2
- Пользователям App Reservation (26 человек) стоит проверить выписки по карте
- Направляйте вопросы по контактам, указанным в официальном уведомлении
- Где проверить (источник)Все источники ↓
- Lawson, Inc., извинения и уведомление об утечке персональных данных в результате несанкционированного доступа третьих лиц (8 октября 2026 года, дополнения 13 и 19 октября, на японском языке)
- Последняя проверка
- По состоянию на 20 октября 2026 года
Планы обновлений и что мы проверили
В уведомлении не говорится, что будут опубликованы дополнительные результаты расследования. Lawson App Reservation возобновил работу 19 октября (дополнение от того же дня); с 19 октября для использования приложения Lawson его нужно обновить. 13 октября компания добавила второй адрес отправителя для индивидуальных писем. На той же странице, проверенной 20 октября, дополнительных результатов расследования нет.
Что нужно сделать владельцам Lawson ID уже сегодня
Не открывайте ссылки в письмах и SMS, которые выдают себя за Lawson
Утекли адреса электронной почты и имена, а для некоторых людей также номера телефонов и адреса. Компания просит быть осторожными с подозрительными письмами, SMS и звонками на контактные данные, зарегистрированные в вашем Lawson ID.
Поддельные сообщения, имитирующие Lawson, появлялись и до этого инцидента. В июне 2026 года компания предупреждала о фальшивых сайтах, которые выдают себя за розыгрыши или кампании с бесплатными ваучерами, чтобы собрать персональные данные. Если в сообщении написано «ваши баллы сгорают», «получите купон» или «вы выиграли», не открывайте ссылку и не вводите ID, пароль или данные карты (как распознать фишинг: Что такое фишинг?).
Даже если пришло уведомление по электронной почте, проверяйте информацию через официальное приложение
Lawson говорит, что связывается с пострадавшими индивидуально от имени «Lawson ID Mail». В уведомлении указаны два адреса отправителя: lawson_id@mailservice.lawson.jp и lawson_id@id.lawson.jp (второй добавлен в дополнении от 13 октября, в котором говорится, что адрес отправителя добавлен, как и указано). Компания также разместила уведомление в приложении Lawson.
Однако отправитель в письме может быть подделан. В отдельном случае, объявленном 1 октября (о злоупотреблении почтовым сервером компании), сам Lawson раскрыл примеры, когда адрес отправителя маскировали под адрес третьего лица. Даже если уведомление выглядит настоящим, проверяйте информацию через официальное приложение на главном экране или через закладку, а не по ссылкам из письма.
Пароли не входят в утёкшие данные, поэтому следите за тем, где вы его вводите
Пароли не входят в перечень данных, которые, по словам компании, утекли, и она не просила их менять.
Более вероятен другой сценарий: на утёкший адрес электронной почты отправляют поддельную страницу входа, где вы сами вводите пароль. Вход только через официальное приложение в значительной мере снимает этот риск. Если пароль от Lawson ID используется и в других сервисах, сделайте пароли разными независимо от этого инцидента, чтобы утечка в одном месте не распространилась на другие (менеджер паролей упрощает это).
Пользователям App Reservation (26 человек) стоит проверить выписки по карте
Для Lawson App Reservation утекли имя, номер телефона и часть номера банковской карты. Компания сообщает, что злоупотреблений не подтверждено. Частичного номера обычно недостаточно для покупок в интернете, но проверьте выписки и свяжитесь с банком, выпустившим карту, по поводу любого незнакомого списания. Если кто-то, представившись сотрудником «банка», попросит остальные цифры номера или PIN-код, не отвечайте.
Направляйте вопросы по контактам, указанным в официальном уведомлении
В уведомлении указан контакт: специальная форма Центра поддержки клиентов Lawson (lawson-faq.lawson.co.jp). Номер телефона не указан. Тем, кто уже ввёл данные в поддельном сообщении, в июньском предупреждении компания советует обратиться в ближайший полицейский участок или в консультационный пункт по киберпреступлениям при управлении полиции префектуры.
Что произошло (по данным Lawson)
Ниже информация из уведомления Lawson от 8 октября 2026 года.
12–14 сентября 2026
К Lawson ID был несанкционированный доступ (по результатам расследования компании).17 сентября
К Lawson App Reservation был несанкционированный доступ (по результатам расследования компании).7 октября
Расследование компании выявило вышеупомянутый несанкционированный доступ.8 октября
Компания опубликовала извинения и уведомление. Она сообщает, что заблокировала подозрительные источники доступа, приостановила App Reservation, разместила уведомление в приложении, начала индивидуально связываться с пострадавшими и сообщила о случившемся в Комиссию по защите персональных данных (Personal Information Protection Commission) и другие органы.13 октября
Дополнение к уведомлению: адрес lawson_id@id.lawson.jp добавлен как адрес отправителя индивидуальных писем.19 октября
Приостановленная функция App Reservation возобновлена. Для использования приложения Lawson требуется обновление (дополнение от того же дня).
- Lawson ID
- 2 155 345 записей. Адрес электронной почты, имя
- Только у тех, кто их вводил
- Пол, номер телефона, адрес, предпочтения по рассылке (если вводились, например, при участии в розыгрыше с Lawson ID)
- Lawson App Reservation
- 26 записей. Имя, номер телефона, часть номера банковской карты
- Не указано
- Пароли, полный номер карты, срок действия и код безопасности в перечне утёкших данных не значатся
- Причина по описанию компании
- Злоумышленники воспользовались системой, связанной с приложением Lawson. Механизм безопасности, предназначенный для показа пользователю его собственных данных в приложении, был несанкционированно использован третьим лицом
- Другие последствия
- Компания подтвердила отсутствие другого несанкционированного доступа и заражения вредоносным ПО
- Меры профилактики
- Усиление безопасности затронутых систем, усиление мониторинга и улучшение порядка реагирования на инциденты
Что известно и что не известно
Содержание официального уведомления, проверенного 20 октября 2026 года. Когда появится продолжение, столбец статуса будет обновлён.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Период несанкционированного доступа | Lawson ID: 12–14 сентября. App Reservation: 17 сентября | Подтверждено (по результатам расследования компании) |
| Записи и данные в Lawson ID | 2 155 345. Адрес электронной почты, имя (а также пол, телефон, адрес, предпочтения по рассылке, если вводились) | Утечка подтверждена |
| Записи и данные в App Reservation | 26. Имя, номер телефона, часть номера карты | Утечка подтверждена |
| Пароли | Не указаны среди утёкших данных. Просьбы менять их нет | Не указаны |
| Причина | Злоупотребление системой, связанной с приложением. Механизм безопасности, показывающий пользователям их собственные данные, был несанкционированно использован | Описано (подробности не раскрыты) |
| В чём состояла уязвимость и как ею злоупотребляли | В уведомлении не рассматривается | Не раскрыто |
| Злоупотребления или вторичный ущерб | Не подтверждено по состоянию на 8 октября | Не подтверждено |
| Связь с пострадавшими | Индивидуальные письма от Lawson ID Mail (lawson_id@mailservice.lawson.jp или lawson_id@id.lawson.jp), по очереди | В процессе |
| Возобновление App Reservation | Возобновлено 19 октября; с 19 октября требуется обновление приложения | Подтверждено (компанией) |
«Не подтверждено» не означает «не произойдёт»
Заявление компании о том, что злоупотреблений или вторичного ущерба не подтверждено, относится к ситуации на 8 октября. Поддельные сообщения, использующие утёкшие адреса электронной почты и имена, могут прийти спустя некоторое время после утечки. Как минимум в ближайшие несколько месяцев сохраняйте привычку не открывать ссылки из сообщений от имени Lawson.
Для чего могут использоваться адреса электронной почты, имена и номера телефонов
В общем случае следующие сочетания данных делают возможными перечисленные виды злоупотреблений. Это не значит, что в данном случае что-то подобное произошло.
- Адрес электронной почты + имя: письма «срок действия баллов истекает», «вы выиграли» или «извинения» с вашим правильным именем, которые выглядят более достоверно
- Номер телефона + имя: SMS или звонки от имени Lawson или службы доставки
- Адрес + имя: поддельные письма или открытки
- Имя + номер телефона + часть номера карты: поддельный звонок от «банка-эмитента», который для правдоподобности называет «последние цифры…», а затем просит остальные цифры номера или PIN-код
Похожий случай, когда имена и адреса электронной почты утекли из приложения для участников, — инцидент с приложением и интернет-магазином MrMax, объявленный 6 октября 2026 года. Что делать при утечке такого сочетания данных, одинаково для обоих случаев.
Для тех, кто управляет приложением для участников: как проверять функции, которые показывают пользователям их собственные данные
Lawson говорит, что механизм безопасности, предназначенный для показа пользователю его собственных данных в приложении, был несанкционированно использован. Компания не раскрыла, в чём состояла уязвимость и как ею злоупотребляли. Этот раздел не оценивает систему и реакцию Lawson; он описывает, что операторы с похожими функциями могут проверить в своём сервисе.
Во многих приложениях есть функции, которые возвращают данные вошедшего пользователя: «моя страница», данные участника, история бронирований или заказов. Для таких функций сервер обычно должен проверять при каждом запросе, что владелец возвращаемых данных — это тот, кто вошёл в систему. Если сервер доверяет номеру участника, переданному в запросе, и возвращает данные этого участника, то изменение номера приведёт к выдаче чужих данных. Такой тип уязвимости называется IDOR, и он возникает, когда проверка того, кто вы (аутентификация), смешивается с проверкой того, что вам можно видеть (авторизация), — см. аутентификация и авторизация. Lawson не говорил, что причиной стала именно эта ошибка.
Приложение: «Показать мои данные участника»
↓→
Сервер: кто вошёл в систему?
Определяется по сеансу входа, а не по номеру участника в запросе
↓→
Возвращаются только данные этого участника
Мониторинг: количество разных участников, показанных за один вход или с одного источника
Для функции «собственные данные» это обычно один. Тревога при двух и более
Составьте список всех функций, которые возвращают данные пользователя, и проверьте, что владелец данных подтверждается на сервере
Запишите все функции, которые возвращают данные вошедшего пользователя: «моя страница», данные участника, история бронирований и заказов, баланс баллов, список купонов. Включите и API (конечные точки, которые приложение использует для получения данных с сервера).
Для каждой проверьте, что владелец возвращаемых данных определяется по сеансу входа. Если используется номер участника, переданный приложением, измените логику так, чтобы при каждом запросе он сверялся с участником, который вошёл в систему. Одновременно проверьте, не возвращает ли ответ поля, которые экран никогда не показывает.
Подсчитывайте, сколько разных участников было показано при каждом входе, и поднимайте тревогу при двух и более
Функция, которая показывает пользователю его собственные данные, при правильной работе связана ровно с одним участником на каждый вход. Поэтому по журналам доступа к этой функции подсчитайте данные скольких разных участников возвращались за один вход (или с одного источника) в час.
При обычном использовании получается один, поэтому при двух и более уведомляйте ответственного сотрудника. Мониторинг по объёму пропускает медленное извлечение небольшими порциями; такой подсчёт выявляет первую же запись, которая не укладывается в норму. Если в ваших журналах не видно, чьи данные были возвращены, начните с того, чтобы это записывать.
Обеспечьте возможность отключать функции по отдельности
После обнаружения проблемы Lawson приостановил функцию App Reservation. В сервисе для участников переключатель, который отключает одну функцию, пока остальные продолжают работать, сокращает время между обнаружением и локализацией проблемы.
Мнение этого сайта: функции, которые показывают данные только одного пользователя, проще всего отслеживать
Мониторинг по объёму с трудом отделяет злоупотребление от обычной нагрузки. У функции, которая показывает пользователю его собственные данные, есть понятная обычная картина — один участник на один вход, поэтому подсчёта различных участников достаточно, чтобы заметить что-то неладное. В случае Lawson ID между несанкционированным доступом (12–14 сентября) и его обнаружением (7 октября) прошло около трёх недель. Такой подсчёт — недорогой способ для операторов заметить проблему первыми.
Источники (публичные материалы)
Факты в этой статье взяты из публичных материалов ниже. Нераскрытые методы не домысливаются.
- Lawson, Inc., извинения и уведомление об утечке персональных данных в результате несанкционированного доступа третьих лиц (8 октября 2026 года, дополнения 13 и 19 октября, на японском языке) — lawson.co.jp
- Lawson, Inc., уведомление о подозрительных письмах, отправленных через злоупотребление почтовым сервером компании (1 октября 2026 года, отдельное уведомление, на японском языке) — lawson.co.jp
- Lawson, Inc., предупреждение о подозрительных письмах и фальшивых сайтах, выдающих себя за Lawson (5 июня 2026 года, на японском языке) — lawson.co.jp
История обновлений
2026-10-20: учтено дополнение от 19 октября: Lawson App Reservation возобновил работу, для использования приложение нужно обновить.
2026-10-14: учтено дополнение от 13 октября: адрес lawson_id@id.lawson.jp добавлен как адрес отправителя индивидуальных писем, теперь их два. Дополнительных результатов расследования не опубликовано.
2026-10-11: проверено по официальным уведомлениям; исправлено описание отдельного случая от 1 октября (адреса отправителя, замаскированные под адреса третьих лиц) и источник совета обратиться в полицию (предупреждение от 5 июня).
2026-10-10: первая версия, основанная на уведомлении Lawson от 8 октября (на 10 октября продолжений не было). Будет обновлена при объявлении о возобновлении App Reservation или новых результатах расследования.
Читайте далее
- Случай с сервисом обмена баллами: Несанкционированный доступ к Netmile, которым управляет Wills (до примерно 5,49 млн человек)
- Похожие случаи: утечка персональных данных из приложения и интернет-магазина MrMax / взлом CAPCOM ID компании Capcom
- Для операторов: Что такое IDOR? / Аутентификация и авторизация
- Поддельные сообщения и пароли: Что такое фишинг? / Как проверить, утёк ли ваш пароль
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года