Для кого: для всех, кто покупал в Murauchi.com (японский интернет-магазин бытовой электроники, компьютеров и подобных товаров), особенно для тех, кто пользовался им много лет назад, и для владельцев интернет-магазинов. Статья основана на официальных уведомлениях компании и не описывает техники атак и мошенничества.
Быстрая проверка: затронуты ли вы?
| Что вы хотите знать | Что сообщила компания |
|---|---|
| Количество утёкших записей | 7 716 811 |
| Данные всех затронутых | Имя, адрес, номер телефона |
| Данные некоторых людей | Адрес электронной почты, дата рождения, пол |
| Не включено | Номера карт и другие платёжные данные, логины и пароли, зарегистрированные адреса доставки |
| За сколько лет данные | Не раскрыто |
| Бывшие участники и давно неактивные клиенты | Не раскрыто, входят ли они |
| Покупатели в магазинах компании на интернет-площадках | Не раскрыто, входят ли они |
| Индивидуальное уведомление | Письма затронутым клиентам, отправляются поэтапно с 15 сентября |
Учитывая более 7,7 млн записей, это может не ограничиваться недавними клиентами. Если вы помните, что когда-либо покупали в Murauchi.com, лучше всего считать, что вы можете быть затронуты.
Уведомления по электронной почте могут дойти только до тех, чей адрес есть у компании. Адреса электронной почты утекли только у части затронутых, поэтому отсутствие письма не доказывает, что вы не затронуты.
Что делать сегодня
Не передавайте личные данные или деньги тем, кто звонит от имени компании, магазина или банка-эмитента карты
Компания предупреждает клиентов быть осторожными с письмами, SMS и телефонными звонками, якобы от Murauchi.com, оператора интернет-площадки или банка-эмитента карты. Она также заявляет, что никогда не будет запрашивать номера карт или пароли по почте или телефону.
Даже если звонящий говорит о «возврате из-за утечки данных» или «компенсации для оформления», не сообщайте номера карт, банковские реквизиты или PIN-коды на месте. Положите трубку и звоните по официальному номеру, который найдёте сами.
Не используйте контакты из бумажных писем и SMS
Поскольку утекли и домашние адреса, поддельные уведомления могут прийти открытками или письмами, а не только по электронной почте. Утекли и телефоны, поэтому возможны и SMS.
Не переходите по ссылке, не сканируйте QR-код и не звоните по номеру из уведомления; откройте официальный сайт самостоятельно и проверьте, опубликовано ли там то же уведомление. Официальные обновления компании собраны на её странице с названием (в переводе) «Извинения и отчёт об утечке информации клиентов в результате несанкционированного доступа» (как распознать подделку: Что такое фишинг?).
Не считайте правильные имя и адрес доказательством подлинности
Сообщение с вашим настоящим именем, адресом, телефоном и, возможно, даже датой рождения выглядит подлинным.
Но при такой утечке поддельное сообщение может содержать верные личные данные. Если пожилой член семьи когда-либо пользовался магазином, расскажите ему об этом.
Сверяйте любое письмо от компании с её официальной страницей
Чтобы проверить, подлинно ли письмо-уведомление от компании, пользуйтесь страницей уведомлений на сайте компании, которую вы открываете сами, а не ссылками из письма.
Компания приостановила активность в соцсетях, чтобы сосредоточиться на обработке обращений, и сообщает, что во время паузы не может отвечать на личные сообщения (планирует возобновить в ноябре 2026 года). Будьте осторожны с аккаунтами, которые выдают себя за компанию и пишут вам лично в соцсетях.
Если вы больше не пользуетесь магазином, можно попросить удалить ваши данные
В FAQ компании сказано, что тем, кто хочет удалить зарегистрированные персональные данные, следует написать на специальный адрес (privacy@murauchi.com), и что компания ответит в соответствии с законом и своими правилами.
Когда будете писать, введите адрес сами или скопируйте его с официальной страницы, а не отвечайте на полученное письмо.
Смена пароля не требуется, но перестаньте использовать одинаковые пароли
Компания сообщает, что логины и пароли не были целью атаки. Тем не менее, если старый аккаунт там использовал тот же пароль, что и другие сервисы, сейчас хорошее время сменить пароли в этих сервисах (Выбор менеджера паролей).
Если вы заплатили деньги или сообщили номер карты
Если вы сообщили номер карты, немедленно позвоните в банк-эмитент, чтобы заблокировать карту. Если вы перевели или заплатили деньги, как можно скорее свяжитесь с банком получателя и полицией.
В Японии также можно позвонить на линию консультаций полиции (#9110) или в горячую линию по защите потребителей (188). Чем раньше вы сообщите, тем выше шанс остановить потери.
Что произошло (по уведомлениям Murauchi.com)
Murauchi.com Co., Ltd. опубликовала первое уведомление на своём сайте 24 июля 2026 года и второе уведомление 15 сентября. Всё ниже взято из уведомлений компании.
Раннее утро 15 июля 2026 года
Во внутренней системе произошёл сбой.16 июля
Во время восстановительных работ были обнаружены следы несанкционированного доступа третьей стороны. Внешний доступ был отключён, начато расследование.20 июля
Предварительный отчёт передан Комиссии по защите персональных данных Японии.23 июля
Компания консультировалась с полицией.24 июля
Опубликовано первое уведомление; открыт специальный канал для обращений.27 июля
Начато форензик-расследование силами сторонней фирмы по информационной безопасности.14 сентября
Итоговый отчёт передан в Комиссию по защите персональных данных.15 сентября
Объявлено второе уведомление: изъято 7 716 811 записей; письма затронутым клиентам начали отправляться поэтапно.
- Компания
- Murauchi.com Co., Ltd. (управляет интернет-магазином Murauchi.com)
- Записи
- 7 716 811
- Данные
- Имя, адрес, номер телефона; для некоторых людей также адрес электронной почты, дата рождения и пол
- Не включено
- Номера карт и другие платёжные данные, логины и пароли (хранятся в отдельных системах); информация, зарегистрированная как адреса доставки
- Причина
- Несанкционированный доступ начался с эксплуатации уязвимости в части веб-системы, которой управляет компания, после чего без разрешения были получены доступы к нескольким системам
- Последующий вред
- По состоянию на 15 сентября не было подтверждено никаких случаев злоупотреблений или фишинговых писем, связанных с инцидентом
- Меры профилактики
- Пересмотр прав доступа и управления учётными данными, усиленный мониторинг серверов и сети и систем обнаружения вторжений, регулярные оценки уязвимостей
- Работа
- Основной интернет-магазин остаётся открытым; состояние магазинов на интернет-площадках различается
- Отчёты
- Предварительный и итоговый отчёты в Комиссию по защите персональных данных; консультация с полицией
- Контакт
- Специальный адрес электронной почты privacy@murauchi.com
Что пока неизвестно
По состоянию на 3 октября компания не сообщила, за сколько лет речь идёт о данных клиентов, входят ли бывшие участники или люди, покупавшие через её магазины на интернет-площадках, и как она уведомит людей, адреса электронной почты которых у неё нет. Статья будет обновлена, когда появится больше информации.
Включено для всех
Имя, адрес, номер телефона
Включено для некоторых
Адрес электронной почты, дата рождения, пол
↓ Каналы, которые могут использовать поддельные сообщения
Телефонные звонки
По номеру телефона
SMS
По номеру телефона
Открытки и письма
По адресу
Электронная почта
Только у части людей
↓ Каким бы ни был канал
Никогда не сообщайте номера карт, банковские реквизиты или PIN-коды; проверяйте через официальный контакт, который найдёте сами
Не используйте телефоны, ссылки или QR-коды из сообщения. Правильное имя и адрес не доказывают подлинность
Почему звонки и письма вызывают беспокойство
Главное в утечке — не адреса электронной почты, а настоящие имена, домашние адреса и номера телефонов. Имея все три, мошенники могут связаться с вами не только по электронной почте.
Что позволяют эти данные
- Телефонные звонки с вашим настоящим именем («звоним по поводу Murauchi.com», «это ваш банк-эмитент карты»)
- Открытки или письма на ваш верный адрес под видом возврата средств или компенсации
- SMS на ваш номер телефона
- Вопросы под видом проверки личности с демонстрацией того, что дата рождения уже известна
Как проверить самостоятельно
- Положите трубку и перезвоните по номеру, который найдёте сами
- Не используйте QR-коды и ссылки из писем; откройте официальный сайт самостоятельно
- Компания заявляет, что никогда не запрашивает номера карт или пароли по почте или телефону
- Получение возврата или компенсации обычно не требует предварительной оплаты
Если вы пользовались магазином очень давно, вы можете не помнить, покупали ли там на самом деле. Поэтому, когда звонящий говорит «это о вашей прошлой покупке в Murauchi.com», проверить это вы не можете, и такой рассказ легче принять на веру. Считайте то, что вы не помните, поводом быть осторожнее.
Для владельцев интернет-магазинов
Причиной, которую опубликовала компания, стала уязвимость в её веб-системе, с которой начался доступ к нескольким системам. Дальнейших подробностей не опубликовано, поэтому этот раздел опирается только на то, что можно вывести из уведомлений.
Определите, как долго хранить данные о бывших клиентах
В уведомлениях компании не сказано, за сколько лет речь идёт о данных. Здесь речь идёт об общем принципе, а не об оценке того, как компания хранила свои данные.
Чем дольше существует интернет-магазин, тем больше у него данных о клиентах, которые ничего не покупали годами. Если такие данные утекут, это затронет людей, которые уже не помнят, что пользовались магазином, а уведомления доставить труднее. Закон Японии о защите персональных данных также предписывает компаниям прилагать усилия для удаления персональных данных без промедления, когда они больше не нужны (статья 22, обязанность прилагать усилия).
Определите, что будет с данными клиентов, чья последняя покупка была заданное число лет назад (удалять или убирать имена и контакты, оставляя только цифры для статистики), и выполняйте это по расписанию, а не вручную.
Храните платёжные данные и данные для входа в системах, отдельных от клиентских записей
По словам компании, номера карт и другие платёжные данные, а также логины и пароли хранились в отдельных системах и не были затронуты.
Если не хранить номера карт самостоятельно (передавая их платёжному процессору) и держать учётные данные в отдельной системе, это ограничивает объём возможной утечки, когда злоумышленник получает доступ.
Не допускайте, чтобы одна веб-система становилась путём к остальным
По версии компании, отправной точкой стала уязвимость в веб-системе, после чего были получены доступы к нескольким системам.
Составьте список сетевых путей и прав, которые ведут от публичных веб-серверов к базам клиентов и внутренним системам, и разрешайте только необходимые подключения. Пересмотр прав доступа и управления учётными данными, который компания указывает среди мер профилактики, относится именно к этому.
Про другой случай с интернет-магазином см. утечку данных Abahouse; про поддельные сообщения с использованием адресов и телефонов см. инциденты с Yamato Transport и Sagawa Express.
Источники (открытые данные)
Факты в этой статье взяты из следующих открытых источников. Нераскрытые детали вторжения и период охваченных данных не являются предметом предположений.
- Murauchi.com Co., Ltd., извинения и отчёт об утечке информации клиентов в результате несанкционированного доступа (первое уведомление 24 июля 2026 года; второе уведомление 15 сентября 2026 года; FAQ; на японском языке) — murauchi.com
- Security NEXT (17 сентября 2026 года, на японском языке) — security-next.com
- Закон о защите персональных данных, статья 22 (на японском языке) — поиск законов e-Gov
История обновлений
2026-10-03: первая версия, основанная на первом уведомлении Murauchi.com (24 июля), втором уведомлении (15 сентября) и FAQ.
Читайте далее
- Мошенничество после утечки: Что такое фишинг? / Поддельные предупреждения о вирусах (мошенничество под видом технической поддержки)
- Поддельные сообщения с использованием адресов и данных заказов: Yamato Transport и Sagawa Express / Abahouse / интернет-магазины FANCL и Attenir
- Другой японский случай того же периода: Утечка данных Times Car
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)