Для кого: пользователи NewsPicks (особенно те, кто платил картой в интернете), сотрудники организаций, которые используют NewsPicks Enterprise или NewsPicks Education, и все, кто управляет внутренними административными инструментами. Статья основана на официальных уведомлениях Uzabase, Inc. и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 10 октября 2026 годаПока не известно
- Фактическое число затронутых людей
- Какой административный инструмент и какая уязвимость
- Фактический масштаб утечки
- Выводы внешних специалистов
- Фундаментальные меры по предотвращению повторения
Во втором уведомлении компания сообщает, что устанавливает причину и полную картину, предоставит обновление с учётом рекомендаций внешних специалистов и будет оперативно публиковать новые факты по мере их выявления. По состоянию на 10 октября третьего уведомления опубликовано не было.
Что пользователям NewsPicks делать сегодня
Не доверяйте сообщению только потому, что в нём известны последние цифры вашей карты
В число данных, которые могли утечь, входят имена держателей карт и последние 3 или 4 цифры номеров карт. Настоящие сообщения от банков-эмитентов и сервисов часто показывают последние 4 цифры, чтобы вы могли узнать свою карту. Поэтому поддельное сообщение с правильными последними цифрами трудно отличить от настоящего.
Если вы получили что-то вроде «подтвердите карту, оканчивающуюся на XXXX» или «возникла проблема с платежом», не открывайте ссылку. Вопросы по карте уточняйте у банка-эмитента по номеру на обратной стороне карты, а вопросы по NewsPicks — в официальном приложении (как распознать подделки: что такое фишинг?).
Даже письмо компании с уведомлением проверяйте на официальном сайте, а не по ссылкам из письма
Компания сообщает, что с 9 октября начала по очереди отправлять письма затронутым пользователям с адреса поддержки NewsPicks (no-reply@newspicks.com). Однако адрес отправителя в письме можно подделать. Поддельные письма, имитирующие уведомление, возможны, поэтому надёжный способ проверки — уведомления на официальном сайте, который вы открываете сами.
Компания заявляет, что никогда не будет запрашивать пароли или номера банковских карт по электронной почте, SMS, телефону или почте. Если у вас просят эти данные, можно считать такое сообщение поддельным.
Проверьте выписки по картам
По словам компании, полные номера карт управляются платёжным процессором и не хранятся в её системах, а коды безопасности она не хранит. Поэтому одних утёкших данных, вероятно, недостаточно, чтобы использовать карту.
Тем не менее, если поддельное сообщение заставит вас ввести полный номер карты, это может привести к мошенничеству. Если в выписке есть списание, которого вы не узнаёте, свяжитесь с банком-эмитентом, даже если сумма небольшая. Решите вместе с банком, нужно ли перевыпустить карту.
Если могли утечь данные о работодателе, следите за сообщениями и на работе
В число данных, которые могли утечь, входят также принадлежность (например, работодатель), телефон аффилированной организации и категория уровня должности. Кроме личной почты, звонки или письма на рабочие контакты, которые представляются NewsPicks или деловым партнёром, тоже возможны.
Если вас просят подтвердить неожиданный счёт или «реквизиты договора», не отвечайте сразу; перезвоните по официальному номеру, который вы найдёте сами. Сотрудникам, которые управляют NewsPicks Enterprise или NewsPicks Education для своей организации, стоит передать это предупреждение пользователям.
Меняйте пароль от NewsPicks через официальные шаги
Компания заявляет, что утечка паролей не подтверждена, и она не просила пользователей менять пароли. Если вы беспокоитесь или используете тот же пароль в других сервисах, его можно сменить в официальном приложении в настройках аккаунта в разделе «Настройки и конфиденциальность», а не по ссылке из письма (инструкция в справке компании: Смена пароля, на японском языке).
Практичный способ перестать повторно использовать пароли — менеджер паролей. Чтобы узнать, встречается ли ваш пароль в других утечках, см. как проверить, утекал ли ваш пароль.
Используйте только контакты, указанные в официальном уведомлении
Контакты, указанные в уведомлении компании: адрес электронной почты (info@newspicks.com) и форма обращения в центре справки NewsPicks. Для связи с ними никогда не нужно отправлять номер карты или пароль.
Что произошло (по данным Uzabase)
Ниже изложено на основании первого уведомления компании от 8 октября и второго уведомления от 9 октября.
8 октября 2026 года, 12:48
Обнаружен несанкционированный доступ; создана группа реагирования.8 октября, 14:01
Внутреннее расследование установило, что доступ получен третьим лицом без разрешения. Соответствующий сервер немедленно отключён, приняты меры для предотвращения дальнейшего ущерба.8 октября, 21:44
Предварительный отчёт подан в Комиссию по защите персональных данных Японии; проведена консультация с местной полицией.8 октября
Опубликовано первое уведомление с перечнем данных, которые могли утечь; количества находятся на проверке.9 октября
Опубликовано второе уведомление. Компания сообщает, что была использована уязвимость в административном инструменте, и приводит максимальные расчётные количества по каждой позиции. В тот же день начинается рассылка писем затронутым пользователям по очереди.По состоянию на 10 октября
Третьего уведомления нет. Вторичный ущерб не подтверждён (второе уведомление). Сервис продолжает работать с действующими защитными мерами.
- Точка входа
- Административный инструмент, используемый при работе NewsPicks. Компания сообщает, что была использована уязвимость в этом инструменте
- Вторжение не подтверждено
- Сам сервис NewsPicks; другие информационные системы Uzabase
- Данные пользователей (максимальные оценки)
- Адреса электронной почты 323 000; имена 59 000; даты рождения 28 000; адреса доставки и имена получателей 31 000; принадлежность (например, работодатель) 65 000; телефоны аффилированной организации 29 000; уровень должности по семи категориям 273 000
- Данные карт
- Часть данных карт, используемых для платежей в интернете, 362 000 (имя держателя карты, последние 3 или 4 цифры номера карты и т. д.)
- Не утекло / не подтверждено
- Полные номера карт (управляются платёжным процессором, не хранятся в системах компании); коды безопасности (не хранятся); пароли; переписка с клиентскими компаниями
- Деловые контакты
- Имена и контактные адреса электронной почты людей, которые управляют аккаунтами NewsPicks Enterprise и NewsPicks Education: 122 записи
- Принятые меры
- Заблокирован доступ к административному инструменту, его учётные записи удалены; перевыпущены ключи доступа к данным, до которых мог добраться административный инструмент; права доступа инструмента к данным сокращены до минимума, необходимого для работы; источник несанкционированного доступа заблокирован во всём сервисе NewsPicks
- Вторичный ущерб
- Не подтверждён (второе уведомление). В первом уведомлении также говорилось, что публикации или злоупотреблений данными подтверждено не было
Что известно, а что нет
Статус по состоянию на 10 октября 2026 года. Когда появятся последующие уведомления, столбец со статусом будет обновлён.
| Позиция | Что говорят уведомления | Статус |
|---|---|---|
| Точка входа | Использована уязвимость в административном инструменте, применяемом в работе | Подтверждено (детали не раскрыты) |
| Вторжение в сам сервис или в другие системы | Не подтверждено | Не подтверждено |
| Данные, которые могли утечь | Электронная почта, имя, дата рождения, адрес доставки и имя получателя, принадлежность, телефон аффилированной организации, категория уровня должности, имя держателя карты и последние 3–4 цифры и т. д. | Возможная утечка |
| Количества по каждой позиции | Опубликованы как максимальные оценки (например, 362 000 для данных карт) | Опубликовано (максимумы) |
| Фактическое число затронутых людей | Не опубликовано | Не раскрыто |
| Полный номер карты и код безопасности | Не хранятся в системах компании; не утекли | Не утекли (по данным компании) |
| Пароли | Утечка не подтверждена | Не подтверждено |
| Какой административный инструмент и какая уязвимость | Не опубликовано | На расследовании |
| Вторичный ущерб | Не подтверждён | Не подтверждено (по состоянию на 9 октября) |
| Связь с затронутыми пользователями | Письмами, по очереди, с 9 октября | Выполняется |
| Предотвращение повторения | Фундаментальные меры будут определены после выяснения причины | На расследовании |
Примечание к чтению: телефоны описаны по-разному в двух уведомлениях
В первом уведомлении «телефон» указан среди данных, которые могли утечь; в разбивке второго уведомления — «телефон аффилированной организации». Адреса во втором уведомлении также указаны как «адрес доставки и имя получателя». Эта статья опирается на более подробное второе уведомление.
Для чего могут использоваться имена держателей карт, последние цифры и сведения о работодателе
Как правило, при сочетании этих данных становится возможным следующее злоупотребление. Это не значит, что оно произошло в данном случае.
- Имя держателя карты + последние цифры + адрес электронной почты: поддельные сообщения с правильным «карта, оканчивающаяся на XXXX», которые используются, чтобы заставить человека ввести полный номер карты
- Имя + дата рождения + адрес доставки: звонки или письма, которые выдают себя за проверку личности, выглядят убедительнее
- Принадлежность + телефон организации + категория уровня должности: звонки или письма на рабочие контакты, которые представляются деловым партнёром или поставщиком услуг
Позиция этого сайта: считайте последние цифры данными, которые могут утечь, а не доказательством личности
Последние 4 цифры карты широко показываются в выписках и на страницах аккаунтов, чтобы люди могли узнать свою карту. Поэтому возникает соблазн думать: «если они знают последние цифры, значит, это настоящее».
Когда эти цифры могли утечь, логику нужно перевернуть: то, что известно другой стороне, не является доказательством её подлинности. Настоящее ли сообщение, определяется обращением по официальному каналу самостоятельно, а не тем, что знает отправитель.
Для тех, кто управляет внутренними административными инструментами
По словам компании, точкой входа был не сам сервис, а административный инструмент, используемый в её работе. Какой именно инструмент, какая уязвимость и как её использовали, не раскрыто. Этот раздел не оценивает действия компании; он описывает, что операторы могут проверить в собственной среде, исходя из раскрытых фактов.
Сам сервис NewsPicks
Вторжение не подтверждено
Административный инструмент, используемый в работе
Использована уязвимость (по данным компании)
Другие информационные системы Uzabase
Вторжение не подтверждено
↓ Данные, до которых мог добраться административный инструмент
Данные пользователей (электронная почта, имя, принадлежность, имя держателя карты и последние цифры и т. д.)
Компания впоследствии перевыпустила ключи доступа и сократила права до минимума, необходимого для работы
Составьте список административных инструментов и поставьте их под те же обязанности по обновлениям, что и публичные сервисы
Административные и аналитические инструменты, которыми пользуются только сотрудники, часто считаются менее важными, чем основной сервис, и может не быть никого, кто отвечает за их обновления. Начните с составления списка используемых административных инструментов и для каждого запишите, кто его обновляет и куда поступают уведомления об уязвимостях (контрольный список инвентаризации безопасности, руководство по устранению CVE).
Не выводите страницы входа в административные инструменты в открытый интернет
Административным инструментом должны пользоваться только сотрудники. Используйте внутреннюю сеть, VPN или ограничения по исходным адресам, чтобы страница входа не была доступна извне. Затем направляйте вход через корпоративный единый вход (SSO: один аккаунт, с помощью которого вы входите в несколько инструментов) и многофакторную аутентификацию.
Некоторые уязвимости находятся в обработке, которая происходит до входа в систему, где пароли и многофакторная аутентификация не помогают. В таком случае работающей мерой остаётся недоступность инструмента извне (защита от уязвимостей VPN-устройств).
Давайте административным инструментам минимальные права и показывайте как можно меньше полей
Как правило, то, что может утечь из административного инструмента, определяется правами доступа к данным, которые ему предоставлены. Компания также заявляет, что сократила права доступа инструмента к данным до минимума, необходимого для работы.
В собственной среде запишите, какие данные может читать учётная запись подключения или ключ доступа каждого административного инструмента, и закройте поля, которые работе не нужны (имена держателей карт, последние цифры, даты рождения и т. д.). Использование представлений, которые раскрывают только часть таблицы, описано в статье об эксплуатации Metabase; идея того, кто что может делать, раскрыта в статье аутентификация и авторизация.
Будьте готовы быстро перевыпустить ключи доступа
Компания перевыпустила ключи доступа к данным, до которых мог добраться административный инструмент. Если административный инструмент скомпрометирован, хранившиеся в нём ключи нужно считать утёкшими и заменить. Ведите список того, какие ключи выданы каким инструментам, и заранее определите порядок перевыпуска и того, кто его выполняет, чтобы реагирование в нужный день было быстрым.
Прошлый случай, когда точкой входа стал внутренний инструмент, — эксплуатация уязвимости Metabase, при которой данные организаций утекли из аналитических сред, а не из основных сервисов. Это не значит, что ход событий или причина здесь те же. Минимальный набор мер для организации описан в статье базовые меры безопасности для организаций.
Источники (открытые данные)
Факты в этой статье основаны на следующей публичной информации. Мы не делали предположений о названии административного инструмента или о том, как работало вторжение.
- Uzabase, Inc., «[Важно] Извинения и уведомление о возможной утечке персональных данных клиентов NewsPicks» (8 октября 2026 года, первое уведомление; на японском языке) — corp.newspicks.com
- Uzabase, Inc., второе уведомление (9 октября 2026 года; на японском языке) — corp.newspicks.com
- Центр справки NewsPicks, второе уведомление (то же содержание, что и второе уведомление; на японском языке) — newspicks.zendesk.com
- Центр справки NewsPicks, «Смена пароля» (на японском языке) — newspicks.zendesk.com
История обновлений
2026-10-11: Сверено с официальными уведомлениями; пароли теперь описаны как «утечка не подтверждена» (по данным компании), а цифры карт — как «последние 3–4 цифры».
2026-10-10: Первая версия, основанная на первом уведомлении компании от 8 октября и втором уведомлении от 9 октября (максимальные расчётные количества по каждой позиции, уязвимость административного инструмента и принятые меры). Будет обновляться по мере публикации данных о причине или мерах по предотвращению повторения.
Читайте далее
- Внутренний инструмент как точка входа: эксплуатация уязвимостей Metabase
- Как распознать мошенничество после утечки: что такое фишинг?
- Другой тип утечки данных карт: программа кражи данных карт на платёжной странице PhotoGoods
- Защита административных панелей: выбор многофакторной аутентификации / аутентификация и авторизация
- Другие инциденты 2026 года: утечки данных и кибератаки в 2026 году