Для кого: для всех, кто делал покупки на PhotoGoods (photo-goods.com) или вводил карту на его платёжной странице с 6 августа по 11 сентября 2026 года, а также для владельцев интернет-магазинов. Статья основана на официальном уведомлении Daiko Printing Co., Ltd. и не описывает техники атак.
Ситуация развивается: статья будет обновляться по мере публикации новых сведений организацией
По состоянию на 7 октября 2026 годаПока неизвестно
- Число пострадавших
- Фактический масштаб утечки
- Как злоумышленник получил доступ
- Компенсации, включая плату за перевыпуск
- Как сменить пароль PhotoGoods
- Когда сервис возобновит работу
Компания говорит, что после подтверждения числа пострадавших и масштаба утечки отправит им извинения и инструкции по электронной почте или иным способом, и что это может занять время в зависимости от расследования. Она сообщает, что новые факты и дата возобновления работы будут опубликованы на её сайте.
Что делать сегодня тем, кто пользовался PhotoGoods с 6 августа по 11 сентября
Проверьте, затронуты ли вы (включая тех, кто не совершал покупку)
По данным компании, под риском могут быть люди, которые вводили реквизиты карты на платёжной странице PhotoGoods с 6 августа по 11 сентября 2026 года. Даже если вы не завершили покупку, вы могли быть затронуты, если вводили карту на платёжной странице.
Компания планирует индивидуально связаться с пострадавшими после подтверждения масштаба. На 7 октября она не сообщала, что начала это делать. Если вы помните, что пользовались сайтом в этот период, выполните шаги ниже, не дожидаясь уведомления.
Позвоните в банк-эмитент и попросите сменить номер карты
Компания просит людей проверять выписки и обращаться в банк, указанный на обратной стороне карты, по поводу любых непонятных списаний. Этот сайт рекомендует всем, кто вводил карту в этот период, попросить банк сменить номер карты, даже если непонятных списаний пока не было.
Причина в том, что код безопасности входит в число данных, которые могли утечь. Такая комбинация остаётся пригодной для использования, пока не сменится номер. Проверка выписок важна, но она сообщает о проблеме только после того, как карту уже использовали (подробнее об этом рассказано в нашей статье об утечке карт интернет-магазина APORITO).
Продолжайте проверять выписки до смены номера
Проверяйте даже мелкие списания на несколько сотен иен. У защиты от мошенничества есть срок для обращения, который устанавливается условиями каждого банка-эмитента. После смены номера обновите данные во всех сервисах, которые автоматически списывают деньги со старой карты, например в коммунальных платежах и подписках.
Если на других сервисах используется тот же пароль PhotoGoods, смените его там
Компания говорит, что сведения о паролях, которые могли утечь, — это не сам пароль, а его преобразованная форма, по которой исходный пароль нельзя напрямую прочитать. Тем не менее короткие или распространённые пароли иногда можно подобрать по преобразованному значению (как это работает: что такое хеширование паролей?).
Компания также просит людей, которые используют тот же пароль в других местах, подумать о его смене на официальных сайтах каждого сервиса. Она говорит, что процедура смены самого пароля PhotoGoods будет объявлена после утверждения. Практичный способ перестать повторно использовать пароли — менеджер паролей.
Не открывайте ссылки в сообщениях с извинениями или возвратом средств
Имена, адреса, номера телефонов и адреса электронной почты также могли утечь, что делает возможными убедительные поддельные сообщения. Компания предупреждает о подозрительных письмах, текстовых сообщениях и звонках от имени компании или PhotoGoods и просит не открывать ссылки и вложения и не вводить личные данные, реквизиты карт или пароли.
Поскольку компания планирует связаться с пострадавшими по электронной почте, возможны поддельные сообщения с «извинениями», «возвратом средств» или «повторной регистрацией карты», имитирующие её. Считайте любое сообщение, которое просит ввести данные карты, поддельным, и проверяйте информацию на официальном сайте, открыв его самостоятельно (как распознать такие сообщения: что такое фишинг?).
Используйте только контакты из официального уведомления
В уведомлении указана справочная служба PhotoGoods: телефон 078-303-7383 (по будням с 10:00 до 18:00, японское время) и адрес электронной почты support@photo-goods.com (круглосуточно). Компания просит не отправлять номера карт, PIN-коды, коды безопасности или пароли по электронной почте при обращении к ней. По вопросам уже оформленного заказа она просит указывать номер заказа.
Когда платёжная страница изменена, карта утекает, даже если магазин её не хранит
В инцидентах такого типа данные карт похищаются не из базы данных магазина. Вместо этого на странице оплаты, где клиенты вводят свои данные, устанавливается программа, и введённое отправляется не только законному получателю, но и в другое место.
Поэтому карта может утечь, даже если магазин не хранит данные карт на собственных серверах. Это также означает, что в зону риска попадают все, кто вводил карту, пока программа работала, поэтому в этот раз включены и те, кто не завершил покупку.
Прошлый случай такого же типа — инцидент с интернет-магазином APORITO (RIZAP), раскрытый в августе 2026 года. Там второе уведомление появилось примерно через неделю после первого, но и оно не раскрыло число людей и подробности причины. Это не означает, что в данном случае будет так же.
Что произошло (по данным Daiko Printing)
Ниже изложено на основании уведомления Daiko Printing от 16 сентября 2026 года и уведомления на сайте PhotoGoods (проверено 7 октября).
6 августа 2026 года
Начало периода, в течение которого работала программа для перехвата данных карт (по результатам расследования компании).11 сентября
Компании сообщили, что на PhotoGoods загружается подозрительная внешняя программа, и она сразу поручила расследование своей компании, отвечающей за управление системой. Программа была удалена в тот же день.12 сентября
Объявлено экстренное техническое обслуживание для проверки систем, сервис приостановлен.16 сентября
Опубликованы извинения и уведомление о несанкционированном доступе и возможной утечке данных.По состоянию на 7 октября
Дополнительных уведомлений нет. Сайт PhotoGoods остаётся приостановленным, компания сообщает, что проверки безопасности и расследование продолжаются с участием специализированных организаций и связанных компаний. По некоторым продажам, связанным с мероприятиями, компания сообщает, что готовится возобновить продажи и продлить срок продаж.
- Сервис
- PhotoGoods (photo-goods.com). Компания сообщает, что её другие сервисы не затронуты
- Данные карт
- Номер карты, срок действия, код безопасности. Под риском могут быть люди, которые вводили карту на платёжной странице с 6 августа по 11 сентября
- Персональные данные
- Имя, адрес, номер телефона, адрес электронной почты (пользователи photo-goods.com)
- Пароли
- Сведения о паролях участников: не сам пароль, а его преобразованная форма, по которой исходный пароль нельзя напрямую прочитать
- Причина, по данным компании
- Подтверждён несанкционированный доступ стороннего лица через уязвимости системы и злоупотребление функцией загрузки файлов. Какая именно уязвимость или функция загрузки, не раскрыто
- Принятые меры
- Сервис приостановлен, программа остановлена и удалена, механизм, использованный для доступа, изолирован, несанкционированная учётная запись администратора отключена, внешний доступ ограничен, системы и журналы проверены и сохранены
- Дальнейшие шаги
- Восстановление системы в безопасной среде, смена учётных данных и устранение уязвимостей. Сервис не возобновит работу, пока не будет подтверждена его безопасность
Что известно и что нет
Состояние на 7 октября 2026 года. Когда будет опубликовано дополнительное уведомление, мы обновим столбец статуса.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Период работы программы | С 6 августа 2026 года до удаления 11 сентября | Подтверждено (по результатам расследования компании) |
| Данные карт | Номер карты, срок действия, код безопасности | Могли утечь |
| Персональные данные | Имя, адрес, номер телефона, адрес электронной почты | Могли утечь |
| Пароли | Сведения о паролях участников в преобразованном виде | Могли утечь |
| Те, кто не совершал покупку | Могут быть затронуты, если вводили карту на платёжной странице | Могли утечь |
| Причина | Несанкционированный доступ через уязвимости системы и злоупотребление функцией загрузки файлов | Подтверждено (подробности не раскрыты) |
| Число пострадавших и фактический масштаб | Окончательное расследование продолжается | Расследуется |
| Мошенническое использование | В уведомлении не упоминается | Не раскрыто |
| Компенсации, например плата за перевыпуск | В уведомлении не упоминаются | Не раскрыто |
| Индивидуальное уведомление | Планируется по электронной почте или иным способом после подтверждения масштаба | Планируется |
| Возобновление работы | Не раньше подтверждения безопасности; дата не определена | Не определено |
Как это понимать: «могли утечь» не означает «не утекли»
Компания описывает данные как те, что «могли утечь». Это значит, что фактический масштаб всё ещё расследуется, а не что ничего не утекло. Данные карт иногда используют спустя долгое время после кражи, поэтому, пока номер не сменён, продолжайте проверять выписки как минимум несколько месяцев.
Для чего могут быть использованы такие комбинации данных
В общем случае следующие комбинации могут быть использованы злоупотребительно так, как описано ниже. Это не означает, что так произошло в данном случае.
- Номер карты + срок действия + код безопасности: используются для покупок в интернете; на сайтах без дополнительной проверки личности платёж может пройти только с этими данными
- Имя + адрес + номер телефона + адрес электронной почты: позволяют составить убедительное сообщение с «извинениями» или «возвратом средств» с вашим правильным именем и адресом
- Адрес электронной почты + преобразованный пароль: если пароль легко угадать, могут быть предприняты попытки входа в другие сервисы, где используется тот же пароль
Для операторов интернет-магазинов: два раскрытых факта, которые можно проверить на своём сайте
Общие меры защиты от подмены платёжной страницы (почему недостаточно не хранить данные карт, пять пунктов японских рекомендаций по безопасности кредитных карт и мониторинг скриптов на платёжной странице) рассмотрены в статье об APORITO. Вместо того чтобы повторять их, этот раздел посвящён двум фактам из данного уведомления: «злоупотреблению функцией загрузки файлов» и «отключению несанкционированной учётной записи администратора», а также тому, что операторы могут проверить на своих сайтах.
Какая функция загрузки была использована и как, не раскрыто. Этот раздел не оценивает меры, принятые компанией.
Уведомление: злоупотребление функцией загрузки файлов
↓→
Есть ли в папке загрузок файлы не изображений или исполняемые файлы?
→ Составляйте список ежедневно; сигнализируйте о любом типе файла, который не разрешён
Уведомление: отключена несанкционированная учётная запись администратора
↓→
Выросло ли с вчерашнего дня число учётных записей администраторов?
→ Сравнивайте ежедневно; при росте уведомляйте владельца
Уведомление: обнаружено после сообщения извне
↓→
Изменились ли скрипты, загружаемые на платёжной странице?
→ Сначала выявите это сами (см. статью об APORITO)
Если клиенты загружают файлы, сначала проверьте функцию загрузки
На сайтах, где загрузка файлов клиентами является основой сервиса, например при изготовлении фотосувениров или персонализированной печати, функция загрузки — это вход, открытый для каждого участника, а иногда и для всего интернета. Административные экраны тоже часто имеют функции загрузки, и проверять нужно оба.
Что проверять: хранятся ли загруженные файлы там, где они не могут выполняться, то есть вне общедоступной папки или в месте, где скрипты не исполняются. Подробно об этом написано в статье Уязвимости при загрузке файлов.
Составляйте список папки загрузок каждый день и сигнализируйте о типах файлов, которые не разрешены
Даже при правильных настройках ошибка конфигурации или другой путь может оставить файл, которого там быть не должно. Составляйте список файлов в папке загрузок раз в день и уведомляйте кого-либо, если там есть любой тип файла, кроме разрешённых (например, jpg и png).
Для начала достаточно запланированного задания на сервере (например, cron), которое проверяет расширения файлов и их реальный формат. Если вы используете арендованный хостинг или платформу электронной коммерции, спросите у провайдера, предлагает ли он такую же проверку.
Сравнивайте список учётных записей администраторов каждый день и уведомляйте при его росте
В этом уведомлении упоминается «отключение несанкционированной учётной записи администратора». В общем случае злоумышленники иногда создают учётную запись администратора, чтобы вернуться после того, как первоначальный вход закрыт (это разновидность бэкдора).
Экспортируйте список учётных записей администраторов из административного экрана или базы данных раз в день, сравнивайте его с предыдущим днём и отправляйте уведомление владельцу на телефон, если список вырос. Учётная запись, которую никто не создавал, сама по себе является признаком взлома. Если ваш магазин создаёт или ведёт сторонняя компания, спросите, может ли она провести эту проверку за вас.
Мнение этого сайта: время до получения сообщения извне становится окном уязвимости
Компания говорит, что начала расследование после того, как ей сообщили о загрузке подозрительной внешней программы. Когда программы установлены на платёжной странице, в зону риска попадает каждый, кто вводит карту до того, как кто-либо заметит проблему. Две проверки выше не предотвращают взлом; их цель — заметить его самим, раньше других. Они почти ничего не стоят, и даже небольшой интернет-магазин может начать их сегодня.
Источники (открытые данные)
Факты в этой статье основаны на следующей открытой информации. Мы не строим предположений о нераскрытых путях или методах взлома.
- Daiko Printing Co., Ltd., «[Важно] Извинения и уведомление о возможной утечке персональных данных вследствие несанкционированного доступа к PhotoGoods» (16 сентября 2026 года, на японском языке) — daiko-printing.co.jp
- Daiko Printing Co., Ltd., «Уведомление об экстренном техническом обслуживании PhotoGoods» (12 сентября 2026 года, на японском языке) — daiko-printing.co.jp
- Уведомление PhotoGoods «Сервис приостановлен» (проверено 7 октября 2026 года, на японском языке) — photo-goods.com
История обновлений
2026-10-07: первая версия, основана на уведомлении Daiko Printing от 16 сентября и уведомлении о приостановке на сайте PhotoGoods (проверено 7 октября). Компания сообщает, что объявит масштаб, дату возобновления работы и другие подробности; мы обновим статью, когда это произойдёт.
Читайте далее
- Аналогичный инцидент: APORITO Online Store (RIZAP): возможная утечка данных карт
- Для операторов: Уязвимости при загрузке файлов / что такое PCI DSS?
- Мошенничество и пароли: что такое фишинг? / как проверить, утёк ли ваш пароль
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году
- Утечка данных NewsPicks (имена держателей карт и последние цифры, до 362 000 записей)