Для: людей, получавших рассылку японского приложения манги Piccoma, и всех, кто отправляет электронную почту через внешний сервис доставки. Статья основана на официальном объявлении Kakao piccoma Corp. и собственном уведомлении сервиса доставки и не описывает методы атак или мошенничества.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на утро 26 октября 2026 годаПока неизвестно
- Как и когда с пострадавшими клиентами свяжутся индивидуально
- Какая именно рассылка была затронута
- Изменится ли количество (это число, сообщенное сервисом доставки на данный момент)
- Как был взломан сервис доставки
В своем уведомлении от 24 октября (первое сообщение) компания сказала, что будет оперативно публиковать новые факты на той же странице. Когда этот сайт проверил список уведомлений Piccoma утром 26 октября, никаких продолжений опубликовано не было. Сервис доставки в обновлении от 25 октября в 10:00 сообщил, что новой подтвержденной информации нет, и назначил следующий отчет примерно на 10:00 26 октября (японское время).
Что получателям рассылки делать сегодня
Не открывайте ссылки в письмах или SMS, якобы от Piccoma или издателей
Компания просит пользователей остерегаться подозрительных писем и SMS, выдающих себя за Piccoma или издателей, и не открывать ссылки в неожиданных сообщениях и не вводить личные данные или пароли.
Предложения бесплатных тайтлов, монет или баллов, а также запросы подтвердить аккаунт выглядят для пользователей приложения естественно, что затрудняет распознавание подделок. Чтобы что-либо проверить, используйте приложение Piccoma или сайт Piccoma, открытый вами самостоятельно (см. Что такое фишинг?).
Никогда не вводите пароль или номер карты из письма
Компания говорит, что никогда не запрашивает пароли или данные банковских карт по электронной почте. Письмо, которое ведет на страницу входа или оплаты, уже по этой причине следует считать подозрительным.
Если вы получили индивидуальное уведомление, подтвердите его в приложении
Компания говорит, что свяжется с пострадавшими клиентами индивидуально, но не сообщает как (по электронной почте, через уведомление в приложении или иначе). Поддельные «извинительные» сообщения от имени компании в принципе тоже возможны. Прежде чем открывать любую ссылку, проверьте, что та же информация есть в разделе уведомлений приложения или на сайте.
Компания не просила пользователей менять пароли
По словам компании, пароли никогда не передавались blastmail и не могли утечь, а аккаунты и данные о покупках не затронуты. Поэтому объявление не дает оснований срочно менять пароль Piccoma из-за этого инцидента. Если вы используете тот же пароль в других сервисах, сейчас хороший момент это исправить.
Что произошло (из объявления Kakao piccoma)
Kakao piccoma Corp. опубликовала 24 октября 2026 года в Piccoma уведомление под названием «Уведомление и извинения в связи с утечкой адресов электронной почты клиентов из-за несанкционированного доступа к системе доставки электронной почты» (первое сообщение, на японском языке). Все, что ниже, взято из этого уведомления. Что произошло у вышестоящего сервиса доставки, описано в статье о несанкционированном доступе к сервису доставки электронной почты blastmail.
21 октября 2026 (среда), около 0:30
Компания, управляющая blastmail, обнаруживает подозрительный доступ и приостанавливает все свои сервисы.24 октября (суббота)
Сервис доставки сообщает Piccoma, что адреса электронной почты получателей ее рассылки утекли.24 октября
Piccoma объявляет об этом в уведомлениях (первое сообщение), приостанавливает рассылку и сообщает в Комиссию по защите персональных данных.
Приложение Piccoma, сайт и системы компании
Аккаунты, пароли, данные о покупках
Не было доступа, не затронуты (по словам компании)
Сервис доставки электронной почты (blastmail)
Адреса электронной почты получателей рассылки (одна рассылка, 1 002 404 записи)
Утекли в результате несанкционированного доступа третьей стороны
↓ Что может произойти (в общем случае)
Поддельные письма и SMS от имени Piccoma или издателей
Не открывайте ссылки; проверяйте в приложении
- Кто
- Клиенты, получавшие одну рассылку Piccoma (1 002 404 записи). Цифра — то, что сервис доставки сообщил на данный момент
- Что утекло
- Адрес электронной почты (зарегистрированный для получения рассылки)
- Не входило
- Номера клиентов, даты последней покупки и подобные данные (подтверждено, что не входили). Пароли никогда не передавались blastmail и не могли утечь
- Не хранятся вообще
- Имена и данные банковских карт (компания их не хранит)
- Сама Piccoma
- Приложение, сайт и системы компании не подвергались доступу. Аккаунты, пароли и данные о покупках не затронуты; сервис работает в обычном режиме
- Piccoma Novels
- Утечка для ее рассылки пока не подтверждена
- Ответ компании
- Рассылка приостановлена. Настройки изменены так, чтобы письма, отправленные из blastmail, не считались настоящими письмами Piccoma. Сообщено в Комиссию по защите персональных данных. Компания совместно с сервисом доставки уточняет детали и затронутых клиентов
- Контакты
- Форма обращения в разделе «Помощь» в приложении Piccoma или на сайте
Что известно и что пока нет
Основано на уведомлении компании от 24 октября и обновлении сервиса доставки от 25 октября в 10:00 по состоянию на утро 26 октября. Столбец статуса будет обновляться по мере появления продолжений.
| Пункт | Что объявлено | Статус |
|---|---|---|
| Адрес электронной почты | Зарегистрирован для получения рассылки | Утечка подтверждена (компанией) |
| Количество | 1 002 404 записи (получатели одной рассылки); число, сообщенное сервисом доставки на данный момент | Цифра компании; может измениться |
| Номера клиентов, даты последней покупки и т. п. | Подтверждено, что не входили | Не входили (компания) |
| Пароли | Никогда не передавались blastmail; не могли утечь | Не входили (компания) |
| Имена, данные банковских карт | Компания их не хранит | Не входили (компания) |
| Аккаунты, данные о покупках | Не затронуты | Не входили (компания) |
| Приложение Piccoma, сайт и системы компании | Не подвергались доступу | Доступа не было (компания) |
| Рассылка Piccoma Novels | Утечка пока не подтверждена | Не подтверждено (компания) |
| Какая именно рассылка | Не указано | Не указано |
| Индивидуальные уведомления | Компания говорит, что свяжется с клиентами; способ и сроки не указаны | Способ и сроки не раскрыты |
| Как был взломан сервис доставки | Расследуется, по словам сервиса доставки | Расследуется |
| Злоупотребления, например поддельные письма | Не указано | Не указано |
Записи, а не люди
Компания приводит 1 002 404 как число записей. Поскольку один человек может зарегистрировать больше одного адреса, это не обязательно число людей. В этой статье также используется слово «записи».
Что может произойти, когда утекают только адреса электронной почты
В общем случае, когда адрес электронной почты становится известным вместе с сервисом, для которого он использовался, может произойти следующее (компания ни одного из этих случаев в данном инциденте не сообщала).
Что может произойти в общем случае
- Поддельные кампании или письма «подтвердите аккаунт» от имени Piccoma
- Письма с именем издателя или тайтла, которые ведут на страницу входа или ввода данных карты
- Поддельные «извинительные» письма с просьбой указать личные данные для получения компенсации
Что можно сделать
- Проверить содержание в приложении Piccoma
- Не входить в аккаунт по ссылке из письма
- Никогда не вводить пароль или номер карты из письма
Имена не входили в утечку, поэтому одна только эта утечка не может быть использована для писем с обращением по вашему настоящему имени. Но ваше имя может быть известно из других источников, поэтому правильное имя не доказывает, что письмо настоящее. О подготовке к поддельным письмам после утечки адресов также см. возможную утечку адресов электронной почты JR East, VIEW Card и JR Kyushu.
Для всех, кто отправляет электронную почту через внешний сервис доставки
Как был взломан сервис доставки, еще расследуется. Этот раздел охватывает только то, что следует из объявления Piccoma. Ответ сервиса доставки и то, как организации-клиенты решают вопросы сообщения и уведомления, описаны в статье о blastmail.
Передавайте сервису доставки только то, что нужно для отправки
По словам компании, утекли только адреса электронной почты, а номера клиентов и даты последней покупки не входили. Если ваши списки рассылки содержат только то, что нужно для отправки, а не номера участников, историю покупок или имена, взлом сервиса доставки не раскроет ничего сверх этого. Запишите, какие столбцы реально содержат ваши списки рассылки, и проверьте их один раз.
Не дайте взломанному сервису доставки отправлять письма от вашего имени
Компания говорит, что изменила настройки так, чтобы письма, отправленные из blastmail, не считались настоящими письмами Piccoma (конкретные настройки не описаны). В общем случае разрешение сервису доставки отправлять письма с вашего домена настраивается через SPF, DKIM и DMARC (механизмы, которые позволяют получателям проверить, что отправитель настоящий). Заранее решите, как и кем это разрешение будет отозвано, если сервис будет взломан (основы см. в статье Основы SPF, DKIM и DMARC).
Имейте другой способ связи с пользователями, если доставка остановлена
Компания объявила об инциденте в уведомлениях и направляет обращения в раздел помощи приложения и сайта. Даже при приостановленной рассылке она может связаться с пользователями через собственный канал, например через уведомления в приложении. Проверьте, есть ли у вас способ связаться с пользователями помимо электронной почты.
Источники (публичные сведения)
Факты в этой статье основаны на следующей публичной информации. Способ взлома и причина, которые не раскрыты, не угадываются.
- Kakao piccoma Corp., «Уведомление и извинения в связи с утечкой адресов электронной почты клиентов из-за несанкционированного доступа к системе доставки электронной почты blastmail компании RAKUS Lite Cloud (первое сообщение)» (24 октября 2026, на японском языке, проверено 26 октября) — piccoma.com
- RAKUS Lite Cloud Corporation, «[Важно] Извинения и отчет о чрезвычайной приостановке blastmail и утечке персональных данных» (обновлено 25 октября 2026, 10:00, на японском языке) — info.blastmail.jp
История обновлений
2026-10-26: Первая версия, основанная на уведомлении Kakao piccoma от 24 октября (первое сообщение) и обновлении сервиса доставки от 25 октября в 10:00. Будет обновлена, когда появятся продолжения по индивидуальным уведомлениям или количеству.
Читайте далее
- Вышестоящий инцидент у сервиса доставки и другие пострадавшие организации: Несанкционированный доступ к сервису доставки электронной почты blastmail
- Похожий инцидент: Несанкционированный доступ к Cuenote FC компании Ymirlink
- Как распознать поддельные письма: Что такое фишинг?
- Проверка отправителей (для операторов сайтов): Основы SPF, DKIM и DMARC
- Другие инциденты 2026 года: Список утечек данных и кибератак