Для кого: люди, пользовавшиеся онлайн-заказами Pizza Hut в Японии (сайт или приложение), и операторы, чьи платёжные системы или API связаны с внешними системами. Статья основана на официальном объявлении Pizza Hut Japan Ltd. и не описывает методы атак или мошенничества.
В развитии: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 27 октября 2026 годаПока неизвестно
- Сколько людей затронуто и кто именно
- Причина и полный масштаб (расследуются)
- Были ли аннулированы токены сеанса входа
- Будут ли уведомлены затронутые клиенты и каким способом
- Что содержат записи транзакций
В уведомлении от 23 октября компания написала, что публикует то, что известно на данный момент, и продолжает расследовать причину и полный масштаб. Когда будут опубликованы новые сведения, не сказано. Когда этот сайт проверил список новостей на корпоративном сайте компании 27 октября, продолжения опубликовано не было.
Что клиентам онлайн-заказов сделать сегодня
Не открывайте ссылки в письмах, SMS и звонках якобы от Pizza Hut
Компания говорит, что третьи лица могут использовать утёкшие адреса электронной почты и номера телефонов, чтобы отправлять подозрительные письма или SMS либо звонить от имени компании или Pizza Hut. Она просит клиентов не переходить по ссылкам и не открывать вложения в неожиданных сообщениях.
Купоны, акции, баллы в качестве извинения или подтверждения заказа выглядят естественно для любого, кто заказывал пиццу, поэтому подделку труднее распознать. Для любой проверки используйте официальное приложение Pizza Hut или официальный сайт, открытый самостоятельно (см. Что такое фишинг?).
Никогда не вводите пароль или номер карты по полученному сообщению
Компания просит клиентов не вводить и не сообщать в ответ на такие сообщения важную информацию, например пароли или данные кредитных карт. Сообщение, ведущее на страницу входа или оплаты, или звонок с просьбой назвать номер карты или код подтверждения уже по одной этой причине следует считать подозрительными.
Проверьте историю заказов и данные аккаунта в официальном приложении или на сайте
Утёкшая информация включает токены сеанса входа (информацию, которая сохраняет вход в аккаунт) и записи транзакций. В объявлении не сказано, были ли токены аннулированы. Войдите через официальное приложение или сайт, открытый самостоятельно, и проверьте, нет ли заказов, которых вы не делали, и не изменились ли зарегистрированные адрес электронной почты, номер телефона или адрес доставки.
Обращайтесь на линию поддержки клиентов по поводу всего, чего вы не делали
Горячая линия Pizza Hut Japan — 0120-679-023 (с 10:00 до 19:00 по японскому времени), а также форма обращения на официальном сайте (pizzahut.jp/faq). Оба канала указаны в объявлении компании. Пользуйтесь ими, а не номерами телефонов из полученных писем или SMS.
Компания не просила клиентов менять пароли
Паролей в списке утёкших данных нет, и компания не просит клиентов их менять. Если вы используете тот же пароль в других сервисах, сейчас всё равно хороший момент это исправить, что также поможет против будущих поддельных сообщений (Выбор менеджера паролей).
Что произошло (по объявлению Pizza Hut Japan)
23 октября 2026 года Pizza Hut Japan Ltd. разместила на своём корпоративном сайте уведомление под названием «Извинения и уведомление о несанкционированном доступе, приведшем к утечке персональных данных». Всё изложенное ниже взято из объявления компании.
19 октября 2026
Компания подтвердила, что третья сторона получила несанкционированный доступ к платёжному API, связанному с японским сервисом онлайн-заказов, и получила часть информации из базы данных, содержащей сведения о клиентах.До 23 октября
Компания заблокировала IP-адреса атакующих, устранила уязвимость и направила предварительный отчёт в Комиссию по защите персональной информации (даты каждого действия не указаны).23 октября
Компания объявила об инциденте на своём корпоративном сайте. Причина и полный масштаб расследуются.
Точка входа: платёжный API
Связан с сервисом онлайн-заказов; обменивается платёжной информацией между системами
Несанкционированный доступ третьей стороны подтверждён 19 октября (компания)
База данных, содержащая сведения о клиентах
Идентификаторы клиентов, адреса электронной почты, номера телефонов, записи, относящиеся к удалённой информации о клиентах, токены сеанса входа, записи транзакций
Часть информации получена; данные кредитных карт не входят (компания)
↓ Что может произойти (в общем случае)
Поддельные письма, SMS и звонки от имени Pizza Hut
Не открывайте ссылки; проверяйте в официальном приложении
- Система
- Система, связанная с японским сервисом онлайн-заказов Pizza Hut. Доступ был получен через платёжный API (механизм обмена платёжной информацией между системами), и часть информации была получена из базы данных, содержащей сведения о клиентах
- Утечка подтверждена
- Идентификаторы клиентов, адреса электронной почты, номера телефонов, записи, относящиеся к удалённой информации о клиентах, токены сеанса входа, записи транзакций
- Не входят
- Данные кредитных карт
- Количество
- Не опубликовано
- Вторичный ущерб
- Пока не подтверждён
- Меры компании
- Заблокированы IP-адреса атакующих, устранена уязвимость, направлен предварительный отчёт в Комиссию по защите персональной информации. Компания говорит, что также пересмотрит управление системами и примет корректирующие меры
- Контакты
- Горячая линия Pizza Hut Japan Ltd.: 0120-679-023 (с 10:00 до 19:00), форма обращения (pizzahut.jp/faq)
Что известно и что нет
На основе уведомления компании от 23 октября, по состоянию на 27 октября 2026 года. Когда компания опубликует новые сведения, столбец статуса будет обновлён.
| Пункт | Что говорится в объявлении | Статус |
|---|---|---|
| Идентификаторы клиентов | Указаны как утёкшие | Утечка подтверждена (компания) |
| Адреса электронной почты | Указаны как утёкшие | Утечка подтверждена (компания) |
| Номера телефонов | Указаны как утёкшие | Утечка подтверждена (компания) |
| Записи, относящиеся к удалённой информации о клиентах | Указаны как утёкшие; какие поля — не сказано | Утечка подтверждена (компания) |
| Токены сеанса входа | Указаны как утёкшие; аннулированы ли — не сказано | Утечка подтверждена (компания) |
| Записи транзакций | Указаны как утёкшие; содержание (адрес доставки, состав заказа и т. п.) не сказано | Утечка подтверждена (компания) |
| Данные кредитных карт | Не входят | Не входят (компания) |
| Имена и адреса | Нет в списке утёкших данных | Не упоминается |
| Пароли | Нет в списке утёкших данных | Не упоминается |
| Количество и кто затронут | Не указано | Не упоминается |
| Причина и полный масштаб | Расследование продолжается | Расследуется |
| Причастность подрядчика | Не указано | Не упоминается |
| Индивидуальные уведомления затронутым клиентам | Не указано | Не упоминается |
| Вторичный ущерб | Пока не подтверждён | Не подтверждено (компания) |
«Не упоминается» не означает «не утекло»
Имён, адресов и паролей просто нет в списке утёкших данных; компания не говорит, что они исключены (явно исключены только данные кредитных карт). В объявлении также не сказано, что содержат записи транзакций. Поскольку в продолжении список может расшириться, в этой статье эти пункты отмечены как «Не упоминается».
Что может произойти с адресами электронной почты, номерами телефонов и записями заказов
В общем случае, когда контактные данные становятся известны вместе с тем, что человек заказывал и в каком сервисе, может произойти следующее (объявлений о том, что что-либо из этого произошло в данном инциденте, нет, и компания говорит, что вторичный ущерб пока не подтверждён).
Что может произойти в общем случае
- Поддельные купоны или баллы в качестве извинения по почте или SMS от имени Pizza Hut
- Сообщения под видом подтверждения заказа или неудачной оплаты, ведущие на страницу ввода карты
- Звонки, в которых упоминается, когда и что вы заказывали, чтобы завоевать доверие
- Сообщения под видом компенсации за утечку с просьбой сообщить личные или банковские данные
Что можно сделать
- Проверять предложения в официальном приложении
- Не входить в аккаунт по ссылкам из сообщений
- Никогда не сообщать номер карты или код подтверждения по телефону
- Пользоваться только горячей линией, указанной в объявлении компании
Сообщение, в котором известно, когда и что вы заказывали, всё равно не доказывает, что оно настоящее, поскольку записи транзакций есть в списке утёкших данных. Подробнее о подготовке к поддельным сообщениям после утечки адреса электронной почты и номера телефона см. утечку из приложения Yakiniku King (на английском) и утечку из приложения Burger King Japan.
Для операторов, подключающих платёжные системы или API к внешним системам
Причина всё ещё расследуется. В этом разделе рассматривается только то, что следует из опубликованной последовательности событий и перечня утёкших данных (это общие пункты для проверки, а не догадки о причине).
Ограничьте то, к чему имеет доступ платёжный API, данными, нужными для платежей
Согласно объявлению, доступ был получен через платёжный API, описанный как механизм обмена платёжной информацией между системами, а информация была получена из базы данных, содержащей сведения о клиентах. В общем случае API для межсистемной интеграции часто настраиваются с более широким доступом к базе данных, чем экраны для клиентов. Проверьте, могут ли ваши интеграционные API читать таблицы, которые им не нужны, например данные участников, токены или записи удалённых аккаунтов.
Храните токены входа так, чтобы ими было трудно воспользоваться при утечке
Токены сеанса входа были среди утёкших данных. В общем случае последствия утечки уменьшают: хранение токенов в базе данных не в исходном виде (хранить хеш и сравнивать), короткий срок их действия и возможность при подозрении на утечку аннулировать токены всех пользователей сразу. Заранее решите, как вы будете их аннулировать и как сообщите клиентам.
Храните записи удалённых аккаунтов только столько, сколько нужно
Записи, относящиеся к удалённой информации о клиентах, были среди утёкших данных. Если ограничить то, что хранится после удаления аккаунта, тем, что требуется по закону или для бухгалтерского учёта, и удалять это по истечении срока, при инциденте будет затронуто меньше людей.
Источники (публичные материалы)
Факты в этой статье основаны на приведённой ниже публичной информации. Неопубликованные количество, причины и методы атаки не угадываются.
- Pizza Hut Japan Ltd., «Извинения и уведомление о несанкционированном доступе, приведшем к утечке персональных данных» (на японском языке, 23 октября 2026; проверено 27 октября) — corp.pizzahut.jp
История обновлений
2026-10-27: первая версия на основе уведомления Pizza Hut Japan от 23 октября. Статья будет обновлена при публикации количества, причины или других подробностей.
Читайте далее
- Похожие случаи (приложения ресторанных сетей для участников): Утечка из приложения Yakiniku King (около 10,79 млн записей) / Утечка из приложения Burger King Japan (около 11,18 млн записей)
- Как распознать поддельные сообщения: Что такое фишинг? / Основы безопасности смартфона
- Проверка аккаунтов: Как проверить, не получил ли кто-то доступ к вашему аккаунту
- Другие инциденты 2026 года: список утечек данных и кибератак (Япония и мир)