Для кого: для зарегистрированных участников (панелистов) японского опросного сайта Qzoo, а также для всех, кто управляет сервисом, хранящим банковские реквизиты участников, например для выплаты вознаграждений. Статья основана на официальном уведомлении Monitas Inc. и не описывает методы атаки.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 28 октября 2026 годаПока неизвестно
- Какие данные на самом деле утекли и сколько записей (компания выясняет)
- Число людей (уведомление считает записи)
- Как хранились пароли
- Что было изменено при «изменении» базы данных
- Подробности причины и меры по предотвращению повторения
- Когда сервис возобновит работу
- Как и когда с пострадавшими свяжутся индивидуально
Компания говорит, что сообщит результаты расследования, новые факты и прогноз возобновления сервиса на странице уведомлений Qzoo, как только они станут известны. 28 октября мы проверили список новостей компании и сайт Qzoo: Qzoo по-прежнему показывал уведомление, продолжений по этому инциденту опубликовано не было.
Что участникам сделать сегодня
Смените пароль на любом сервисе, где он совпадает с паролем от Qzoo
Компания просит участников, которые используют ту же комбинацию адреса электронной почты и пароля, что и в Qzoo, на других сервисах, оперативно сменить пароль на этих сервисах. Как хранились пароли, она не сообщила.
Если пара «адрес почты и пароль» стала известна, её могут попробовать на других сайтах. Начните с почты, интернет-банка, интернет-магазинов и сервисов баллов и используйте для каждого сервиса свой пароль. Менеджер паролей — реалистичный способ навести порядок. Также включите двухэтапную проверку для почтового аккаунта.
Что касается самого пароля от Qzoo, компания говорит, что попросит всех панелистов сбросить его при возобновлении работы сервиса.
Не открывайте ссылки и вложения в письмах или SMS якобы от Qzoo или Monitas
Компания предупреждает о письмах, SMS и подобных сообщениях, выдающих себя за Qzoo или компанию, и говорит, что никогда не будет связываться с участниками с просьбой ввести пароль или другие сведения. Она просит не открывать URL-адреса и вложения в подозрительных письмах.
Компания говорит, что будет поочерёдно связываться с пострадавшими индивидуально, поэтому настоящие и поддельные сообщения могут приходить одновременно. Если вы получили сообщение о «подтверждении счёта для выплаты вознаграждения», «сбросе пароля» или «извинениях», не используйте ссылку из него; проверьте уведомления на официальном сайте компании (см. Что такое фишинг?).
Никогда не сообщайте PIN-код или данные для входа тем, кто представляется банком или полицией (совет этого сайта)
Этот и следующий шаг — совет этого сайта, поскольку в охват входят номера счетов, названия отделений и имена владельцев счетов. Это не просьбы из уведомления компании.
Номер счёта и имя владельца — это сведения, которые вы сообщаете другим, чтобы вам могли заплатить; сами по себе они не позволяют снять деньги. Для снятия и переводов нужны, например, банковская карта и PIN-код или данные для входа в интернет-банк и коды аутентификации. Опасаться стоит контакта от человека, который представляется вашим банком, компанией или полицией, использует данные вашего счёта, чтобы звучать убедительно, и говорит, что вашим счётом злоупотребляют или что нужно подтвердить счёт для выплат.
В качестве общего ориентира: Японская банковская ассоциация сообщает, что никогда не спрашивает у клиентов PIN-коды или пароли, а Национальное полицейское агентство Японии сообщает, что сотрудники полиции никогда не спрашивают PIN-коды по телефону или иным подобным способом. Никогда не сообщайте PIN-код, данные для входа или одноразовые пароли (одноразовые коды аутентификации) по телефону, электронной почте или SMS.
Проверьте в сберкнижке или банковском приложении, нет ли незнакомых операций (совет этого сайта)
Проверьте в сберкнижке или банковском приложении по счёту, который вы указали в Qzoo, нет ли незнакомых поступлений, снятий или списаний. Если найдёте, немедленно свяжитесь с банком по номеру из сберкнижки, с обратной стороны банковской карты или с официального сайта банка. Не звоните по номеру из полученного сообщения. Национальное полицейское агентство также просит людей, обнаруживших несанкционированные снятия через сервисы безналичной оплаты, обращаться и в банк или к другому поставщику, и в полицию.
Уведомление компании не просит участников связываться с банком. Мы не нашли официальных рекомендаций о том, что счёт нужно заменить только из-за того, что его номер мог утечь.
Остерегайтесь подозрительных почтовых отправлений и контактов на домашний адрес
Компания предупреждает о подозрительных почтовых отправлениях и контактах на домашний адрес участников. Поскольку в охват входят адреса и даты рождения, убедительные поддельные контакты могут поступать не только по электронной почте, но и открыткой, письмом или по телефону.
Если отправитель правильно называет ваше имя, адрес, дату рождения или зарегистрированный банковский счёт, это не доказывает, что он настоящий. Именно эти сведения могли утечь. Для обращений используйте контакт из уведомления (обращения клиентов Qzoo: qzoo_support@monitas.co.jp) или контактные данные, которые вы проверили на официальном сайте компании.
Чего не делать
Не открывайте «страницу входа Qzoo» по ссылке из письма или SMS и не вводите там пароль. По состоянию на 28 октября Qzoo приостановлен, и компания говорит, что попросит участников сбросить пароли при возобновлении работы сервиса. Любое сообщение, которое сейчас просит войти или ввести пароль, следует прежде всего считать подозрительным.
Чтобы проверить, встречались ли ваш адрес почты или пароль в прошлых утечках, следуйте статье Как проверить, не утекал ли ваш пароль. Не вводите сам пароль на незнакомом сайте ради проверки.
Что произошло (по уведомлению Monitas)
Monitas Inc. опубликовала извинения и уведомление 21 октября 2026 года на корпоративном сайте и на сайте Qzoo. Всё, что ниже, приводится по уведомлению компании. Время японское.
17 окт. 2026 (сб) 8:30
Начинается несанкционированный доступ третьей стороны.17 окт., 12:22
База данных просматривается и изменяется с помощью SQL-инъекции.17 окт., 18:44
Инцидент обнаружен, доступ третьей стороны заблокирован.17 окт., 19:02
Qzoo переведён в режим экстренного обслуживания (с этого дня сервис приостановлен).20 окт. (вт) 18:07
Предварительное сообщение в Комиссию по защите персональной информации. Компания говорит, что в тот же день сообщила комиссии и соответствующим органам и проконсультировалась с ними.21 окт. (ср)
Опубликованы извинения и уведомление.
- Охват
- Около 400 000 записей (на 17 окт.; все записи, хранившиеся в системе Qzoo)
- Данные
- Могла быть затронута база данных, в которой хранится следующее, и компания выясняет точный состав: основные сведения (имя, дата рождения, адрес, номер телефона, адрес электронной почты и др.), данные аутентификации участника (ID участника, пароль и др.), финансовые сведения (номер счёта, название отделения, имя владельца счёта и др.), ответы на опросы (годовой доход, профессия и другие сведения об участнике, полученные компанией, и др.)
- Не входит
- Компания не хранит данные банковских карт и My Number
- Причина
- Компания подтвердила, что третья сторона проникла, воспользовавшись уязвимостью в её системе. Она продолжает расследовать причину и масштаб при содействии внешних специалистов
- Границы охвата
- Qzoo работает на выделенной системе, независимой от других систем компании, и несанкционированного доступа к этим другим системам не обнаружено
- Меры
- Сервис приостановлен, приняты экстренные меры, такие как блокировка доступа. Компания внедрит меры по предотвращению повторения по итогам расследования и возобновит сервис после подтверждения безопасности
- Пароли
- При возобновлении сервиса всех панелистов попросят сбросить пароль
- Контакт
- Обращения клиентов Qzoo, qzoo_support@monitas.co.jp
Отдельные уведомления в то же время (реакция на уязвимость PHP)
23, 25 и 26 октября компания опубликовала уведомления о том, что временно приостанавливала корпоративный сайт (возобновлён 23 октября) и другие свои сервисы (возобновлены в полдень 26 октября), чтобы отреагировать на уязвимость в языке программирования PHP, объявленную 21 октября. Эти уведомления не связаны с утечкой Qzoo и не упоминают Qzoo. При проверке 28 октября сайт Qzoo по-прежнему показывал уведомление об утечке.
Что известно и что нет
Состояние на 28 октября 2026 года. Таблица будет обновлена после публикации последующих сообщений.
| Пункт | Что объявлено | Статус |
|---|---|---|
| Несанкционированный доступ | Несанкционированный доступ третьей стороны подтверждён 17 окт. | Подтверждено (компания) |
| Число записей в охвате | Около 400 000 (все записи, хранившиеся в системе Qzoo на 17 окт.) | Подтверждено (компания) |
| Число людей | Объявлено в записях; число людей не указано | Не указано |
| Основные сведения (имя, дата рождения, адрес, телефон, email и др.) | База данных, где они хранятся, могла быть затронута | Возможно (компания) |
| Данные аутентификации участника (ID участника, пароль и др.) | То же | Возможно (компания) |
| Финансовые сведения (номер счёта, название отделения, имя владельца счёта и др.) | То же | Возможно (компания) |
| Ответы на опросы (годовой доход, профессия, сведения об участнике и др.) | То же | Возможно (компания) |
| Какие данные утекли на самом деле | Выясняется | Расследуется |
| Данные банковских карт, My Number | Не хранятся | Не входят (компания) |
| Как хранились пароли | Не указано | Не указано |
| Что изменило «изменение» базы данных | В хронологии сказано «просмотр и изменение», но не сказано, что было изменено | Не указано |
| Другие системы компании, кроме Qzoo | Несанкционированного доступа не обнаружено | Не обнаружено (компания) |
| Причина в общих чертах | Проникновение через уязвимость в системе компании | Подтверждено (компания) |
| Подробности причины, предотвращение повторения | Расследуется с внешними специалистами | Расследуется |
| Использованы ли данные злоумышленниками | Не указано | Не указано |
| Возобновление сервиса | Возобновится после подтверждения безопасности; прогноз будет объявлен, когда станет известен | Расследуется |
Как читать: «возможно» и «записи»
В уведомлении сказано, что могла быть затронута база данных, где хранятся четыре вида сведений; какие данные утекли на самом деле, ещё выясняется. Там не говорится, что утечка подтверждена. Цифра около 400 000 — это «все хранившиеся записи», и уведомление не объясняет, как она соотносится с числом людей, например с учётом повторных регистраций или бывших участников.
Для чего может быть использовано сочетание данных, которые могли утечь
Ниже описано, для чего в общем случае может быть использовано сочетание данных из охвата. Компания не сообщала, что что-либо из этого произошло в данном инциденте.
Адрес почты + пароль
↓→
Ту же пару могут попробовать на других сервисах
→ Смените повторно используемые пароли / включите двухэтапную проверку для почты
Имя + номер счёта, отделение, имя владельца
↓→
Поддельные контакты от имени банка или полиции, способные назвать ваш зарегистрированный счёт
→ Никогда не сообщайте PIN-коды, данные для входа и коды / проверяйте операции по счёту
Адрес + дата рождения + доход, профессия
↓→
Поддельные проверки личности или предложения, подогнанные под вашу ситуацию, в том числе по почте или телефону
→ Знание ваших данных не делает отправителя настоящим
Заявлено, что не входит
- Данные банковских карт (не хранятся)
- My Number (не хранится)
- Другие системы компании, кроме Qzoo (несанкционированного доступа не обнаружено)
Могли утечь (расследуется)
- Имя, дата рождения, адрес, номер телефона, адрес электронной почты и др.
- ID участника, пароль и др.
- Номер счёта, название отделения, имя владельца счёта и др.
- Ответы на опросы, например о годовом доходе и профессии
В прошлом случае с другим опросным сайтом, infoQ, цифра «до» из первого сообщения была заменена подтверждённой цифрой во втором сообщении. Это не значит, что здесь произойдёт то же самое. Таблица в этой статье будет переписана, когда будет опубликовано продолжение.
Для тех, кто управляет сервисами, хранящими банковские реквизиты участников
Особенность этого инцидента в том, что банковские реквизиты, ответы на опросы, например о годовом доходе, и данные для входа — всё это попало в охват, который мог быть затронут. В хронологии компания говорит, что база данных была просмотрена и изменена с помощью SQL-инъекции. Где находилась уязвимость, она не сообщила, поэтому пункты ниже носят общий характер для сервисов того же типа.
Храните банковские реквизиты отдельно от данных участников и с отдельными правами
Как правило, такие чувствительные данные, как банковские реквизиты, хранятся в отдельной от профилей участников и ответов на опросы базе данных (или в отдельной зашифрованной области) и доступны для чтения только процессу выплат. Если учётная запись, которая обслуживает страницы сайта, может читать и банковские реквизиты, одна уязвимая точка входа раскрывает всё.
Пишите все запросы к базе данных, не встраивая значения в SQL
SQL-инъекция — общее название уязвимостей, при которых ввод обрабатывается как часть самого SQL-запроса (см. Что такое SQL-инъекция?). Как правило, стандартизируйте использование плейсхолдеров (параметризованных запросов) и включите в инвентаризацию старые страницы и функции администрирования.
Сделайте необычные массовые чтения и записи обнаружимыми
Согласно уведомлению компании, от начала несанкционированного доступа (8:30) до его обнаружения (18:44) прошло около 10 часов. Как правило, практичный первый шаг к сокращению времени до обнаружения — журналировать число строк, прочитанных за запрос, всплески ошибок и записи в таблицы, которые обычно не меняются, и оповещать сотрудников при превышении порогов.
Источники (публичные сведения)
Факты в этой статье основаны на следующих публичных источниках. Нераскрытые методы и подробности причины не домысливаются.
- Monitas Inc., извинения и уведомление о возможной утечке персональных данных в результате несанкционированного доступа к опросному сайту Qzoo (21 октября 2026 года, на японском языке) — monitas.co.jp
- Qzoo (Monitas Inc.), то же уведомление для участников (от 21 октября 2026 года; проверено 28 октября, на японском языке) — qzoo.jp
- Monitas Inc., уведомления о реакции на уязвимость PHP (23, 25 и 26 октября 2026 года; не связаны с этим инцидентом, на японском языке) — monitas.co.jp
- Японская банковская ассоциация, предупреждение о поддельных сайтах и выдаче себя за её сотрудников (общие рекомендации, на японском языке) — zenginkyo.or.jp
- Национальное полицейское агентство, предупреждение о несанкционированных снятиях с банковских счетов через сервисы безналичной оплаты (общие рекомендации, на японском языке) — npa.go.jp
История обновлений
2026-10-28: Первая версия, основанная на уведомлении Monitas от 21 октября. Компания говорит, что сообщит результаты расследования, новые факты и прогноз возобновления сервиса, как только они станут известны; статья будет обновлена после их публикации.
Читайте далее
- Другой инцидент с опросным сайтом: утечка на опросном сайте infoQ
- Другой случай, когда могли утечь данные банковских счетов: утечка в Lashinbang (номера документов, удостоверяющих личность, и банковские счета для выплат)
- Пароли: Как проверить, не утекал ли ваш пароль / Выбор менеджера паролей
- Двухэтапная проверка: Начало работы с многофакторной аутентификацией
- Мошенничество после утечки: Что такое фишинг?
- Для операторов: Что такое SQL-инъекция?
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)