Для кого: людей, зарегистрированных в сервисах Tin Pan Alley в Японии (по сообщениям прессы, RAGTAG и других) или пользовавшихся ими, а также всех, кто ведёт сервис с данными участников. Статья основана на официальном уведомлении World Co., Ltd. и не описывает методы атак.
В развитии: статья будет обновляться по мере публикации новых данных организацией
- Кого это касается
людей, зарегистрированных в сервисах Tin Pan Alley в Японии (по сообщениям прессы, RAGTAG и других) или пользовавшихся ими, а также всех, кто ведёт сервис с данными участников.
- ПодтвержденоСмотреть таблицу ↓
- Несанкционированный доступ
- Обнаружение и блокировка
Названо как возможно затронутое
- Количество записей
- Имя, адрес, телефон
- Дата рождения, пол
Ещё 1
- Адрес электронной почты
- Пока не подтверждено
- Какие участники и сколько их затронуто
- Какие сервисы или бренды затронуты
- Причина и способ проникновения
Ещё 2
- Когда придут индивидуальные письма и от какого отправителя
- Какие данные действительно покинули компанию
- Что сделать сейчасСмотреть шаги ↓
- Не переходите по ссылкам и не выполняйте указания из писем, SMS и звонков от имени RAGTAG и подобных
- Никогда не называйте пароли и номера карт
- Проверьте сервисы, которые подтверждают вашу личность по дате рождения
Ещё 3
- Если вы используете один пароль в разных местах, разделите их
- Некоторое время будьте осторожны со звонками и SMS с незнакомых номеров и с почтой
- Оценивайте письмо компании по содержанию, а не по отправителю, и пользуйтесь контактом из официального уведомления
- Где проверить (источник)Все источники ↓
- World Co., Ltd., «Извинения и уведомление о возможной утечке персональных данных из-за несанкционированного доступа в консолидированной дочерней компании» (30 октября 2026, PDF, на японском)
- Последняя проверка
- По состоянию на 1 ноября 2026 года
Планы обновлений и что мы проверили
World говорит, что подробности о затронутых участниках и число записей уточняются и что, когда будет готово, она оперативно объявит об этом уведомлением на сайте и индивидуальными письмами участникам. Она сообщает, что привлечёт внешних специалистов по безопасности для расследования и примет меры по предотвращению повторения с учётом результатов и их рекомендаций.
Что участникам нужно сделать сегодня
Не переходите по ссылкам и не выполняйте указания из писем, SMS и звонков от имени RAGTAG и подобных
Данные, которые могли утечь, могут включать записи, где имя, адрес, телефон и адрес электронной почты указаны вместе (в уведомлении не сказано, что в каждой записи есть все шесть пунктов). С такими записями можно составить сообщение, где ваши имя и адрес указаны верно.
Если приходит сообщение о «купоне в качестве извинения», «повторном подтверждении данных участника» или «выплате за выкуп вещей», не открывайте его ссылки. Откройте официальный сайт или приложение сами и проверьте там. То же относится к поддельным SMS (смишинг). О том, как их отличить, см. Что такое фишинг.
Никогда не называйте пароли и номера карт
В уведомлении сказано, что утечка данных кредитных карт и иных платёжных данных не подтверждена. Пароли не входят в перечень данных, которые могли утечь, но в уведомлении не сказано, что они исключены.
Тот, кто верно называет ваши имя и адрес, ничего этим не доказывает: именно эти данные могли утечь. Если под предлогом извинения или возврата денег просят номер карты или пароль, сразу считайте это подделкой.
Проверьте сервисы, которые подтверждают вашу личность по дате рождения
В отличие от адреса электронной почты, дату рождения изменить нельзя. Многие банки, магазины и мобильные операторы используют её как ответ при обращении к ним или сбросе аккаунта.
Проверьте, не использовали ли вы дату рождения как пароль или ответ на секретный вопрос, и замените её, если использовали. Включите многофакторную аутентификацию вместо того, чтобы полагаться только на пароль: тогда злоумышленнику, знающему вашу дату рождения, будет сложнее.
Если вы используете один пароль в разных местах, разделите их
Пароли не входят в перечень из уведомления, поэтому из-за одного этого инцидента менять нечего. Но адреса электронной почты часто служат логинами, а повторно используемый пароль позволяет одной утечке распространиться на другие сервисы.
Реалистичный способ навести порядок — менеджер паролей. Проверить, попадал ли повторно используемый пароль в прошлые утечки, можно по статье Как проверить, утекал ли ваш пароль.
Некоторое время будьте осторожны со звонками и SMS с незнакомых номеров и с почтой
Номера телефонов и адреса трудно изменить. Мошеннические звонки, SMS и письма могут приходить некоторое время, под предлогами, не связанными с этим инцидентом.
Включённые на телефоне фильтры спам-звонков и спам-сообщений уменьшают число доходящих сообщений (см. основы безопасности смартфона).
Оценивайте письмо компании по содержанию, а не по отправителю, и пользуйтесь контактом из официального уведомления
Компания говорит, что готовит индивидуальные письма участникам, но в уведомлении нет адреса отправителя и сроков. Имя отправителя можно подделать, поэтому даже если письмо пришло, не входите в аккаунт и ничего не вводите по ссылке из него. Сверьте его с уведомлением на официальном сайте World.
В уведомлении указан контакт World Co., Ltd. (тел. +81-3-6887-1300). Это контакт, напечатанный в уведомлении; по состоянию на 1 ноября 2026 года в нём не сказано, создана ли отдельная линия для участников. Пользуйтесь контактом с официального сайта, а не номером или URL из полученного вами сообщения.
Что произошло (из уведомления World)
30 октября 2026 года World Co., Ltd. опубликовала «Извинения и уведомление о возможной утечке персональных данных из-за несанкционированного доступа в консолидированной дочерней компании». Всё ниже основано на этом уведомлении.
17 октября 2026 (сб), около 14:51
Третья сторона осуществила несанкционированный доступ к бизнес-серверу Tin Pan Alley извне, включая вторжение на сервер и операцию по извлечению данных.28 октября (ср), около 12:08
Обнаружена неправомерная операция, сервер изолирован.К 21:36 28 октября
Чтобы предотвратить дальнейший ущерб, заблокирован путь доступа и остановлены некоторые связанные внутренние бизнес-системы. После блокировки подтверждено, что путь больше нельзя использовать.29 октября (чт)
Обращение в полицию и уведомление Комиссии по защите персональных данных Японии.30 октября
Опубликованы извинения и уведомление.
- Организация
- Tin Pan Alley Co., Ltd., консолидированная дочерняя компания World (бизнес-сервер). По сообщениям прессы, управляет брендом RAGTAG и другими. В самом уведомлении нет названия сервиса или бренда
- Количество
- Данные участников — всего около 1,2 млн записей. Затронутые участники и подробности подсчёта уточняются
- Данные, которые могли утечь
- Имя, адрес, телефон, дата рождения, пол, адрес электронной почты
- Утечка не подтверждена
- Данные кредитных карт и иные платёжные данные; данные лица
- Причина
- Не раскрыта. В уведомлении сказано, что третья сторона получила несанкционированный доступ, включая вторжение и операцию по извлечению данных
- Меры
- Сервер отключён от внешних сетей, остановлены некоторые связанные внутренние бизнес-системы. Будут привлечены внешние специалисты по безопасности для расследования и приняты меры по предотвращению повторения. Готовятся уведомление на сайте и индивидуальные письма участникам
- Влияние на результаты
- Оценивается
Как читать: около 1,2 млн записей не означает 1,2 млн человек
В уведомлении сказано: «данные участников — всего около 1,2 млн записей», а затронутые участники и подробности подсчёта уточняются. Оно не объясняет, что именно считает эта сумма, поэтому неясно, является ли она числом людей. В этой статье она тоже не названа числом людей.
Что известно и что пока неизвестно
Это состояние на 1 ноября 2026 года. Когда появится больше сведений, столбец статуса будет обновлён.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Несанкционированный доступ | Произошёл около 14:51 17 октября, с вторжением и операцией по извлечению данных | Подтверждено (компания) |
| Обнаружение и блокировка | Обнаружено и изолировано около 12:08 28 октября; путь заблокирован к 21:36 того же дня | Подтверждено (компания) |
| Количество записей | Около 1,2 млн записей данных участников (затронутые участники и число уточняются) | Могли утечь (компания) |
| Имя, адрес, телефон | Данные, которые могли утечь | Могли утечь (компания) |
| Дата рождения, пол | Данные, которые могли утечь | Могли утечь (компания) |
| Адрес электронной почты | Данные, которые могли утечь | Могли утечь (компания) |
| Данные кредитных карт и иные платёжные данные, данные лица | Утечка не подтверждена | Не подтверждено (компания) |
| Пароли | Не входят в перечень | Не указано |
| Затронутые сервисы или бренды | В уведомлении не указаны | Расследуется |
| Ущерб от использования данных | В уведомлении не указан | Не указано |
| Причина и способ проникновения | Не указаны; внешние специалисты проведут расследование | Расследуется |
| Индивидуальное обращение к участникам | Индивидуальные письма готовятся; сроки и отправитель не объявлены | Расследуется |
Что может произойти, когда вместе есть имя, адрес, телефон, дата рождения и e-mail
Как правило, такие данные используются описанными ниже способами. Это не значит, что так произошло здесь; это то, что позволяет сочетание.
Имя + адрес + e-mail
↓→
Поддельные письма с извинениями или счётом и почта с вашими верными именем и адресом
→ Не открывайте ссылки / проверяйте на официальном сайте
Имя + телефон
↓→
Поддельные SMS и звонки с использованием вашего имени
→ Не называйте пароли и номера карт / используйте спам-фильтры
Имя + дата рождения + адрес
↓→
Выдача себя за вас, чтобы пройти проверку личности в службах поддержки
→ Многофакторная аутентификация / пересмотр ответов для проверки личности
Утечка не подтверждена, по уведомлению
- Данные кредитных карт и иные платёжные данные
- Данные лица
Могли утечь
- Имя и адрес (трудно изменить)
- Телефон (непросто изменить)
- Дата рождения и пол (изменить нельзя)
- Адрес электронной почты (можно изменить, но это хлопотно)
«Не подтверждено» не означает «отныне в безопасности»
То, что утечка данных карт не подтверждена, — результат расследования на момент уведомления. Дата рождения или адрес часто остаются прежними годами, поэтому их можно использовать в сообщениях через месяцы или годы. Некоторое время оставайтесь настороже к сообщениям, использующим этот инцидент как предлог.
Для тех, кто ведёт сервисы с данными участников
Причина не раскрыта, поэтому этот раздел ограничивается тем, что подсказывают раскрытая хронология и перечень данных. О том, как действовали в сопоставимых случаях, см. случай MrMax и случай приложения MUJI.
Научитесь определять по собственным журналам, сколько дней прошло между вторжением и обнаружением
Согласно уведомлению, доступ был 17 октября, а обнаружение — 28 октября, то есть с разницей около 11 дней. Путь был заблокирован в день обнаружения. Чем дольше обнаружение, тем больше данных можно извлечь, поэтому сначала настройте журналы и оповещения, замечающие чтение больших объёмов данных с бизнес-сервера.
Первый шаг: ежечасно записывайте, сколько строк читается и сколько данных передаётся с сервера, где хранятся данные участников, и отправляйте оповещение на чей-либо телефон, когда значения сильно отличаются от обычных (см. ограничение частоты запросов и борьба со злоупотреблениями).
Проверьте, не лежат ли данные участников нескольких брендов на одном бизнес-сервере
В уведомлении сказано, что затронутые участники и подробности подсчёта около 1,2 млн записей ещё уточняются. Когда данные участников нескольких сервисов находятся на одном сервере, один взлом расширяет охват и замедляет выяснение того, кто затронут.
Заранее решите не хранить данные, без которых бизнес может обойтись, например дату рождения или пол, и удалять данные после выхода участников. Это уменьшит охват утечки.
Источники (публичные материалы)
Факты в этой статье взяты из приведённой ниже публичной информации. Мы не гадаем о нераскрытых методах вторжения и причинах.
- World Co., Ltd., «Извинения и уведомление о возможной утечке персональных данных из-за несанкционированного доступа в консолидированной дочерней компании» (30 октября 2026, PDF, на японском) — corp.world.co.jp
- Пресса (использована, чтобы подтвердить, что дочерняя компания управляет RAGTAG и другими): WWD JAPAN (30 октября 2026, на японском) / Nikkei (в тот же день, на японском)
История обновлений
2026-11-01: первое сообщение на основе уведомления World от 30 октября. Компания говорит, что уточняет затронутых участников и число записей и объявит больше, когда будет готово. Мы обновим статью, когда это произойдёт.
Читайте далее
- Подготовка к сопутствующему мошенничеству: Что такое фишинг / Основы безопасности смартфона
- Пароли: Выбор менеджера паролей / Как проверить, утекал ли ваш пароль
- Другие японские случаи в рознице и приложениях примерно в то же время: приложение и интернет-магазин MrMax / приложение MUJI (до 27,26 млн) / приложение Matsuya (около 2,38 млн)
- Другие инциденты 2026 года: Утечки данных и кибератаки (Япония и зарубежные страны)