Для кого: для всех, кто покупал или вводил данные в интернет-магазине APORITO компании RIZAP в период с 1 мая по 5 августа 2026 года, а также для владельцев интернет-магазинов. Статья основана на официальных уведомлениях RIZAP Co., Ltd. и не описывает методы атак.
Что клиенты должны сделать сегодня
Проверьте, затронуты ли вы: учитываются и те, кто не завершил заказ
Затронутыми считаются те, кто оформлял заказ или вводил данные в интернет-магазине APORITO в период с 1 мая по 5 августа 2026 года. Ввод данных без завершения заказа тоже считается.
8 августа компания отправила письма людям, чьи данные карт могли утечь. Сначала поищите в почте «APORITO». Если ничего не нашли, но помните, что пользовались магазином в этот период, всё равно выполните шаги ниже.
Проверьте выписки по картам и сразу сообщите эмитенту о неизвестных списаниях
Компания просит клиентов продолжать проверять выписки по картам на предмет операций, которые они не узнают. Если такая операция есть, позвоните эмитенту по номеру на обороте карты.
Эмитенты карт, как правило, покрывают мошеннические операции, но существует срок подачи заявления (например, JCB требует уведомить в течение 60 дней с даты выписки, где отражено списание). Мелкие списания легко пропустить, поэтому проверяйте и незнакомые списания на несколько сотен иен.
Попросите эмитента заменить номер карты (перевыпуск)
Компания описывает блокировку или перевыпуск карты (смену номера) как эффективный способ предотвратить вторичный ущерб и оставляет решение за каждым клиентом. Этот сайт рекомендует сменить номер всем, кто использовал карту в магазине в указанный период.
Обоснование приведено в следующем разделе; коротко: код безопасности входит в число данных, которые могли утечь. Компания заявляет, что сообщит, как будут оплачены расходы на перевыпуск и подобные издержки, после завершения расследования.
После замены карты обновите сервисы, которые на неё списываются
Коммунальные платежи, тарифы мобильной связи, подписки и другие услуги, которые автоматически списывают деньги со старого номера, перестанут работать, пока вы не переведёте их на новый. Перед запросом перевыпуска составьте список регулярных платежей по выписке, чтобы ничего не пропустить.
Не отвечайте на звонки и сообщения, которые выдают себя за компанию, полицию или эмитента карты
Поскольку имя, адрес, телефон и адрес электронной почты могли стать известны, мошенник может написать поддельные сообщения, которые выглядят настоящими. Компания предупреждает о звонках, письмах и сообщениях, которые выдают себя за неё, полицию или другие государственные органы либо эмитентов карт, чтобы выманить PIN-код или персональные данные, и заявляет, что никогда не будет запрашивать у клиентов PIN-код.
Не открывайте ссылки о «порядке возврата средств» или «повторной регистрации карты». Если нужно что-то проверить, звоните по официальному номеру, который вы нашли сами (см. Что такое фишинг?).
Если вы больше не будете пользоваться магазином, запросите удаление данных
Компания принимает запросы на удаление данных и ответит каждому индивидуально после проверки вашего использования сервиса и статуса регистрации. Запросы направляйте на специальный адрес электронной почты, указанный в конце уведомления.
Некоторые данные, возможно, придётся сохранить на определённый срок для расследования или по правовым причинам, но получить ответ о том, что остаётся и до какого времени, стоит уже само по себе.
Почему этот сайт рекомендует сменить номер карты
Случаи, когда обычно достаточно проверки выписок
- Утекла только часть номера карты
- Срок действия и код безопасности не входили в данные
- Любое злоупотребление ограничивалось бы мелкими списаниями, которые легко заметить
Что здесь затронуто (по словам компании)
- Номер карты, срок действия и код безопасности вместе
- Также имя, адрес, телефон и адрес электронной почты
- Пока номер не изменён, эта комбинация остаётся пригодной для использования
При оплате онлайн номер карты, срок действия и код безопасности — это три базовых элемента, которые запрашивает страница оплаты. В Японии отраслевые правила требуют, чтобы интернет-продавцы использовали EMV 3-D Secure (аутентификацию держателя карты), поэтому дополнительные шаги проверки стали встречаться чаще. Однако не каждая операция и не каждый сайт в каждой стране требуют такой дополнительной проверки.
Проверка выписок важна, но это способ заметить проблему после того, как карту уже использовали. Смена номера делает возможно утёкшую комбинацию бесполезной с этого момента. Переключение регулярных платежей — хлопотная работа, но это безопаснее, чем месяцами не знать, когда карту могут использовать.
Как это понимать: отсутствие подтверждённых злоупотреблений не означает, что вы в безопасности
Компания заявляет, что не подтвердила ничего из следующего: злоупотреблений, вторичного ущерба или фактической утечки персональных данных. Это означает, что пока ничего не обнаружено, а не что ничего не будет использовано позже. Данные карт иногда используют спустя долгое время после кражи. Продолжайте проверять выписки как минимум несколько месяцев.
Что произошло (по уведомлениям RIZAP)
Всё ниже приведено так, как сообщила компания в официальных уведомлениях.
1 мая 2026 г.
Начало периода, в течение которого данные могли утечь.5 авг.
Компания обнаружила подозрительную программу исходящей передачи данных в системе интернет-магазина APORITO и, чтобы предотвратить дальнейший ущерб, временно закрыла сайт в 15:30 в тот же день. Затронутый период заканчивается этой датой.8 авг.
Людям, чьи данные карт могли утечь, отправили индивидуальные уведомления по электронной почте.10 авг.
Публичное извинение и отчёт. Компания сообщила, что подала предварительный отчёт в Комиссию по защите персональных данных и, как требует закон, взаимодействует с полицией и другими органами.18 авг.
Второе уведомление: расследование с участием внешней сторонней компании продолжается, магазин остаётся закрытым. Компания сообщила, что укрепляет безопасность и пересматривает мониторинг перед возобновлением работы.
- Кто
- Люди, которые оформляли заказ или вводили данные в интернет-магазине APORITO в период с 1 мая по 5 августа 2026 года
- Персональные данные
- Имя, адрес, номер телефона, адрес электронной почты
- Данные карты
- Номер карты, срок действия, код безопасности
- Число затронутых
- Не раскрыто
- Заявленная причина
- Третье лицо внедрило вредоносный скрипт; в системе обнаружена подозрительная программа исходящей передачи данных. Способ внедрения и другие технические подробности не раскрыты
- Вторичный ущерб
- Компания заявляет, что злоупотребления, вторичный ущерб или фактическая утечка персональных данных не подтверждены
- Компенсация и расходы
- Вопросы оплаты перевыпуска и политики компенсации рассматриваются; будут объявлены по электронной почте и на сайте компании
- Текущие заказы
- По словам компании, закрытие магазина не влияет на доставку; заказы будут отправлены после подтверждения наличия товара. Запросы на возврат средств направляются на специальный адрес электронной почты
Отдельное уведомление, опубликованное в тот же день
Также 10 августа RIZAP опубликовала отдельное уведомление о том, что компания, которой передана часть операционной деятельности APORITO, подверглась несанкционированному доступу со стороны программы-вымогателя, что привело к ограничению некоторых сервисов (второе уведомление вышло 14 августа). В уведомлениях компании не говорится, связаны ли эти два случая. Эта статья посвящена вредоносному скрипту в интернет-магазине.
Для операторов интернет-магазинов: отказ от хранения данных карт не защищает форму ввода от подмены
Компания не раскрыла, какие меры защиты были у неё внедрены и как попал скрипт. Этот раздел не оценивает действия компании; он описывает, как предотвратить подобный инцидент на вашем сайте.
Браузер клиента
Данные карты, введённые на странице оплаты
↓→
Платёжный провайдер
Легитимный получатель
↓→
Не хранится на ваших серверах
= то, что защищает отказ от хранения
Если вредоносный скрипт попадает в саму форму ввода, то введённое клиентом сразу отправляется и в другое место
→ Утечка происходит, даже если вы ничего не храните. Операторам нужно отслеживать, не изменена ли платёжная страница
В Японии статья 35-16 Закона о рассрочечных продажах (Installment Sales Act) обязывает предприятия, принимающие карты к оплате, включая интернет-магазины, принимать меры, необходимые для надлежащего управления номерами карт, в том числе для предотвращения утечек. Практическое руководство по этой обязанности — Правила безопасности кредитных карт (Credit Card Security Guidelines) Совета по безопасности кредитных транзакций (секретариат: Японская ассоциация потребительского кредита).
Правила указывают, что принятие перечисленных в них мер или эквивалентных либо более строгих считается выполнением «необходимых и надлежащих мер», которые требует закон.
Начиная с версии 6.0 в марте 2025 года правила добавили «меры защиты от уязвимостей» для интернет-торговцев независимо от того, хранят ли они данные карт. Указанная причина: большинство утечек сейчас происходит у интернет-торговцев, которые уже отказались от хранения данных, из-за уязвимостей веб-сайтов и подобных причин.
Версия 6.1 (март 2026 года) не меняет этого. Требуются все пять мер:
| № | Пункт правил | Что сказано (кратко) |
|---|---|---|
| 1 | Ограничить доступ к административной панели; управлять административными учётными записями и паролями | Ограничить доступ к админке по IP-адресу (или базовой аутентификацией, если это невозможно), использовать двухэтапную или многофакторную аутентификацию, блокировать учётные записи после 10 или меньше неудачных входов |
| 2 | Исправить ошибки конфигурации, открывающие каталоги с данными | Не хранить важные файлы в публичных каталогах; ограничить типы файлов и расширения, которые можно загружать |
| 3 | Устранять уязвимости веб-приложений | Регулярно проводить оценку уязвимостей или тесты на проникновение и устранять выявленное; поддерживать плагины и ПО в актуальном состоянии; проверять исходный код доработанных частей |
| 4 | Установить и использовать антивирусное ПО против вредоносных программ | Поддерживать сигнатуры (файлы определений, по которым распознаётся вредоносное ПО) в актуальном состоянии и регулярно проводить полное сканирование |
| 5 | Противодействовать вредоносным проверкам действительности карт и атакам «credit master» | Внедрить хотя бы одну из мер, перечисленных в приложении («credit master» — атака, которая механически генерирует номера карт, чтобы найти действующие) |
В приложении к правилам для интернет-торговцев говорится, что многие утечки связаны с ошибками конфигурации и уязвимостями в пакетах электронной коммерции и CMS, а также что подтверждены случаи, когда изменённые скрипты непрерывно выкрадывали то, что вводили пользователи.
Там также сказано, что торговцы, которые передают создание или эксплуатацию сайта подрядчикам, должны требовать от них понимания этих мер защиты от уязвимостей.
Мнение этого сайта: пять мер не пускают злоумышленников; добавьте также способ замечать, когда они всё же проникли
Все пять мер направлены на предотвращение проникновения или внедрения. Но при таком типе инцидента страдают все, кто ввёл данные карты до того, как кто-либо это заметил. Поэтому в целом то, насколько быстро вы заметите сбой предотвращения, определяет, сколько людей попадёт в зону риска (именно поэтому руководство IPA делает обязательным обнаружение изменения файлов).
Другие публичные стандарты уже охватывают сторону «обнаружения». Руководство IPA (Информационно-технологическое агентство продвижения, Япония) по безопасности создания и эксплуатации сайтов интернет-торговли включает в обязательные эксплуатационные требования регулярную сверку важных файлов и мониторинг с помощью инструментов обнаружения изменений сайта.
Международный стандарт индустрии платёжных карт PCI DSS с 31 марта 2025 года требует авторизации скриптов, работающих на платёжных страницах, проверки их целостности и ведения их инвентаря (требование 6.4.3), а также механизма обнаружения несанкционированных изменений платёжных страниц (требование 11.6.1).
Для небольшого интернет-магазина начните с этих трёх шагов:
Составьте список скриптов, которые загружает страница оплаты
Запишите каждый JavaScript-файл, который загружает страница оплаты, сгруппировав их по принадлежности: ваши собственные, от платёжного провайдера, аналитика или другие теги. Любой скрипт, происхождение которого никто не может объяснить: кто его добавил и зачем, — первое, что нужно проверить. Только со списком можно заметить, что скрипт был добавлен или изменён.
Сверяйте файлы сайта ежедневно и получайте оповещения об изменениях
Для файлов, из которых состоит страница оплаты (темы, шаблоны, JavaScript), запишите хеш (значение, вычисленное по содержимому файла) в известном исправном состоянии и сравнивайте раз в день. Если что-то изменилось, когда никто ничего не публиковал, оповещение уходит ответственному лицу.
Также проверьте, предлагает ли ваш хостинг или платформа интернет-торговли функцию или дополнение для обнаружения изменений. Если сервер вы администрируете сами, подход частично совпадает с тем, что описано в разделе уязвимости загрузки файлов.
Ограничьте доступ к административной панели вашей сетью и двухфакторной аутентификацией
Это сама мера 1. Если административная панель доступна из любой точки только по паролю, исправьте это в первую очередь. Если сайт поддерживает подрядчик, убедитесь, что его административный вход соответствует тем же условиям. Минимальные требования для организации изложены в статье Минимальная базовая безопасность для организаций.
Источники (открытая информация)
Факты в этой статье взяты из следующих открытых источников. Нераскрытые пути или методы проникновения не обсуждаются.
- RIZAP Co., Ltd., извинения и отчёт о несанкционированном доступе к интернет-магазину APORITO (10 августа 2026 года, на японском языке) — rizap.co.jp
- RIZAP Co., Ltd., второе уведомление по тому же инциденту (18 августа 2026 года, на японском языке) — rizap.co.jp
- RIZAP Co., Ltd., уведомления о сбое систем и приостановке сервисов в бизнесе APORITO (10 и 14 августа 2026 года, на японском языке) — rizap.co.jp / rizap.co.jp
- Закон о рассрочечных продажах (Installment Sales Act), статья 35-16 (на японском языке) — e-Gov Law Search
- Совет по безопасности кредитных транзакций, Правила безопасности кредитных карт, версия 6.1 (март 2026 года), примечания к редакции и руководство по безопасности для интернет-торговцев (приложение 20) (на японском языке) — Японская ассоциация потребительского кредита
- IPA, Руководство по созданию и эксплуатации безопасного сайта интернет-торговли (16 марта 2023 года, на японском языке) — ipa.go.jp
- PCI Security Standards Council, «New Information Supplement: Payment Page Security and Preventing E-Skimming» (10 марта 2025 года) — blog.pcisecuritystandards.org / «Guidance for PCI DSS E-commerce Requirements Effective After 31 March 2025» — blog.pcisecuritystandards.org
- Пример срока подачи заявления на компенсацию за мошенничество: JCB (на японском языке) — jcb.co.jp
История обновлений
30 сентября 2026: первая версия, основанная на уведомлении RIZAP от 10 августа и втором уведомлении от 18 августа. Компания планирует опубликовать технические результаты, политику компенсации и дату возобновления работы; статья будет обновлена после их публикации.
Читайте также
- Более новый случай того же типа: несанкционированный доступ к официальному магазину Good Smile Company (вредоносная программа на странице оплаты)
- Инцидент того же типа: программа кражи данных карт на странице оплаты PhotoGoods (Daiko Printing) (злоупотребление функцией загрузки файлов и проверка несанкционированных административных учётных записей)
- Мошенничество после утечки: Что такое фишинг?
- Стандарты для данных карт: Что такое PCI DSS? / Что такое XSS (межсайтовый скриптинг)?
- Для владельцев сайтов: Уязвимости загрузки файлов / Минимальная базовая безопасность для организаций
- Другие японские случаи этого сезона: Cariteco (Meitetsu Kyosho): программа-вымогатель и возможная утечка данных / Утечка данных Times Car
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)