Для кого: участники программы Seicomart Club в Японии, которые когда-либо регистрировались в приложении Seicomart (люди, покинувшие программу Club Card до 24 сентября, не затронуты), а также для всех, кто управляет приложением для участников программы. Статья основана на официальных уведомлениях Seicomart Co., Ltd. и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых сведений компанией
По состоянию на 7 октября 2026 годаПока неизвестно
- Причина (как произошёл доступ)
- Меры по предотвращению повторения
- Когда вернётся вход в приложение
- Когда вернётся вход участников на сайт интернет-магазина и сайты бронирования
Компания говорит, что всё ещё проводит расследование с участием сторонней фирмы и не раскрывает подробностей, поскольку работает с полицией и другими органами. Она сообщает, что опубликует причину и меры предотвращения на своём сайте, когда они будут установлены.
Что участники должны сделать сегодня
Проверьте уведомления в приложении, чтобы узнать, затронуты ли вы
С 5 октября компания через уведомления в приложении сообщает каждому участнику приложения, попали ли его данные в охват. Проверяйте в официальном приложении, которое вы открываете сами, а не в письме или SMS, которое обещает вам это сообщить.
Если вы не можете войти в приложение, компания просит использовать пластиковую карту Pecoma. Если карты нет, подождите восстановления входа или получите перевыпуск карты Pecoma в магазине и обратитесь в стойку программы Club Card (0120-515-413, с понедельника по субботу, 9:00–17:00). Если в приложении проверить, затронуты ли вы, невозможно, обратитесь в службу поддержки (0120-89-8551).
Не переходите по ссылкам и не выполняйте инструкции из писем, SMS или звонков, которые выдают себя за компанию
Открытые данные объединяют фамилию и имя, адрес, дату рождения, номер телефона и адрес электронной почты. Имея всё это, мошенник может отправить сообщение с правильным именем и правильным адресом.
Если вы получили сообщение о «баллах в качестве извинения», «повторной регистрации данных участника» или «проверке баланса Peco Mama Money», не открывайте ссылку; откройте официальное приложение сами или уточните в магазине. Так же нужно поступать с поддельными SMS (смишинг) и звонками, которые пытаются выманить личные данные (см. Что такое фишинг?).
Никогда никому не сообщайте PIN-код, пароли или данные карт
Компания говорит, что она никогда и никаким способом не будет запрашивать данные кредитных карт, пароли или PIN-коды (персональные идентификационные номера). Это относится к звонкам и SMS, а не только к электронной почте.
Если звонящий знает ваше имя и дату рождения, это не доказывает, что он настоящий. Именно эти данные и были просмотрены.
Перестаньте использовать дату рождения как PIN-код или ответ при проверке личности
Дату рождения часто используют как PIN-код карты, ответ на контрольный вопрос и для проверки личности по телефону. В этом инциденте дата рождения была просмотрена вместе с адресом и номером телефона.
Если PIN-код карты Pecoma, банковской карты или любого другого сервиса содержит цифры вашей даты рождения, смените его на не связанное с вами число. Если сервис позволяет задать кодовую фразу или дополнительную проверку для звонков в поддержку, установите её.
Если вы используете тот же пароль в других сервисах, разделите их
Компания говорит, что данные паролей не были похищены, и не просит участников менять пароли. По состоянию на 7 октября функция входа в приложение всё ещё ожидает восстановления.
Однако если вы используете тот же пароль в других сервисах, разделите их уже сейчас. Реалистичный способ составить список — менеджер паролей.
Следите за балансом Peco Mama Money на предмет неожиданного уменьшения
Компания говорит, что злоупотреблений Peco Mama Money не обнаружено. Она сообщает, что пользоваться и пополнять Peco Mama Money, копить баллы и покупать по ценам для участников по-прежнему можно.
Если вы заметили уменьшение баланса, которое не можете объяснить, например по чеку, позвоните в службу поддержки (0120-89-8551, с понедельника по субботу, 9:00–17:00). Используйте номер с официального сайта, а не номер из полученного вами сообщения.
Что произошло (по уведомлениям Seicomart)
Seicomart Co., Ltd. опубликовала первое и второе уведомления 29 сентября 2026 года, третье — 30 сентября и четвёртое — 5 октября. Всё ниже приведено так, как указано в уведомлениях компании.
24 сентября 2026 (чт), 22:00–23:00
У одного аккаунта было несанкционированно аннулировано членство в программе Club Card. Несанкционированных аннулирований на других аккаунтах не выявлено.28 сентября (пн), чуть позже 17:00
Из этого случая компания установила, что к серверу участников, возможно, был получен несанкционированный доступ.28 сентября, 20:00
Было прекращено подключение к серверу. Приостановлены регистрация новых пользователей, изменение данных участников, изменение зарегистрированных карт, аннулирование и вход в «Мою страницу».29 сентября
Первое уведомление (около 570 000 аккаунтов) и второе уведомление (история покупок не похищена; вход на сайт интернет-магазина и сайты бронирования приостановлен).30 сентября
Третье уведомление: компания подтвердила, что данные 572 022 человек были просмотрены, и сообщила об инциденте в органы власти в соответствии с японским Законом о защите персональной информации.5 октября
Четвёртое уведомление: затронуты 574 647 человек, не считая тех, кто покинул программу до 24 сентября. Компания начала через уведомления в приложении сообщать каждому участнику приложения, затронут ли он, и прекратила работу функций приложения и сайта для изменения данных участников и аналогичных задач.
- Кто
- 574 647 человек среди участников программы Club, зарегистрированных в приложении Seicomart. Люди, покинувшие программу Club Card до 24 сентября, и люди, которые никогда не регистрировались в приложении, не затронуты
- Просмотренные данные
- Фамилия и имя, пол, дата рождения, адрес, номер телефона, адрес электронной почты, дата вступления в программу Club Card, дата выхода из программы Club Card
- Не похищено
- Данные паролей и история покупок. Компания не хранит данные кредитных карт
- Как проверить, затронуты ли вы
- С 5 октября каждый участник приложения получает сообщение через уведомления в приложении
- Электронные деньги
- Злоупотреблений Peco Mama Money не выявлено
- Причина
- Не раскрыта. Расследование проводится с участием сторонней фирмы; подробности не раскрываются, поскольку компания работает с полицией и другими органами
- Прекращённые функции
- Регистрация новых пользователей, просмотр и изменение данных участников, изменение зарегистрированных карт в приложении и на сайте. Запросы теперь принимаются в магазине или через форму в приложении или на сайте, а изменения вносит компания
- Приостановлено
- Вход в приложение (ожидает восстановления), официальный интернет-магазин, сайт заказов Pecoma Market, вход участников на сайт бронирования товаров (даты возобновления будут объявлены)
- Если не можете войти
- Используйте пластиковую карту Pecoma. Если карты нет, получите перевыпуск в магазине и обратитесь в стойку программы Club Card (0120-515-413, с понедельника по субботу, 9:00–17:00)
- Контакты
- Служба поддержки Seicomart, 0120-89-8551 (с понедельника по субботу, 9:00–17:00, Япония)
Пояснения для участников
Согласно второму уведомлению, баллы, срок действия которых истекал в конце сентября, продлены на один месяц. Заказы Pecoma Market по-прежнему можно оформить на многофункциональных копировальных аппаратах в магазинах. Сайт бронирования товаров принимает бронирования гостей, без входа участника.
Что известно, а что нет
Статус по состоянию на 7 октября 2026 года. Когда будет опубликовано следующее уведомление, мы обновим колонку статуса.
| Позиция | Что говорят уведомления | Статус |
|---|---|---|
| Количество затронутых | 574 647 участников программы Club, зарегистрированных в приложении | Подтверждено (по данным компании) |
| Просмотренные данные | Имя, пол, дата рождения, адрес, номер телефона, адрес электронной почты, дата вступления, дата выхода | Подтверждено |
| Люди, покинувшие программу до 24 сентября | Не включены | Подтверждено |
| Пароли и история покупок | Не похищены | Подтверждено (по данным компании) |
| Данные кредитных карт | Никогда не хранились | Подтверждено |
| Затронут ли вы | Каждый участник приложения получает уведомление через приложение с 5 октября | Уведомления рассылаются |
| Злоупотребления Peco Mama Money | Не выявлено | Не выявлено |
| Причина и способ доступа | Расследование с участием сторонней фирмы; подробности не раскрываются, так как компания работает с полицией | Расследуется |
| Меры предотвращения | Будут опубликованы на сайте, когда станут известны | Не раскрыты |
| Изменение данных участников и регистрация новых пользователей | Функции приложения и сайта прекращены; запросы принимаются в магазине или через форму | Подтверждено |
| Вход в приложение | Участникам предложено ждать его возобновления; дата не указана | Не определено |
| Вход участников на сайт интернет-магазина и сайты бронирования | Приостановлен; даты возобновления будут объявлены | Не определено |
Как открытые данные могут использоваться в комбинации
Ни один из этих данных сам по себе не редкость, но вместе они становятся более полезными для мошенника. Особенно дата рождения вместе с адресом и номером телефона облегчает прохождение проверки личности в других компаниях.
Имя + адрес + телефон + почта
↓→
Мошеннические письма, SMS и звонки с вашими верными данными
→ Не открывайте ссылки; проверяйте в официальном приложении или в магазине
Дата рождения + адрес + телефон
↓→
Проверки личности по телефону в других компаниях; PIN-коды из даты рождения
→ Смените PIN-код; задайте кодовую фразу
Даты вступления и выхода
↓→
Сообщения, которые ссылаются на историю вашего членства
→ Знание вашей истории не делает звонящего настоящим
Не похищено, по словам компании
- Данные паролей
- История покупок
- Данные кредитных карт (никогда не хранились)
Просмотрено (трудно изменить самостоятельно)
- Имя, пол и дата рождения
- Адрес и номер телефона (если вы не переехали и не сменили номер)
- Адрес электронной почты (можно изменить, но это хлопотно)
Как понимать: «злоупотреблений не выявлено» не значит «безопасно с этого момента»
Компания говорит, что злоупотреблений Peco Mama Money не выявлено. Это значит, что пока ничего не обнаружено, а не то, что просмотренные данные никогда не будут использованы.
Адреса и даты рождения со временем не меняются, поэтому их могут использовать в мошеннических сообщениях через месяцы или годы. Будьте внимательны к сообщениям, которые используют этот инцидент как повод связаться с вами.
Затронутые люди — участники программы Club, которые «зарегистрированы» в приложении; люди, покинувшие программу Club Card до 24 сентября, не включены. Даже если вы больше не пользуетесь приложением, стоит проверить через уведомления в приложении или службу поддержки, затронуты ли вы. Правила японского законодательства о защите личных данных, которые позволяют требовать от компании прекратить использование или удалить ваши данные, описаны в статье Утечка данных Times Car.
Для тех, кто управляет приложениями для участников
Согласно уведомлению, доступ был получен через сервер приложения к серверу с данными участников. Конкретный метод не раскрыт, поэтому этот раздел опирается только на пункты, которые может проверить любой сервис с похожей архитектурой.
Ограничьте, что сервер приложения может читать из базы данных участников
Экрану приложения обычно нужны только собственные данные вошедшего участника. Проверьте, есть ли у сервера приложения разрешение читать сразу адреса и даты рождения всех участников.
Установите ограничения и на стороне приложения, и на стороне базы данных: возвращайте только записи самого участника и ограничьте количество записей, которое может вернуть один запрос (справочно: Аутентификация и авторизация).
Умейте замечать необычные операции, которые меняют статус участника
Инцидент выявили, потому что членство одного аккаунта было аннулировано без разрешения. Операции, которые меняют статус участника — аннулирование, замена зарегистрированной карты, изменение контактных данных — случаются редко, поэтому необычная активность заметна.
Первый шаг — вести учёт таких операций в час и уведомлять ответственного, когда их число в несколько раз превышает обычный уровень. Установка лимитов и оповещений при их достижении описана в статье Ограничение частоты запросов и контроль злоупотреблений.
Определите, как долго хранить личные данные бывших участников
Составьте список данных, которые нужно хранить по юридическим или бухгалтерским причинам и на какой срок, а всё остальное автоматически удаляйте через установленный период после выхода участника. Ручное удаление не работает надёжно.
Сравнение с другими крупными японскими утечками, раскрытыми в этом году, см. в статье Крупные утечки данных в Японии в 2026 году.
Источники (открытые публикации)
Факты в этой статье взяты из следующих открытых источников. Мы не строим предположений о нераскрытых методах или причинах вторжения.
- Seicomart Co., Ltd., извинения и уведомление о возможной утечке персональных данных в результате несанкционированного доступа к приложению Seicomart (первое уведомление, 29 сентября 2026 года, на японском языке) — secoma.co.jp (PDF)
- То же (второе уведомление, 29 сентября 2026 года: история покупок не похищена; сайт интернет-магазина и сайт бронирования приостановлены, на японском языке) — secoma.co.jp (PDF)
- То же (третье уведомление, 30 сентября 2026 года: просмотр подтверждён; сообщение в органы власти, на японском языке) — secoma.co.jp (PDF)
- Seicomart Co., Ltd., извинения и уведомление о просмотре персональных данных в результате несанкционированного доступа к приложению Seicomart (четвёртое уведомление, 5 октября 2026 года: затронуты 574 647 человек; покинувшие до 24 сентября не включены; уведомление в приложении; функции прекращены, на японском языке) — secoma.co.jp (PDF)
- Официальный сайт Secoma, страница уведомлений с первым–четвёртым уведомлениями (на японском языке) — secoma.co.jp
- INTERNET Watch, сообщение о возможной утечке данных около 570 000 аккаунтов участников (29 сентября 2026 года, на японском языке) — internet.watch.impress.co.jp
История обновлений
2026-10-03: Первая версия, основанная на первом и втором уведомлениях Seicomart (29 сентября) и третьем уведомлении (30 сентября).
2026-10-07: Обновлено по четвёртому уведомлению от 5 октября. Количество затронутых изменилось с 572 022 на 574 647; добавлено, что люди, покинувшие программу до 24 сентября, не включены, что участников уведомляют в приложении, затронуты ли они, и что функции приложения и сайта для изменения данных участников и аналогичных задач прекращены. Статья будет обновлена, когда будут опубликованы причина, меры предотвращения и даты возобновления приостановленных сервисов.
Читайте дальше
- Похожий случай: Утечка из приложения Yakiniku King (около 10,79 млн записей) / Утечка данных участников Bookoff (до около 6,43 млн записей)
- Мошенничество после утечек: Что такое фишинг? / Основы безопасности смартфона / Фальшивые предупреждения о вирусах (мошенничество с техподдержкой)
- Пароли: Выбор менеджера паролей / Выбор многофакторной аутентификации
- Другие японские инциденты в то же время: Утечка данных Times Car / Крупные утечки данных в Японии в 2026 году
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций
- Вредоносное ПО на ПК подрядчика Daiichikosho (около 8,72 млн записей)