Для кого: для всех, кто делал покупки в интернете в Японии (особенно если вы получили уведомление от E-store), для тех, кто ведёт магазин на ShopServe, и для зарегистрированных партнёров. Статья основана на официальных объявлениях E-store (до итогового отчёта от 16 октября 2026 года) и объявлениях затронутых магазинов и не описывает методы атаки.
Исправлено в итоговом отчёте (чем он отличается от второго)
Во втором отчёте говорилось, что идентификаторы и пароли почтовой системы и FTP магазинов, а также банковские реквизиты счетов, на которые E-store переводит деньги (счета для выплат), тоже утекли. В итоговом отчёте расследование подтвердило, что они не утекли, и их убрали из списка. Число тоже изменилось: вместо 8 853 839 записей второго отчёта (возможны дубликаты) теперь «около 23 356 000 человек» после удаления дубликатов. Единицы разные, поэтому сравнивать эти два числа нельзя.
Что покупателям нужно сделать сегодня
Проверьте, затронуты ли вы (начните с названий магазинов)
Насколько известно этому сайту, E-store не публиковала список затронутых магазинов. Проверить можно тремя способами:
- Поищите индивидуальное уведомление от E-store (компания говорит, что индивидуальные уведомления завершены)
- Посмотрите на официальных сайтах интернет-магазинов, которыми вы пользовались, объявления о несанкционированном доступе или об E-store
- Обратитесь через форму для покупателей, ссылка на которую есть в итоговом отчёте E-store
Для тех, чьи контактные данные установить не удалось, уведомлением служат публичное объявление компании и служба обращений, как она сообщает. Как минимум один затронутый магазин сообщил, что затронутые покупатели есть начиная с 2008 года. Покупка многолетней давности тоже может быть включена.
Относитесь с подозрением к сообщениям, в которых указаны реальные данные заказа или последние четыре цифры карты
В утечку вошли имена, адреса, номера телефонов, адреса электронной почты и места работы, а также имя владельца карты, первые 6 и последние 4 цифры номера карты и срок действия. Поэтому в поддельном сообщении может быть написано «ваша карта, оканчивающаяся на 1234», и данные будут верными.
E-store сообщает, что никогда не просит по электронной почте или в SMS повторно ввести данные карты, повторно оплатить или назвать пароль, и предупреждает о подозрительных письмах, SMS и звонках от имени компании или финансовых организаций. Если вы получили такое сообщение, не пользуйтесь его ссылками и номерами; самостоятельно откройте официальный сайт магазина или компании, выпустившей карту (см. Что такое фишинг?).
Проверьте выписки по карте
По данным компании, она не хранит полные номера карт и коды безопасности, и они не утекли. У около 2 096 900 человек были затронуты часть данных карты. Тем не менее на случай, если поддельное сообщение заставит кого-то ввести данные карты, проверяйте выписки в этом месяце и в ближайшие несколько месяцев.
Если видите незнакомое списание, позвоните по номеру на обратной стороне карты. Можно также спросить у компании, выпустившей карту, нужна ли замена карты.
Смените повторно использованные пароли
Компания говорит, что пароли участников хранятся в зашифрованном виде, считает маловероятным, что их можно определить, и сообщает, что по утёкшим данным нельзя связать участника с магазином, которым он пользуется. Если вы используете тот же адрес электронной почты и пароль в других сервисах, смените их. Компания также рекомендует отдельный пароль для каждого сервиса и многофакторную аутентификацию.
Разумно также сменить пароль участника в магазине, которым вы пользовались. Следить за паролями практичнее всего с помощью менеджера паролей.
Если вы указывали место работы, остерегайтесь подозрительных сообщений и на работе
В данные покупателей входит место работы. Если заказы доставлялись в ваш офис, сообщения, сочетающие ваше имя и работодателя, могут приходить на рабочую почту или телефон. Всё, что касается доставки или оплаты, проверяйте на официальном сайте магазина.
Что владельцам магазинов и партнёрам нужно сделать сегодня
Согласно итоговому отчёту E-store, утекли идентификаторы и пароли панели администратора магазинов, данные магазина на платёжных бланках для оплаты в магазинах шаговой доступности (имя ответственного за продажи, название магазина, почтовый индекс, адрес, номера телефона и факса), а также адреса электронной почты и пароли партнёров. Идентификаторы и пароли почтовой системы и FTP магазинов, а также банковские реквизиты счетов, на которые E-store переводит деньги (счета для выплат), которые во втором отчёте значились утёкшими, исправлены как не затронутые.
Смените пароль администратора и включите двухэтапную проверку
Идентификаторы и пароли панели администратора магазинов входят в число утёкших данных. Смените пароль. Компания говорит, что в качестве превентивной меры усилила аутентификацию администраторов (в том числе двухфакторную), поэтому включите любые такие функции, которые вам доступны. Если вы использовали тот же пароль в других сервисах, смените и их.
Если вы были зарегистрированы как партнёр, смените пароль
Адреса электронной почты и пароли партнёров тоже входят в утечку. Смените пароль и смените его в любых других сервисах с тем же адресом электронной почты и паролем. Если на зарегистрированный адрес придёт сообщение о вознаграждении или проверке аккаунта, не открывайте его ссылки; проверьте через официальный сайт.
Проверьте панель администратора на изменения, которых вы не делали
Компания говорит, что о конкретном вторичном ущербе от этого инцидента не сообщалось. На всякий случай посмотрите в панели администратора историю входов и недавние изменения настроек: нет ли того, что не делала ваша команда. Если найдёте что-то, свяжитесь со службой магазинов E-store (телефон 03-6434-0946, по будням с 10:00 до 18:00 по японскому времени).
Остерегайтесь обращений, использующих данные магазина с платёжных бланков
В утечку вошли имя ответственного за продажи, название магазина, почтовый индекс, адрес, номера телефона и факса с платёжных бланков для оплаты в магазинах шаговой доступности. Если подозрительный звонок, факс или письмо, адресованные вашему магазину, выдают себя за делового партнёра или касаются платежа, не пользуйтесь указанными в них контактами; проверьте через официальный канал (о защите собственного домена см. SPF, DKIM и DMARC).
Разместите уведомление для своих покупателей
Большинство покупателей не знают названия ShopServe, поэтому одного уведомления E-store недостаточно, чтобы понять, о каком магазине идёт речь. Уведомление на вашем собственном сайте с указанием затронутого периода, утёкших данных (в том числе были ли затронуты данные карт) и контакта позволит покупателям самим оценить свою ситуацию.
Что произошло (по объявлениям E-store)
E-store Co., Ltd. опубликовала первое объявление 1 августа 2026 года, второе 2 августа и итоговый отчёт 16 октября. Ниже приведено то, что взято из официальных объявлений компании; там, где они расходятся со вторым отчётом, приоритет у итогового.
21 мая – 1 августа 2026 года
Период, в который внешняя третья сторона воспользовалась уязвимостью в приложении на сервере и с помощью вредоносной программы вывела содержимое базы данных (итоговый отчёт).1 августа
Компания подтвердила утечку данных покупателей в результате несанкционированного доступа к серверам и опубликовала первое объявление. Она сообщила, что прервала связь с источником атаки и убедилась, что доступ больше невозможен.2 августа
Второе объявление. Оно определило начало периода с 21 мая и добавило в список утёкших данных часть данных карт, а также учётные данные продавцов и данные счетов для выплат (почта, FTP и данные счетов для выплат исправлены в итоговом отчёте).С августа
Затронутые магазины начали объявлять о последствиях на своих сайтах. Объявления магазинов о том, что E-store их проинформировала, продолжались и в сентябре.16 октября
Итоговый отчёт. Криминалистическое расследование внешнего специалиста не выявило других путей проникновения и бэкдоров. Число затронутых определено в около 23 356 000 человек, и исправлено, что учётные данные почты и FTP магазинов и данные счетов для выплат E-store не утекли.
- Данные покупателей
- Имя, адрес, номера телефона и факса, адрес электронной почты, место работы и другая информация, которую клиенты вводили добровольно (включая данные для доставки)
- Данные участников
- Идентификаторы участников и зашифрованные пароли. Компания считает маловероятным, что пароли можно определить, и говорит, что по данным нельзя связать участника с магазином
- Банковские карты
- Имя владельца карты, первые 6 и последние 4 цифры номера карты, срок действия (около 2 096 900 человек). Полные номера карт и коды безопасности не хранятся и не затронуты
- Данные магазинов
- Идентификаторы и пароли панели администратора; данные магазина на платёжных бланках для оплаты в магазинах шаговой доступности (имя ответственного за продажи, название магазина, почтовый индекс, адрес, номера телефона и факса)
- Партнёры
- Адреса электронной почты и пароли
- Исправление (убрано из второго отчёта)
- Идентификаторы и пароли почтовой системы и FTP магазинов, а также банковские реквизиты E-store, как подтверждено, не утекли
- Число
- Около 23 356 000 человек (покупатели и участники, владельцы магазинов и партнёры вместе) и 7 858 магазинов (включая нынешние и бывшие магазины ShopServe). Приблизительное число после сопоставления по нескольким полям для удаления дубликатов; могли остаться дубликаты, не подошедшие под критерии
- Причина
- Внешняя третья сторона воспользовалась уязвимостью в приложении на сервере, запустила вредоносную программу и вывела содержимое базы данных с 21 мая по 1 августа
- Расследование
- Источник атаки заблокирован 1 августа; уязвимость устранена. Внешний специалист не нашёл других путей проникновения и бэкдоров, а также признаков появления данных в даркнете
- Вторичный ущерб
- На момент итогового отчёта о конкретном вторичном ущербе от этого инцидента не сообщалось
- Уведомления и меры
- Сообщено в Комиссию по защите персональной информации и в Канто-бюро связи; проведена консультация с полицией. Индивидуальные уведомления завершены (где контакты неизвестны, их заменяют публичное объявление и служба обращений). Оценка уязвимостей и усиление аутентификации администраторов, включая двухфакторную
- Контакты
- Покупатели, участники и партнёры: форма обращений компании / Магазины: телефон 03-6434-0946 (по будням с 10:00 до 18:00 по японскому времени)
Примечание к прочтению: утёкшие данные различаются по магазинам
Объявление E-store перечисляет всё, что утекло по всему сервису. Из объявлений затронутых магазинов видно, что в одних случаях данные карт вошли, в других нет, а затронутый период покупок тоже различается по магазинам.
Надёжный способ узнать свою ситуацию — уведомление от магазина, которым вы пользовались. Если вы не можете его найти, спросите магазин или контакт E-store.
Почему из одного сервиса утекли данные покупателей многих магазинов
В таком сервисе, как ShopServe, многие магазины используют одни и те же серверы и программное обеспечение. Для покупателя они выглядят как отдельные магазины, но место хранения данных заказов и обрабатывающие их программы общие.
Интернет-магазин компании A
Интернет-магазин компании B
Интернет-магазин компании C
↓ покупатели видят только название магазина ↓
Общие серверы (ShopServe)
данные покупателей всех магазинов, части номеров карт, пароли администраторов магазинов
↓ 21 мая – 1 августа 2026 года: вредоносная программа выводит данные ↓
Около 23 356 000 человек
У такой схемы есть преимущества. Каждому магазину не нужен собственный сервер, а обновления безопасности можно применить в одном месте. Но когда общие серверы взломаны, страдает не один магазин, а покупатели всех магазинов.
Покупателям сложно то, что они помнят, в каком магазине покупали, но не помнят, на каком сервисе этот магазин работает. Поэтому в этом инциденте трудно понять, затронуты ли вы.
Не доказательство подлинности сообщения
- В нём указаны ваши имя, адрес и номер телефона
- Последние четыре цифры или срок действия вашей карты указаны верно
- Назван магазин, в котором вы покупали
Что можно проверить самостоятельно
- Говорит ли то же самое личный кабинет или контакт, открытые с официального сайта магазина
- Появляется ли списание в официальном приложении или онлайн-выписке компании, выпустившей карту
- Не просит ли сообщение ввести номер карты или пароль
Для тех, кто ведёт сервис, хранящий данные многих магазинов
Компания называет причиной уязвимость в приложении, но не сообщила, какой именно это был дефект. Этот раздел ограничивается общими соображениями, которые могут проверить сервисы такого же устройства (одна система хранит данные многих клиентских компаний).
Считайте сигналом тревоги ситуацию «один процесс читает данные многих магазинов»
Обычная обработка заказов за одну операцию затрагивает данные одного магазина. Один процесс или одно подключение к базе данных, читающие данные многих магазинов за короткое время, — необычное явление вне плановых пакетных заданий.
Первый шаг: по журналам аудита базы данных посчитать «число магазинов в час» для каждого источника подключения и поднимать тревогу, когда что-либо, кроме известного пакетного задания, превышает порог (например, 10 магазинов).
Ограничьте исходящий трафик серверов по адресам назначения
В этом случае содержимое базы данных было выведено с серверов. Серверам, обрабатывающим заказы, нужно подключаться лишь к немногим адресам, например к платёжным процессорам и службам доставки.
Разрешайте исходящий трафик только к нужным адресам, а трафик в любые другие места и необычно крупные передачи записывайте в журнал и сопровождайте оповещением. Это можно сделать брандмауэрами и сетевыми настройками облака.
Защищайте секреты магазинов отдельно от данных магазинов
Если учётные данные, такие как пароли администраторов магазинов, можно прочитать из того же места, что и данные покупателей, они уйдут вместе. Храните учётные данные в виде, который нельзя восстановить, а то, что нужно уметь восстанавливать, держите в отдельном хранилище с отдельным ключом.
О хранении см. безопасное хранение паролей (хеширование и соль), а об общей картине — минимальный базовый уровень безопасности для организаций.
Дайте клиентским компаниям то, что им нужно, чтобы объяснить утечку своим покупателям
Покупатели знают только название магазина, которым пользовались. Одно объявление оператора по всему сервису не позволяет им понять, затронуты ли они.
Позаботьтесь о том, чтобы быстро выдавать по каждому магазину затронутый период, утёкшие данные и информацию о том, были ли затронуты данные карт, и включите в процедуру реагирования на инциденты передачу этого каждой клиентской компании, чтобы она могла объяснить ситуацию своим покупателям.
О других случаях в интернет-торговле см. утечку Abahouse (данные заказов и поддельные письма о возврате) и интернет-магазин APORITO (RIZAP); о других крупных утечках в Японии в этом году см. крупные утечки данных в Японии в 2026 году.
Источники (публичные материалы)
Факты в этой статье основаны на приведённых ниже публичных источниках. Нераскрытые методы или причины проникновения не угадываются.
- E-store Co., Ltd., извинения и уведомление об утечке персональных данных в результате несанкционированного доступа (1 августа 2026, на японском языке) — estore.jp
- E-store Co., Ltd., уведомление об утечке персональных данных в результате несанкционированного доступа (второе уведомление, 2 августа 2026, на японском языке) — estore.jp
- E-store Co., Ltd., уведомление об утечке персональных данных в результате несанкционированного доступа (итоговый отчёт, 16 октября 2026, на японском языке) — estore.jp
- Примеры объявлений затронутых магазинов (на японском языке): Harima Chemicals Group, Inc. (второе уведомление, 10 августа 2026) — harima.co.jp / PFU Limited (18 сентября 2026) — pfu.ricoh.com
- Приведённые ниже объявления магазинов и новостные сообщения могут отражать данные и числа по состоянию на второй отчёт; где они расходятся с итоговым отчётом, приоритет у итогового.
- Security NEXT (на японском языке) — security-next.com
- INTERNET Watch (на японском языке) — internet.watch.impress.co.jp
История обновлений
2026-10-03: первая версия на основе уведомлений E-store от 1 августа (первое) и 2 августа (второе) и объявлений затронутых магазинов. Первое уведомление относило утечку к утру 1 августа; второе определило период с 21 мая по 1 августа и добавило в список утёкших данных часть данных карт и данные продавцов.
2026-10-30: переписано по итоговому отчёту (16 октября). Исправления: (1) идентификаторы и пароли почтовой системы и FTP магазинов, а также банковские реквизиты счетов, на которые E-store переводит деньги (счета для выплат), которые во втором отчёте значились утёкшими, по результатам расследования признаны не утёкшими и удалены. Связанные с ними шаги для владельцев магазинов (смена паролей почты и FTP, проверка страниц на подмену и правил пересылки, проверка банковского счёта) удалены и заменены шагами для панели администратора и партнёров. (2) Число изменилось с 8 853 839 записей второго отчёта (возможны дубликаты) на около 23 356 000 человек в итоговом отчёте (покупатели и участники, владельцы магазинов и партнёры вместе; приблизительно после удаления дубликатов). Единицы разные, поэтому сравнивать их нельзя. Новые факты: причина — уязвимость в приложении, у около 2 096 900 человек были затронуты часть данных карты, затронуты 7 858 магазинов, в утечку вошли данные партнёров, а криминалистика не нашла других путей и бэкдоров. Компания сообщает, что расследование завершено; мы обновим статью, если она опубликует что-то ещё.
Читайте далее
- Последующие мошенничества: Что такое фишинг? / Abahouse (данные заказов и поддельные письма о возврате)
- Данные карт: случай с данными карт в интернет-магазине APORITO (RIZAP)
- Пароли: Выбор менеджера паролей / Выбор многофакторной аутентификации
- Другие инциденты в Японии этой осенью: Yamato Transport и Sagawa Express (отправители и получатели посылок) / Times Car
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)
- Для операторов: минимальный базовый уровень безопасности для организаций