Для: клиентов в Гонконге, которые покупали бытовую технику, регистрировали гарантию или заказывали установку либо ремонт через предприятия Shun Hing Group, а также для участников PanaClub; и для сотрудников, сервисного персонала и персонала поставщиков, работавших с группой.
Эта статья основана на публичном ответе Управления Уполномоченного по защите персональных данных (PCPD) и официальном уведомлении Shun Hing Group. Она не описывает, как была проведена атака.
Что делать клиентам сейчас
Проверьте, затронуты ли вы, только через официальные каналы
Shun Hing Group сообщает, что любой, кто хочет проверить, были ли затронуты его данные, может отправить свое имя, номер телефона и адрес электронной почты на специальный адрес для инцидентов из её уведомления. Скопируйте этот адрес из уведомления на официальном сайте Shun Hing Group самостоятельно; не отвечайте на непрошеные сообщения «от имени Shun Hing» и не переходите по их ссылкам. Также можно позвонить в PCPD по телефону 2827 2827.
Проверьте последние инструкции по PanaClub на официальном сайте
В уведомлении Shun Hing Group от 9 июля 2026 года говорилось, что PanaClub приостановлена, и участникам не нужно было сбрасывать учетные данные для входа или предпринимать действия, связанные с доступом к аккаунту, на тот момент. Проверьте текущий статус и необходимые действия, открыв официальный сайт самостоятельно и ознакомившись с его последними рекомендациями. Не используйте ссылки для сброса пароля или подтверждения аккаунта из писем или SMS. О том, как их распознать, см. что такое фишинг?
При звонках о «ремонте на дому» или «истекающей гарантии» положите трубку и перезвоните сами
Имена, адреса и номера телефонов именно то, что нужно, чтобы выдать себя за мастера для записи на ремонт, сотрудника для повторной установки или предложить продление гарантии. Получив такой звонок или сообщение, положите трубку и перезвоните по номеру, который вы нашли сами, например по горячей линии службы поддержки на гарантийной карточке или на официальном сайте. Не платите, не входите в систему и не сообщайте данные через номер или ссылку, которые дал звонящий.
Следуйте рекомендациям PCPD: пароли, многофакторная аутентификация, история входов
PCPD советует потенциально затронутым людям рассмотреть смену паролей онлайн-аккаунтов и включение многофакторной аутентификации там, где это возможно, а также следить за личной электронной почтой и аккаунтами на предмет необычных входов. Если вы использовали пароль PanaClub на других сайтах, сначала смените его там. Менеджер паролей помогает использовать уникальные пароли; о выборе второго фактора см. выбор многофакторной аутентификации.
Проверьте банковские выписки
PCPD советует проверять банковские выписки на наличие несанкционированных операций. Это важнее всего для сотрудников, сервисного персонала и персонала поставщиков, чьи номера удостоверений личности и банковских счетов могли быть раскрыты, поскольку эти данные можно использовать, чтобы выдать себя за банк или работодателя. Если вы заметили что-то подозрительное, позвоните в свой банк по номеру на карте или в выписке.
Проверяйте подозрительные номера через Scameter или 18222
Сайт CyberDefender полиции Гонконга предлагает Scameter, который оценивает риск мошенничества по номерам телефонов, адресам электронной почты и сайтам, а Координационный центр по борьбе с обманом полиции ведет горячую линию по борьбе с мошенничеством 18222. Учтите, что «записей нет» не означает безопасность; наиболее надежная проверка по-прежнему заключается в том, чтобы перезвонить по номеру, который вы нашли сами.
Хотите узнать, какие данные о вас хранит компания? Направьте запрос на доступ к данным
По закону Гонконга о персональных данных (Personal Data (Privacy) Ordinance) вы можете направить запрос на доступ к данным, чтобы узнать, какие персональные данные о вас хранит организация. В процедурных рекомендациях PCPD сказано использовать установленную форму. Организация, как правило, имеет 40 дней на ответ. Если она не может выполнить запрос полностью или частично в этот срок, она обязана в тот же срок письменно уведомить вас о причинах, выполнить запрос насколько это возможно и завершить оставшуюся часть как можно скорее. Отказ по законным основаниям — это отдельный случай, и о нем необходимо уведомить с указанием причин. По жалобам на обработку ваших данных обращайтесь в PCPD (complaints@pcpd.org.hk, 2827 2827).
Имя + адрес + телефон (клиенты)
→ Поддельные звонки «запись на ремонт», «истекает гарантия» или «осмотр на дому»
Проверка: положите трубку, позвоните по номеру, который найдете сами
Электронная почта + членство
→ Фишинг «сбросьте пароль PanaClub» или «подтвердите аккаунт»
Проверка: откройте официальный сайт для последних рекомендаций
Номер удост. личности + банк. счет (сотрудники и др.)
→ Выдача себя за банк или работодателя, злоупотребление личными данными
Проверка: просмотрите выписки, позвоните в банк
Уведомление Shun Hing от 9 июля: на тот момент доказательств неправомерного использования нет
Что произошло (по данным PCPD и Shun Hing Group)
Сведения ниже взяты из ответа PCPD на запрос СМИ от 2 июля 2026 года и уведомления Shun Hing Group от 9 июля 2026 года.
23 марта 2026
PCPD получает уведомление об утечке данных от Shun Hing Group и открывает расследование в рамках своего установленного механизма.2 июля
Отвечая на запрос СМИ, PCPD ссылается на последнюю информацию организации: персональные данные более 921 000 человек могли быть раскрыты, а данные около 1 050 000 человек могли быть подвергнуты вредоносному шифрованию. PCPD сообщает, что расследование продолжается.9 июля
Shun Hing Group публикует последнее обновление: потенциально затронутые данные включают имена, номера телефонов, адреса электронной почты и платежные или почтовые адреса; на тот момент нет доказательств неправомерного использования; система PanaClub приостановлена; группа полностью сотрудничает с правоохранительными органами и усилила свою киберзащиту.
- Клиенты (~920 000)
- Имена/обращения, адреса, номера телефонов и адреса электронной почты могли быть раскрыты (в уведомлении Shun Hing также упоминаются платежные или почтовые адреса)
- Сотрудники, персонал сервисных/товарных/поставщиков (~1 000)
- Имена/обращения, адреса, номера телефонов, адреса электронной почты, номера удостоверений личности, номера банковских счетов, зарплаты и др. могли быть раскрыты
- Вредоносное шифрование
- Информация о примерно 1 050 000 человек, из которых около 1 045 000 являются клиентами, могла быть подвергнута вредоносному шифрованию (PCPD, со ссылкой на последнюю информацию организации)
- Неправомерное использование
- В уведомлении от 9 июля Shun Hing сообщила, что на тот момент доказательств неправомерного использования не было
- PanaClub
- В уведомлении от 9 июля говорилось, что система приостановлена и на тот момент сброс не нужен. Проверьте текущий статус и инструкции на официальном сайте
- Расследование
- Открыто PCPD в рамках установленного механизма; по состоянию на 2 июля продолжается
- Контакты
- PCPD: 2827 2827 · communications@pcpd.org.hk (запросы) · complaints@pcpd.org.hk (жалобы)
Как читать: это инцидент у дистрибьютора, а не у производителя бренда
По данным сайта компании, Shun Hing Group с 1953 года является агентом крупного японского бренда бытовой техники в Гонконге и Макао и предоставляет услуги установки и послепродажного обслуживания через свои сервисные центры. Описанный здесь инцидент — тот, о котором PCPD и Shun Hing Group сообщили в отношении Shun Hing Group; ни одна из сторон не говорит, что системы какого-либо производителя брендов были затронуты. Если сообщение утверждает, что оно от «главного офиса бренда» по поводу этого инцидента, проверьте его так же: позвонив по номеру, который вы найдете сами.
Почему старая регистрация гарантии становится сегодняшним риском
Когда мы покупаем кондиционер, холодильник или стиральную машину, мы передаем свои имя, адрес и номер телефона дистрибьютору или сервисному центру для доставки, установки, регистрации гарантии или последующего ремонта.
В отличие от пароля, эти данные не истекают и не могут быть сброшены: старый адрес до переезда или номер телефона, зарегистрированный много лет назад, могут по-прежнему храниться в системе. Данные клиентов, которые PCPD перечисляет здесь (имена, адреса, номера телефонов, эл. почта), — это именно такие записи послепродажного обслуживания.
Подозрительный «послепродажный» контакт
- Начинается с перечисления вашего имени, адреса и купленной техники
- Сообщает, что «гарантия скоро истечет», и требует оплаты по ссылке
- Просит «сбросить пароль PanaClub» или «подтвердить аккаунт»
- Предлагает срочный «осмотр на дому» и торопит с решением
- Просит номер удостоверения личности или банковские данные «для проверки»
Более безопасные привычки
- Положите трубку и позвоните по номеру на гарантийной карточке или на официальном сайте
- Продлевайте гарантию или платите только через официальные каналы, которые открываете сами
- Проверяйте любые необходимые действия PanaClub по последним рекомендациям на официальном сайте
- Подтверждайте визит на дом и мастера через официальную горячую линию
- Никогда не сообщайте номер удостоверения личности или банковские данные по входящему звонку
Задача не в том, чтобы лучше распознавать мошенников. Задача в том, чтобы изменить способ проверки подлинности контакта. Раньше то, что собеседник знает ваш адрес и купленную технику, было разумным признаком настоящего послепродажного обслуживания. После этой утечки это ничего не доказывает.
Не доверяйте звонку на основании того, что говорит звонящий; положите трубку и проверьте, перезвонив по номеру, который вы найдете сами.
Мнение этого сайта: запишите официальную горячую линию для основной техники
Запишите марку, модель, дату покупки и официальный номер службы поддержки для основной техники на карточке или в заметках телефона. Когда кто-то звонит и говорит «истекает гарантия на ваш кондиционер», у вас уже есть номер для обратного звонка, и вам не нужна информация, которую сообщает звонящий. Также стоит направить запрос на доступ к данным организациям, которые хранят ваши сведения, чтобы узнать, что они хранят и как долго. Для организаций с большими базами клиентов урок в том, чтобы хранить только то, что действительно необходимо для послепродажного обслуживания, и удалять остальное по расписанию; см. минимальный базовый уровень безопасности для организаций.
О подозрительных SMS и ссылках на телефоне см. основы безопасности смартфона. О других утечках в этом году, где раскрытые контактные данные сделали поддельные сообщения более убедительными, см. утечку данных TVING в Южной Корее и список утечек 2026 года.
Источники (публичные материалы)
Факты в этой статье основаны на следующих публичных источниках. Заявления атакующих и неопубликованные данные не использовались.
- PCPD, "公署回應有關信興集團資料外洩事故" (ответ на запрос СМИ об утечке данных Shun Hing Group, 2 июля 2026 года, только на китайском языке) — pcpd.org.hk
- Shun Hing Group, "Latest update on Shun Hing Group cybersecurity incident" (9 июля 2026 года) — shunhinggroup.com
- Shun Hing Group, официальный сайт (профиль группы) — shunhinggroup.com
- PCPD, брошюра «Data Access Request» Q&A — pcpd.org.hk
- Полиция Гонконга, CyberDefender, Scameter — cyberdefender.hk
- Полиция Гонконга, Координационный центр по борьбе с обманом (горячая линия по борьбе с мошенничеством 18222) — adcc.gov.hk
История обновлений
2026-10-19: Ограниченная поправка: приостановка, отсутствие необходимости сброса и отсутствие доказательств неправомерного использования датированы уведомлением от 9 июля; контактные данные описаны как потенциально затронутые. Проверьте текущий статус, открыв официальный сайт с его последними рекомендациями. Рекомендация о 40-дневном сроке запроса на доступ к данным теперь различает невозможность выполнения и отказ по законным основаниям. Мы не смогли повторно получить ответ PCPD об инциденте, поэтому его цифры и категории данных, а также дата последней проверки сохранены.
2026-09-30: Первая версия, основанная на ответе PCPD от 2 июля 2026 года на запрос СМИ и уведомлении Shun Hing Group от 9 июля 2026 года (проверено 30 сентября 2026 года).
Читайте далее
- Фейковые звонки и сообщения: Что такое фишинг? / Основы безопасности смартфона
- Защита аккаунтов: Выбор менеджера паролей / Выбор многофакторной аутентификации
- Другие инциденты 2026 года: Утечка данных TVING / Список утечек и кибератак (Япония и мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций