Для кого: людей, указавших номер телефона и другие данные в приложении-клубе магазина (карты штампов, купоны и т. д.), если это приложение использует Toypo. Статья основана на официальных уведомлениях Toypo Inc. и магазинов, использующих её приложение, и не затрагивает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 29 октября 2026 годаПока неизвестно
- Полный список магазинов и компаний, которых это касается
- Подробности причины
- Результат оценки третьей стороной
- Использовались ли данные не по назначению
- Будет ли компенсация
Toypo говорит, что оперативно объявит о важных новых фактах на странице уведомления и в других местах. Сроков она не называет. 29 октября мы проверили обе страницы уведомлений Toypo (от 14 октября и без даты) и уведомления магазинов, использующих приложение (JR Kyushu Food Service, Nishitetsu Wellness и Mannoya), и новых объявлений не нашли.
Что пользователям приложений магазинов делать сегодня
Проверьте в уведомлениях приложения, затронуты ли вы
Toypo предоставляет магазинам клубные приложения (приложения для управления клиентами) и работает «за» приложением каждого магазина. Внешний вид и название приложения у каждого магазина свои, поэтому по названию приложения понять это может быть нельзя. Насколько удалось установить этому сайту, Toypo не опубликовала список магазинов, которые её используют.
Уведомление Toypo от 14 октября объясняет, как понять, затронуты ли вы:
- Компания определила затронутых и с 13 октября связывается с ними по одному, в том числе через push-уведомления в приложении от официального аккаунта Toypo
- Если в разделе уведомлений вашего приложения появилось уведомление об этом инциденте, вы затронуты. Если не появилось — нет
- Чтобы проверить индивидуально, обратитесь в Toypo
Магазин может не суметь ответить. Nishitetsu Wellness говорит, что инцидент произошёл в системе Toypo, поэтому она не может отвечать на детали, и просит обращаться в Toypo.
Не пользуйтесь ссылками и номерами в сообщениях якобы от магазина или Toypo
Среди информации, которая могла утечь, — номер телефона, адрес электронной почты и имя. Toypo и Nishitetsu Wellness предупреждают, что с использованием этой информации могут рассылаться подозрительные письма, SMS, звонки и фишинг.
Если вам пришло сообщение о «подтверждении данных участника», «истечении купона» или «возврате в качестве извинения», не пользуйтесь ссылками и номерами телефонов в нём. Проверяйте через обращение в приложении или контакт из уведомления. Toypo говорит, что не просит вводить пароли, коды аутентификации или номера кредитных карт.
Решите, что делать с паролями
Toypo говорит, что данные для входа, такие как пароли, не затронуты, поэтому из-за этого инцидента менять пароль или предпринимать другие действия в приложении не нужно, а приложением, баллами и купонами можно пользоваться как раньше. Её FAQ просит рассмотреть смену пароля, если вы используете тот же пароль в других сервисах или видите подозрительные входы.
Этот сайт рекомендует: если вы используете один и тот же пароль в нескольких сервисах, воспользуйтесь случаем и разделите их (как проверить, утёк ли ваш пароль / как выбрать менеджер паролей).
Если пришло неожиданное сообщение, сообщите Toypo
Toypo говорит, что не может определить, связано ли конкретное сообщение с этим инцидентом, но для проверки связи просит по возможности сообщить в её контакт номер отправителя, дату и время получения и содержание. Если вы открыли URL или ввели информацию, быстро смените пароль, а если вводили карту — свяжитесь с компанией, выпустившей карту (что такое фишинг?).
Удалите аккаунт приложения, которым больше не пользуетесь
Toypo говорит, что аккаунт можно удалить из приложения, внизу экрана «Моя страница». При удалении стираются все данные, включая ваши регистрационные сведения, и восстановить их нельзя. Оно вступает в силу примерно через неделю, а повторный вход за это время отменяет его. Его нельзя выполнить при активной подписке или неполученном заказе. Перед этим проверьте, не остались ли штампы или купоны, которые вы хотите сохранить.
1. Письмо / SMS / звонок якобы от магазина или Toypo
Имя и номер телефона верны → не решайте на этом этапе
↓
2. Не пользуйтесь его ссылками и номерами: сами воспользуйтесь обращением в приложении или указанным контактом
Контакт Toypo для клиентов 0120-546-030 (по будням 9:00–18:00 по японскому времени)
↓
3a. Просьба, которую нельзя подтвердить
Пароль, код аутентификации или номер карты, либо платёж → не отвечайте
3b. Контакт даёт те же указания
Следуйте официальным указаниям
Что произошло (по данным Toypo и магазинов)
Ниже изложено на основе двух страниц уведомлений Toypo Inc. и уведомлений магазинов. Одна — «Извинения и уведомление об утечке персональной информации из-за несанкционированного доступа» (от 14 октября 2026 года, с числом людей; далее «уведомление от 14 октября»). Другая — «Извинения и уведомление об утечке персональной информации из-за несанкционированного доступа к приложению Toypo» (без даты, без числа людей; далее «другая страница уведомления»). В уведомлении от 14 октября сказано, что информация «могла утечь»; другая страница утверждает, что она «утекла». Toypo предоставляет магазинам приложение для управления клиентами — приложение Toypo.
4 октября 2026 (вс)
Toypo подтвердила несанкционированный доступ третьей стороны к своей системе. В части системы был изъян контроля доступа, позволявший аутентифицированному пользователю получать информацию других пользователей, на которую у него не было прав, и по журналам третья сторона использовала его для получения информации пользователей.7 октября (ср)
Toypo сообщила одному из магазинов, использующих приложение (JR Kyushu Food Service) (уведомление этого магазина).До 13 октября
Toypo завершила блокировку аккаунта, использованного при доступе, и устранение изъяна, а также сообщила в Комиссию по защите персональной информации (всё по словам компании; даты не указаны).13 октября (вт)
В 13:00 открылся специальный контакт, и Toypo начала связываться с затронутыми по одному через push-уведомления в приложении (по словам компании). JR Kyushu Food Service и Nishitetsu Wellness также опубликовали уведомления.14 октября (ср)
В уведомлении от 14 октября Toypo назвала число затронутых пользователей: 697 209 (информация могла утечь). Mannoya также опубликовала своё уведомление.28 октября
ScanNetSecurity сообщило, что регистрационная информация 697 209 пользователей могла утечь.
- Информация, которая могла утечь
- Номер телефона и ID пользователя или похожие идентификаторы. Если указаны: имя, имя в каане, адрес электронной почты, дата рождения, пол и адрес (какие поля заполнены, у каждого свои, и не всё утекло у всех)
- Не затронуто (по словам компании)
- Пароли и другие данные для входа, номера кредитных карт и другие платёжные данные, баллы, история посещений магазинов, история покупок и использования (другая страница уведомления также называет хеши паролей, токены аутентификации и данные сессий)
- Не хранится (по словам компании)
- Изображения документов, удостоверяющих личность, My Number и подобное её сервисом не хранятся
- Ушедшие пользователи
- Для тех, кто уже вышел к моменту утечки, утечка не подтверждена (по словам компании)
- Принятые меры (по словам компании)
- Изъян устранён. Проверяется наличие подобных проблем в других местах, пересматривается контроль доступа, усиливаются мониторинг и обнаружение. Готовится оценка безопасности третьей стороной. Сообщено в Комиссию по защите персональной информации. Другая страница уведомления также называет блокировку аккаунта, использованного при доступе, и сохранение журналов
- Контакт
- Контакт Toypo Inc. для клиентов: 0120-546-030, по будням 9:00–18:00 по японскому времени. Колл-центр принимает звонки до 18:00 в пятницу, 30 октября, затем — обращение через приложение (по словам компании)
Уведомления магазинов, использующих приложение
Приложение используется как клубное приложение каждого магазина, и каждый магазин опубликовал своё число затронутых. Ниже — данные из официальных уведомлений, которые мы открыли сами. Числа у каждого магазина свои и не суммировались; нигде не объявлено, что в сумме они дают 697 209 по Toypo.
| Магазин / компания | Что сказано в уведомлении | Статус |
|---|---|---|
| JR Kyushu Food Service (13 октября) | Информация около 26 900 из около 61 500 участников, зарегистрированных в её 24 затронутых магазинах, могла утечь. Набор новых участников приостановлен | Возможно (компания) |
| Nishitetsu Wellness (Nishijin Palace Dome, 13 октября) | Часть информации пользователей клубного приложения «Toypo» утекла. Число людей не указано | Утечка подтверждена (по уведомлению от Toypo) |
| Mannoya (14 октября) | Регистрационная информация 12 из 212 участников официального приложения «Kineya Mannoya», в разработке которого компания участвует, затронута. Регистрация новых участников временно приостановлена | Затронуты (компания) |
В уведомлении Toypo не сказано, какие ещё магазины или компании используют приложение.
Что известно и что нет
Состояние на 29 октября 2026 года. Таблица будет обновляться по мере публикации новых сведений.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Несанкционированный доступ имел место | Подтверждён 4 октября. По журналам третья сторона использовала изъян для получения информации пользователей | Подтверждено (компания) |
| Номер телефона, ID пользователя или похожие идентификаторы | Утекли | Возможно (Toypo, уведомление от 14 октября). Другая страница уведомления говорит «утекли» |
| Имя, имя в каане, электронная почта, дата рождения, пол, адрес | Утекли, если указаны | Возможно (Toypo, уведомление от 14 октября). Другая страница уведомления говорит «утекли» |
| Пароли и другие данные для входа | Не затронуты (другая страница уведомления также называет хеши паролей, токены аутентификации и данные сессий) | Не затронуты (компания) |
| Номера кредитных карт и другие платёжные данные | Не затронуты | Не затронуты (компания) |
| Баллы, история посещений магазинов, история покупок и использования | Не затронуты | Не затронуты (компания) |
| Число затронутых | 697 209 человек (уведомление от 14 октября). ScanNetSecurity приводит ту же цифру. На другой странице уведомления её нет | Объявлено (компания) |
| Как понять, затронуты ли вы | Уведомление об этом инциденте в уведомлениях приложения означает, что вы затронуты; его отсутствие — что нет (уведомление от 14 октября) | Подтверждено (компания) |
| Затронутые магазины и компании | Общего списка нет. JR Kyushu Food Service, Nishitetsu Wellness и Mannoya опубликовали собственные уведомления | Не указано |
| Причина | Изъян контроля доступа (аутентифицированный пользователь может получать информацию других пользователей). Подробностей нет | Подтверждено (компания, только в общих чертах) |
| Устранение изъяна | Завершено. Таким способом информацию больше получить нельзя | Подтверждено (компания) |
| Есть ли подобные проблемы в других местах | Идут дополнительные проверки | Расследуется |
| Оценка третьей стороной | Готовится оценка безопасности третьей стороной (уведомление от 14 октября) | Готовится (компания) |
| Злоупотребление данными или вторичный ущерб | Конкретного вторичного ущерба не подтверждено. Предупреждает, что возможны подозрительные обращения | Не подтверждено (компания) |
| Компенсация | Не указано | Не указано |
Внимание: 697 209 — это число людей, а не записей, и это люди, информация которых могла утечь
В уведомлении Toypo от 14 октября сказано, что «число пользователей, затронутых этим несанкционированным доступом, — 697 209» и что информация «могла утечь». Единица — люди, а не записи. Другая страница уведомления (без даты) числа не называет и утверждает, что информация «утекла». С учётом этой разницы этот сайт пишет «могла утечь». Нигде не объявлено, дают ли числа по магазинам (например, около 26 900 у JR Kyushu Food Service) в сумме общие 697 209.
Для чего можно использовать сочетание утёкших данных
Ниже — то, что в целом может произойти при таком сочетании данных. Не объявлено, что что-либо из этого произошло в данном инциденте. Toypo говорит, что конкретного вторичного ущерба не подтверждено.
- Номер телефона + имя: SMS или звонки якобы от магазина или сервиса, в которых обращаются по имени, чтобы выдать себя за знакомого
- Адрес электронной почты + имя и адрес: поддельные письма об «обновлении данных участника» или «истечении баллов», выглядящие подлинно
- Дата рождения + имя + адрес: могут использоваться для ответов на вопросы проверки личности в других сервисах. Toypo также просит быть внимательными к проверкам личности в других сервисах
- ID пользователя + номер телефона: Toypo говорит, что пароли и подобное не затронуты, поэтому одной этой информации недостаточно, чтобы сразу войти в её сервис
В целом большинство поддельных сообщений на основе номеров телефонов и электронной почты можно обезвредить, не пользуясь ссылками и номерами в них и проверяя самостоятельно.
Что стоит проверить операторам
Toypo раскрыла изъян контроля доступа, позволявший аутентифицированному пользователю получать информацию других пользователей. Подробности не опубликованы, поэтому этот раздел охватывает только раскрытый ход событий и то, что можно сказать в целом.
- В целом одного факта входа в систему недостаточно: сервер должен при каждом запросе проверять не только «вошёл ли этот пользователь», но и «имеет ли этот человек право видеть эти данные» (что такое IDOR?). Это общее замечание; не объявлено, что причина этого инцидента такая же.
- Пользователи многих магазинов находятся на одной платформе: изъян одной платформы затрагивает пользователей многих магазинов и компаний сразу. В этом инциденте каждый магазин опубликовал своё уведомление, а обращения были сосредоточены в Toypo. Магазины могут подготовиться сами, заранее решив, сообщит ли им поставщик платформы сразу после обнаружения и кто, каким путём уведомляет пользователей.
- Данные, которых у вас нет, не могут утечь: Toypo говорит, что пароли и другие данные для входа, номера карт, история посещений и документы, удостоверяющие личность, не входили в утёкший набор (или не хранятся). Сбор только тех полей, которые нужны функции, сужает масштаб при проблеме.
Источники (открытые данные)
Факты в этой статье основаны на открытой информации ниже. Мы не гадали о подробностях причины и о полном наборе магазинов, которые не объявлены.
- Toypo Inc., «Извинения и уведомление об утечке персональной информации из-за несанкционированного доступа» (на японском языке, от 14 октября 2026 года, затронуты 697 209 пользователей; проверено 29 октября) — toypo.notion.site
- Toypo Inc., «Извинения и уведомление об утечке персональной информации из-за несанкционированного доступа к приложению Toypo» (на японском языке, дата и число людей не указаны; проверено 29 октября) — toypo.notion.site
- Toypo Inc., «Вопросы и ответы о несанкционированном доступе к приложению Toypo» (на японском языке; ссылка на странице выше)
- JR Kyushu Food Service Co., Ltd., «Утечка информации о клиентах в связи с несанкционированным доступом в Toypo Inc.» (на японском языке, 13 октября 2026 года) — jrfs.co.jp / текст уведомления (PDF)
- Nishitetsu Wellness Co., Ltd., «Уведомление о возможной утечке персональной информации и предупреждение в связи с несанкционированным доступом к клубному приложению Toypo Nishijin Palace Dome» (на японском языке, 13 октября 2026 года) — nishitetsu-wellness.com (список уведомлений)
- Mannoya Co., Ltd., «Утечка информации об участниках официального приложения „Kineya Mannoya“ в связи с несанкционированным доступом в Toypo» (на японском языке, 14 октября 2026 года) — mannoya.com
- ScanNetSecurity, «Несанкционированный доступ к приложению Toypo, платформе поведенческих данных; регистрационная информация 697 209 пользователей могла утечь» (на японском языке, 28 октября 2026 года, сообщение СМИ; 697 209 человек) — scan.netsecurity.ne.jp
- Nishinippon Shimbun, сообщение о возможной утечке информации около 697 000 человек из приложения для управления клиентами (на японском языке; дата публикации не подтверждена, доступ платный, прочитано только начало; сообщает о около 697 000 человек) — nishinippon.co.jp
История обновлений
2026-10-29: первая версия, основанная на двух страницах уведомлений Toypo (одна от 14 октября, другая без даты; обе проверены 29 октября), уведомлениях трёх магазинов, использующих приложение, и двух сообщениях СМИ. Статья будет обновлена, когда объявят подробности причины, результат оценки третьей стороной или компенсацию.
Читайте далее
- Японские инциденты с теми же данными (имя, телефон, почта): MrMax / Инцидент с системой бронирования жилья TEMAIRAZU
- Японский случай того же периода: Несанкционированный доступ в Joshin (прежде Joshin Denki)
- Подготовка к поддельным сообщениям: Что такое фишинг? / Основы безопасности смартфона
- Изъян типа контроля доступа: Что такое IDOR?
- Защита аккаунтов: Как выбрать менеджер паролей / Как выбрать многофакторную аутентификацию
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и мир)