Для кого: для всех, кто оформлял выездную скупку Treasure Factory (Trefac) или Trefac Moving в Японии, и для тех, кто отвечает за системы приёма заявок на услуги. Статья основана на официальных сообщениях компании и не рассматривает методы атак и мошенничества.
Ситуация развивается: статья будет обновляться по мере новых публикаций организации
По состоянию на 24 октября 2026 годаПока неизвестно
- Подробная причина
- Выводы внешнего расследования
- Когда и как будут отправлены индивидуальные уведомления
- Специальная горячая линия
- Число людей, стоящих за числом записей
В уведомлении от 23 октября компания сообщила, что расследует подробные причины и масштаб вместе с внешней компанией по безопасности. Специальная горячая линия готовится, и, по словам компании, она объявит о ней на своём сайте сразу после запуска.
Что делать сегодня клиентам выездной скупки и Trefac Moving
Проверьте, затронуты ли вы: данные магазинов и приложения не входят
По данным компании, доступ был получен к системе управления заявками, которая используется для приёма и обработки обращений по выездной скупке и Trefac Moving. Данные клиентов, хранящиеся в магазинах, и данные клиентов в приложении компании находятся в отдельных системах и не затронуты.
Если вы только сдавали вещи в магазине или пользуетесь только приложением, вы вне объявленных компанией границ. Если вы когда-либо оформляли выездную скупку или Trefac Moving онлайн или другим способом, считайте, что ваш адрес email мог попасть в данные, и выполните шаги ниже.
Не открывайте ссылки в письмах и SMS от имени Trefac
Компания сообщает, что похищенные адреса email «могут использоваться для фишинговых писем и другого мошеннического контакта». Тем, кто оформлял выездную скупку или переезд, сообщения об оценке, расчёте стоимости, согласовании визита или возобновлении услуг не покажутся странными, поэтому поддельные сообщения на эти темы труднее распознать.
Для проверки используйте официальный сайт или приложение, которое вы открываете сами, а не ссылку из письма (см. Что такое фишинг?).
Не вводите номера карт и пароли
Компания сообщает, что в похищенных данных клиентов не было номеров карт и других платёжных данных. Ничто в уведомлении не просит клиентов заново регистрировать данные карты или «подтверждать личность» из-за этого инцидента. Если письмо просит об этом, не отвечайте.
Сама компания просит не вводить пароли и данные карт на подозрительных сайтах.
Если вам позвонили, положите трубку и позвоните по официальному номеру
Компания советует после подозрительного звонка самостоятельно найти официальные контакты названной звонившим организации и связаться с ней. Не перезванивайте на номер, который вам назвали по телефону; используйте номер с официального сайта.
Дождитесь индивидуальных уведомлений и объявления о горячей линии
Компания сообщает, что планирует связаться с пострадавшими клиентами индивидуально и рассказать об инциденте и мерах предосторожности. Специальная горячая линия готовится.
По состоянию на 24 октября компания не сообщила, как будут отправляться уведомления (по email, почтой или иначе). Если вы получили что-то, похожее на уведомление, не выполняйте никаких действий по ссылкам в нём; сверьте его с сообщениями на официальном сайте.
О 11 записях, где есть также имя и адрес
По данным компании, в 11 из 746 277 записей клиентов, помимо адреса email, указаны имя и адрес. Чьи это записи, компания не сообщила. Почта или письма с вашим именем и адресом выглядят убедительнее, поэтому дождитесь индивидуального уведомления компании и проверьте его содержание на официальном сайте.
Что произошло (по сообщениям Treasure Factory)
23 октября 2026 года Treasure Factory Co., Ltd. опубликовала сообщение об утечке персональных данных из-за несанкционированного доступа: как раскрытие информации (timely disclosure) на Токийской фондовой бирже и на своём потребительском сайте по перепродаже. Всё ниже — из сообщений компании.
20 октября 2026 года, раннее утро — утро
Посторонний использовал уязвимость в системе компании и забрал данные клиентов и других лиц (компания подтвердила это проверкой журналов доступа).20 октября, 10:30
Компания отключила внешний доступ к системе управления заявками.20 октября, 11:05
Она прекратила приём заявок через формы выездной скупки, Trefac Moving и другие формы заявок.23 октября
Компания объявила об инциденте в раскрытии информации и на своём сайте вместе с уведомлением о приостановке некоторых услуг для работ по безопасности. Она сообщила, что информирует Комиссию по защите персональной информации Японии, а также консультируется с полицией и другими органами и сообщает им.28 октября (по плану)
Систему и формы заявок планируется перезапустить около этой даты после необходимых мер безопасности и проверок.
- Система
- Система управления заявками, используемая для приёма и обработки обращений по выездной скупке и Trefac Moving
- Данные клиентов
- 746 277 записей. Поле — адрес email; в 11 записях также указаны имя и адрес
- Партнёры и сотрудники
- 750 записей с именами и адресами email деловых партнёров, сотрудников и других лиц
- Данные устройств
- 1 000 записей с именами и идентификаторами устройств, которыми пользуются деловые партнёры, сотрудники и другие лица
- Не вошло
- Номера кредитных карт, коды безопасности и другие платёжные данные (подтверждено компанией). Данные клиентов, хранящиеся в магазинах и в приложении компании (управляются в отдельных системах)
- Причина
- Компания считает, что была использована уязвимость, связанная с доступом к базе данных. Она заявляет, что подтвердила: инцидент не связан с недавно раскрытой уязвимостью PHP
- Вторичный ущерб
- Не подтверждён по состоянию на 23 октября
- Меры
- Внешний доступ остановлен, среди прочего сменены пароли связанных учётных записей. Ведутся работы по устранению использованной уязвимости, усилению защиты входа и мониторингу подозрительного доступа
- Уведомление органов
- Сообщение в Комиссию по защите персональной информации; консультации с полицией и другими органами и сообщение им
- Контакт
- Специальная горячая линия готовится (будет объявлена на официальном сайте)
Система управления заявками
Заявки на выездную скупку и Trefac Moving. Доступ получен 20 октября
Данные клиентов магазинов
Отдельная система. Не затронута (компания)
Данные клиентов приложения
Отдельная система. Не затронута (компания)
↓ подтверждённо похищенные данные
746 277 записей с email клиентов
В 11 также имя и адрес. Платёжных данных нет (компания)
↓ что может последовать в целом
Письма и SMS от имени Trefac
Под видом оценки, расчёта стоимости, дат визита или уведомлений о перезапуске
↓ не пользуйтесь ссылками
Сами откройте официальный сайт или приложение и проверьте
Что может произойти, если утёк только адрес email
Один адрес email не позволяет войти в учётную запись или снять деньги. Проблема в том, что он известен вместе со сведением, что этот человек оформлял выездную скупку или услугу переезда Trefac. В целом возможно следующее (компания не сообщала ни о чём из этого в данном случае).
Что может произойти в целом
- Поддельные результаты оценки, расчёты стоимости или изменения графика от имени Trefac
- Письма под видом извинений, компенсации или «акции по случаю перезапуска», ведущие на другой сайт
- Добавление адреса в спам-списки и рост общего объёма спама
Что можно сделать
- Проверяйте свои заявки на официальном сайте или в приложении
- Игнорируйте любой контакт, где под видом извинений или компенсации просят данные карты или банковского счёта
- Используйте жалобы на спам и фильтры и не открывайте ссылки от неизвестных отправителей
О другом случае утечки адресов email см. утечку email у JR East, View Card и JR Kyushu. В том же месяце крупная сеть по перепродаже Bookoff также сообщила об утечке данных участников программы. Эти два инцидента не связаны.
Что известно и что неизвестно
По сообщениям компании на 24 октября 2026 года (раскрытие информации от 23 октября и уведомление на сайте). Столбец статуса будет обновляться по мере новых сообщений.
| Пункт | Что сообщила компания | Статус |
|---|---|---|
| Адреса email клиентов | Подтверждена утечка 746 277 записей | Утечка подтверждена (компания) |
| Имена и адреса клиентов | В 11 из этих записей указаны имя и адрес | Утечка подтверждена (компания) |
| Данные партнёров и сотрудников | 750 имён и email; 1 000 имён и идентификаторов устройств | Утечка подтверждена (компания) |
| Номера карт и другие платёжные данные | Подтверждено, что в похищенных данных клиентов их нет | Не вошли (компания) |
| Данные клиентов магазинов и приложения | Управляются в отдельных системах; не затронуты | Не вошли (компания) |
| Номера телефонов и пароли | Среди похищенных данных не указаны | Не указано |
| Число людей | Опубликовано число записей; число людей не названо | Не указано |
| Дата и время доступа | Раннее утро — утро 20 октября | Подтверждено (компания) |
| Причина | Предположительно использована уязвимость, связанная с доступом к базе данных; подробности расследуются | Расследуется |
| Связь с уязвимостью PHP | Подтверждено, что не связано с недавно раскрытой уязвимостью PHP | Подтверждено (компания) |
| Вторичный ущерб | Не подтверждён (по состоянию на 23 октября) | Не подтверждён (компания) |
| Индивидуальные уведомления | Планируются для пострадавших клиентов; сроки и способ не названы | Запланировано (компания) |
| Специальная горячая линия | Готовится | Готовится (компания) |
| Перезапуск услуг | Планируется около 28 октября 2026 года | Запланировано (компания) |
| Влияние на финансовые результаты | Оценивается (раскрытие информации) | Расследуется |
Различие между раскрытием информации и уведомлением на сайте
Разбивка данных клиентов (746 277 записей, 11 с именем и адресом, без платёжных данных) приведена в раскрытии информации от 23 октября. В уведомлении на сайте от того же дня указаны 750 и 1 000 записей партнёров и сотрудников, но число записей клиентов мы в нём не нашли (проверено 24 октября). Цифры в этой статье взяты из раскрытия информации.
В августе 2026 года об утечке персональных данных из-за несанкционированного доступа сообщила и Kindal, консолидированная дочерняя компания группы (она есть в списке утечек и кибератак 2026 года на этом сайте). Treasure Factory сообщает, что в том случае речь шла об учётных данных сотрудников, полученных через фишинг, а в этом — об использованной уязвимости, связанной с доступом к базе данных, поэтому причины и пути проникновения различаются. Компания сообщает, что с августа пересматривает и усиливает аутентификацию и права доступа во всей группе.
Для тех, кто отвечает за системы приёма заявок
Подробная причина не опубликована, поэтому этот раздел опирается только на то, что подтверждают объявленные факты. Мы не гадаем о типе уязвимости и не утверждаем, что закрытие конкретной бреши предотвратило бы инцидент.
Составьте список внутренних систем за формами заявок, доступных извне
Затронутая система — система управления заявками, используемая для приёма заявок и связанных работ. Для предотвращения повторения компания называет управление уязвимостями и тестирование систем, доступных извне, а также меры защиты, такие как WAF (межсетевой экран веб-приложений, фильтрующий атаки на веб-приложения).
Составьте список систем управления заявками и клиентами за вашими формами заявок, до которых можно добраться из интернета, и назначьте для каждой ответственного и порядок обновления. Для административных экранов, которым не нужен внешний доступ, первый шаг — ограничить, откуда возможны подключения.
Разделение систем ограничивает объём утечки
Компания сообщает, что данные клиентов в магазинах и в приложении управляются в отдельных системах, поэтому они не затронуты. Возможность объяснить, что данные магазинов и приложения вне границ инцидента, сокращает число обращений и тревогу.
Не собирать данные клиентов всех направлений бизнеса в одном месте — одно из условий, определяющих размер ущерба, если вторжение не остановлено.
Определите, как долго хранить контакты по завершённым заявкам
Похищено более 740 000 записей с email клиентов. В целом стоит определить, сколько лет хранить контактные данные, собранные для заявок и расчётов стоимости, после завершения сделки, а по истечении срока удалять их или убирать контактные данные, оставляя только числа, нужные для отчётности; это ограничивает ущерб при сбое (как долго компания хранила такие данные, не раскрыто).
Храните журналы доступа так, чтобы их можно было прочитать в тот же день
Компания сообщает, что подтвердила кражу данных проверкой журналов доступа в день доступа и отключила внешний доступ к 10:30. Наличие журналов, которые можно прочитать, позволяет определить масштаб и быстро отключить доступ. Решите, где хранятся журналы и кто и когда их проверяет. Чтобы сократить число поддельных писем с вашим собственным доменом, см. Подмена email и SPF, DKIM и DMARC.
Источники (публичные материалы)
Факты в статье взяты из публичных источников ниже. Нераскрытые подробности вторжения и число пострадавших людей не домысливаются.
- Treasure Factory Co., Ltd., уведомление об утечке персональных данных из-за несанкционированного доступа к системе (23 октября 2026 года, раскрытие информации, на японском) — nikkei.com (PDF раскрытия информации)
- Treasure Factory Co., Ltd., извинения и уведомление об утечке персональных данных из-за несанкционированного доступа (23 октября 2026 года, на японском) — treasure-f.com
- Treasure Factory Co., Ltd., уведомление о частичной приостановке услуг для работ по безопасности (23 октября 2026 года, на японском) — treasure-f.com
История обновлений
2026-10-24: первая версия на основе раскрытия информации Treasure Factory от 23 октября и уведомлений на сайте. Будет обновлена, когда будут объявлены подробная причина, индивидуальные уведомления или горячая линия.
Читайте далее
- Утечка данных and ST HD (около 2,5 млн записей клиентов): что могло утечь и что делать участникам программы
- Утечки адресов email: Утечка email у JR East, View Card и JR Kyushu
- Случай в индустрии перепродажи за тот же период: Утечка данных Bookoff
- Подготовка к поддельным письмам: Что такое фишинг?
- Другой японский случай за тот же период: Утечка данных Abahouse
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)
- Утечка данных интернет-магазинов FANCL и Attenir (368 184 и 417 312 участников)