Для кого: пользователей ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay) или Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay), а также тех, кто пользовался ими и затем ушёл. Статья основана на официальном объявлении Yeny, Inc. и не описывает методы атак.
В развитии: статья будет обновляться по мере публикации новых данных организацией
- Кого это касается
пользователей ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay) или Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay), а также тех, кто пользовался ими и затем ушёл.
- ПодтвержденоСмотреть таблицу ↓
- Телефонный номер
- ID участника (собственный)
- Число затронутых записей
Ещё 2
- Причина
- Сообщение властям
- Пока не подтверждено
- Входят ли данные, кроме телефонных номеров и ID участников
- Разбивка числа записей по сервисам
- Период утечки и кто получил данные
Ещё 2
- Когда будут уведомлены затронутые пользователи и как поступят с бывшими участниками
- Использовались ли данные во вред
- Что сделать сейчасСмотреть шаги ↓
- Не реагируйте на SMS и звонки от имени ultra pay или команд
- Проверьте уведомления в приложении, чтобы узнать, затронуты ли вы
- Не перезванивайте по номеру из SMS. Обращайтесь в компанию официальными каналами
Ещё 2
- В качестве меры предосторожности просмотрите выписки по картам и счетам
- Если вы открыли ссылку или ввели данные, сразу обратитесь за помощью
- Где проверить (источник)Все источники ↓
- Yeny, Inc., «Извинения и уведомление об утечке данных участников из-за несанкционированного доступа» (12 ноября 2026, на японском языке)
- Последняя проверка
- По состоянию на 14 ноября 2026 года
Планы обновлений и что мы проверили
Компания говорит, что объявление основано на информации на 15:00 12 ноября 2026 года и может быть обновлено после дальнейшего расследования. Новые сведения она обещает публиковать в каждом приложении и на своём сайте. Когда мы проверили уведомления компании 14 ноября 2026 года, сообщений после объявления от 12 ноября не было.
Что пользователям нужно сделать сегодня
Не реагируйте на SMS и звонки от имени ultra pay или команд
Компания предупреждает о SMS и звонках, выдающих себя за неё. Она говорит, что никогда не просит вводить пароли или данные карт по SMS или телефону. Если пришло незнакомое SMS, не открывайте URL, не вводите личные данные и удалите его.
Когда телефонный номер известен, проще составить правдоподобные SMS и звонки вроде «подтвердите использование ultra pay», «акция Pay вашей команды» или «подтвердите несанкционированное использование» (мнение этого сайта). О том, как отличить такие сообщения, см. Что такое фишинг?
Проверьте уведомления в приложении, чтобы узнать, затронуты ли вы
Компания говорит, что затронутых пользователей уведомят в разделе уведомлений приложения. Не используйте ссылки из SMS или писем. Самостоятельно откройте официальное приложение на телефоне и прочитайте уведомления.
Затронуты четыре сервиса. Если вы пользуетесь несколькими приложениями, проверьте каждое. Если уведомления не видно, можно обратиться через специальную форму, указанную в объявлении.
Не перезванивайте по номеру из SMS. Обращайтесь в компанию официальными каналами
Если пришёл подозрительный контакт, используйте официальное приложение или контакты на официальном сайте компании, а не номер или URL из SMS. Обращения по этому делу компания принимает через специальную форму. В объявлении нет отдельного адреса электронной почты или номера телефона.
В качестве меры предосторожности просмотрите выписки по картам и счетам
Компания говорит, что утечка платёжных данных не подтверждена и что эти данные сами по себе нельзя использовать для платежей. Если вы всё же беспокоитесь о подозрительных списаниях, проверьте выписки по привязанному источнику оплаты (карточная компания или банк) на предмет незнакомых списаний.
Если вы открыли ссылку или ввели данные, сразу обратитесь за помощью
Если вы ввели номер карты или пароль по ссылке из подозрительного SMS, немедленно свяжитесь с карточной компанией или банком и смените пароль в сервисах, где используете такой же. В Японии можно также позвонить на линию консультаций полиции (#9110) или на горячую линию потребителей (188). Чтобы проверить подозрительную активность в аккаунте, см. Как проверить несанкционированный доступ.
Что произошло (по объявлению Yeny, Inc.)
12 ноября 2026 года Yeny, Inc. разместила на своём сайте «Извинения и уведомление об утечке данных участников из-за несанкционированного доступа». Всё ниже основано на этом объявлении.
31 окт.
Определённый подключённый партнёр сообщил компании о подозрительных вызовах API. Компания начала первичное расследование.2 нояб.
Тот же партнёр сообщил, что телефонные номера могли утечь. Компания подтвердила дефект настройки и отреагировала экстренными техническими работами.3–4 нояб.
Компания подробно расследовала причину и последствия.5 нояб.
Компания подтвердила факт утечки данных участников (телефонных номеров и собственных ID участников).6 нояб.
Компания сообщила в Финансовое бюро Канто и Комиссию по защите персональной информации.12 нояб.
Компания опубликовала объявление (информация на 15:00).
- Сервисы
- ultra pay Card, Azul Claro Numazu Pay (アスルクラロ沼津Pay), Kamigami Kon Pay (巫神こんPay), Toshiba Brave Lupus Tokyo Pay (東芝ブレイブルーパス東京Pay)
- Число записей
- 1 332 505 (включая бывших участников)
- Утёкшие данные
- Телефонные номера, собственные ID участников компании
- Не входят
- Утечка платёжных данных, таких как номера кредитных карт, не подтверждена. Компания объясняет, что утёкшие данные сами по себе нельзя использовать для несанкционированного входа в приложение или для платежей
- Причина
- Дефект в настройке API-подключения компании
- Уведомление затронутых пользователей
- Раздел уведомлений приложения
- Обращения
- Специальная форма обращений по этому делу
Что известно и что нет
Таблица основана на объявлении компании от 12 ноября, по состоянию на 14 ноября 2026 года. Когда появятся новые сообщения, мы обновим столбец статуса.
| Пункт | Что сказано в объявлении | Статус |
|---|---|---|
| Телефонный номер | Входит в утёкшие данные | Утечка подтверждена (компания) |
| ID участника (собственный) | Входит в утёкшие данные | Утечка подтверждена (компания) |
| Число затронутых записей | 1 332 505 (включая бывших участников) | Утечка подтверждена (компания; записи, а не люди) |
| Разбивка числа по сервисам | Не указана | Не указано |
| Платёжные данные, такие как номера кредитных карт | Утечка не подтверждена | Не входят (компания, на данный момент) |
| Использование для несанкционированного входа или платежей | Компания объясняет, что утёкшие данные сами по себе использовать нельзя | Объяснение компании |
| Имя, адрес электронной почты, адрес | Не указаны среди данных | Не указано |
| Причина | Дефект в настройке API-подключения компании | Утечка подтверждена (компания) |
| Кто получил данные, метод, период | Сказано только, что определённый подключённый партнёр сообщил о подозрительных вызовах API | Не указано |
| Сообщение властям | 6 ноября сообщено в Финансовое бюро Канто и Комиссию по защите персональной информации | Утечка подтверждена (компания) |
| Уведомление затронутых пользователей | Раздел уведомлений приложения | Запланировано (компания) |
| Уведомление бывших участников | Входят в число, но способ уведомления не указан | Не указано |
| Использование данных во вред | В объявлении нет подтверждённых случаев. Предупреждает о SMS и звонках от имени компании | Не указано |
Для чего можно использовать телефонные номера и ID участников
В таблице ниже описано, что в целом может происходить с такой комбинацией данных. Это не означает, что так случилось в этом инциденте.
| Утёкшие данные | Что в целом может произойти | Что делать пользователям |
|---|---|---|
| Телефонный номер | Правдоподобный ложный контакт по SMS или телефону | Не открывайте URL из незнакомых сообщений; проверяйте в официальном приложении |
| ID участника (собственный) | Контакт под видом обращения или проверки использования, где называют ID, чтобы вызвать доверие | Названный ID не делает контакт настоящим; не перезванивайте, используйте официальные каналы |
| Телефонный номер + ID участника | Контакт под предлогом «проверки аккаунта» или «проверки несанкционированного использования», чтобы получить пароли или данные карт | Компания говорит, что не просит пароли или данные карт по SMS или телефону |
К чему могут привести утёкшие данные
- Правдоподобные SMS и звонки от имени ultra pay или командных сервисов Pay
- Поддельные сайты, куда ведут сообщения о «проверке использования» или «проверке несанкционированного использования»
- Обращения, где называют ID участника, чтобы вызвать доверие
Что не подтверждено в рамках объявления
- Утечка платёжных данных, таких как номера кредитных карт (на данный момент)
- Несанкционированный вход или платежи с использованием только утёкших данных (объяснение компании)
Что должны проверить операторы: настройки API, которыми делятся с внешними партнёрами
Причина не раскрыта подробно, поэтому в этом разделе только то, что следует из опубликованных фактов.
- Сузьте то, что возвращает открытый для внешних партнёров API: компания говорит, что из-за дефекта в настройке API-подключения утекли данные участников, включая телефонные номера. В целом API для внешнего партнёра безопаснее, если он настроен возвращать только те поля, которые партнёру нужны: это ограничивает последствия ошибки в настройке.
- Следите за неожиданными вызовами API: в объявлении компании о подозрительных вызовах первым сообщил подключённый партнёр. Мониторинг объёма вызовов и того, кто вызывает, а также порядок остановки аномальных вызовов могут сократить время до обнаружения. Компания также говорит, что пересмотрит мониторинг и обнаружение.
Источники (публичные материалы)
Факты в этой статье основаны на приведённом ниже официальном объявлении. Нераскрытые детали причины мы не угадываем.
- Yeny, Inc., «Извинения и уведомление об утечке данных участников из-за несанкционированного доступа» (12 ноября 2026, на японском языке) — yeny.jp
История обновлений
2026-11-14: первая версия на основе объявления Yeny, Inc. от 12 ноября. В тот же день мы проверили официальное объявление и не нашли дальнейших сообщений.
Читайте далее
- Похожий тип инцидента (утечки платёжных и предоплаченных карт): Несанкционированный доступ к Value Card от Value Design (номера карт, PIN, балансы)
- Как распознать ложный контакт: Что такое фишинг? / Основы безопасности смартфона
- Подозрительная активность в аккаунте: Как проверить несанкционированный доступ
- Другие инциденты 2026 года: Утечки данных и кибератаки (Япония и мир)