Для кого эта статья: для людей, которые владеют магазинной предоплаченной картой (собственными электронными деньгами), например MOS Card, предоплаченной картой японской сети MOS Burger, и для компаний, которые передают обслуживание такой системы карт на аутсорсинг. Статья основана на официальных объявлениях PayCloud Holdings, Value Design и MOS Food Services и не описывает, как была проведена атака.
Ситуация развивается: статья будет обновляться по мере публикации новой информации организациями
По состоянию на 26 октября 2026 годаПока неизвестно
- Какие другие эмитенты и карты затронуты
- Как цифра по MOS Card соотносится с общим итогом Value Card
- Как держатели карт смогут установить новый PIN-код
- Как будут обрабатываться невыпущенные и не находящиеся в обращении карты
- Какая уязвимость была использована
PayCloud Holdings в объявлении от 23 октября сообщила, что оперативно опубликует любые новые выявленные факты. MOS Food Services также заявила, что оперативно разместит на своём сайте любые новые факты, которые должны быть раскрыты. Когда 26 октября мы проверили новостные ленты обеих компаний, последующих сообщений опубликовано не было.
Что держателям карт делать сегодня
Проверьте историю операций MOS Card
MOS Food Services просит держателей карт проверить неизвестное использование, например списания с баланса. Если вы обнаружите что-то подобное, обратитесь на специальную горячую линию MOS Card.
Горячая линия работает с 9:00 до 22:00. Номер 03-3496-8322 действует до понедельника, 26 октября, а с вторника, 27 октября, — 0120-395-126 (бесплатно по Японии).
Если перестанет работать онлайн-проверка баланса, позвоните на горячую линию
По словам компании, PIN-коды, связанные с утекшими номерами карт, принудительно сброшены. Использование карты в магазине, при онлайн-заказах и через «заказ за столиком» не затронуто.
Компания просит обратиться на горячую линию, если вы не можете сделать ничего из следующего:
- проверить баланс онлайн;
- зарегистрировать карту в официальном приложении;
- использовать MOS Card для гостевой покупки при онлайн-заказе.
Сотрудники горячей линии могут задать простые вопросы для идентификации, например, в каком магазине вы покупаете или каков ваш баланс.
Не отвечайте тем, кто просит назвать PIN-код или номер карты
На этот раз имена и контактные данные не утекли. Тем не менее, когда инцидент попадает в новости, людям часто звонят или пишут люди, выдающие себя за компанию или компанию-эмитента карт, и просят назвать номера, чтобы «сбросить PIN-код» или «защитить баланс».
Если кто-то просит PIN-код или номер карты по телефону, в письме или по SMS, не отвечайте. Позвоните по номеру из официального уведомления самостоятельно, чтобы проверить (как распознать подделки: Что такое фишинг?).
По другим магазинным предоплаченным картам проверяйте уведомления эмитента
Value Card — это система, которую Value Design предоставляет многим эмитентам карт. Value Design сообщает, что информирует о ходе расследования ряд клиентских компаний, у которых подтверждён несанкционированный доступ, но какие эмитенты, кроме MOS, затронуты, не раскрыто.
Если у вас есть магазинная предоплаченная карта, проверьте уведомления на официальном сайте магазина или компании, которая её выпустила, и следуйте её указаниям о перевыпуске карты или смене PIN-кода. По состоянию на 26 октября MOS Food Services не объявляла о перевыпуске карт.
Почему важны номер карты и PIN-код вместе
Многие предоплаченные карты идентифицируют держателя по номеру карты и PIN-коду, а не по имени. В уведомлении MOS Food Services в числе функций, затронутых сбросом PIN-кода, указаны онлайн-проверка баланса, регистрация в приложении и гостевые покупки при онлайн-заказе. Компания сообщает, что сбросила PIN-коды, чтобы предотвратить злоупотребления. В целом даже без имён и адресов номер карты и PIN-код в некоторых ситуациях могут позволить использовать баланс.
Что произошло (по объявлениям компаний)
23 октября 2026 года три компании опубликовали уведомления: Value Design Inc. (оператор Value Card), её материнская компания PayCloud Holdings, Inc. (котируется на фондовом рынке Growth Токийской фондовой биржи) и MOS Food Services, Inc., эмитент MOS Card, которая поручила Value Design эксплуатацию и обслуживание серверов MOS Card. В уведомлении MOS Food Services название «Value Card» не упоминается. В собственном уведомлении Value Design отсылает читателей к раскрытию материнской компании за подробностями. Всё, что ниже, взято из этих объявлений.
14 октября (ср) – 18 октября (вс), 2026
Value Design обнаружила подозрительный доступ и попытки несанкционированного входа в систему управления MOS Card и немедленно приняла экстренные меры, в том числе заблокировала доступ (объявление MOS Food Services).19 октября (пн)
Дата, которую PayCloud Holdings называет датой подтверждения инцидента.22 октября (чт)
Value Design опубликовала уведомление о приостановке других сервисов (Arara Cashless и онлайн-пополнения) как меры предосторожности в связи с уязвимостью PHP. В этом уведомлении говорится, что сервис ASP Value Card работал. Ни в одном объявлении не указана связь с этим инцидентом.23 октября (пт)
PayCloud Holdings (раскрытие на фондовой бирже), Value Design и MOS Food Services объявили об инциденте. MOS Food Services сообщает, что принудительно сбросила PIN-коды, связанные с утекшими номерами карт (дата сброса не указана).27 октября (вт)
Горячая линия MOS Card запланирована к переходу на номер 0120-395-126 (бесплатно по Японии).
- Затронутая система
- Серверы Value Card, собственной службы выпуска электронных денег, которую Value Design предоставляет эмитентам карт
- Утекшие данные
- ID-номер, PIN-код, информация о балансе
- Записи
- 1 424 748 (569 224 выпущенных ID, 855 524 невыпущенных ID). Невыпущенные ID — это ID, которые пользователь ещё не купил
- Личные данные
- Нет
- Влияние на пользователей
- Существовал риск неправомерного использования выпущенных ID, который устранён. Фактического ущерба от злоупотреблений не было. Некоторые пользователи могут столкнуться с неудобствами из-за мер реагирования
- Причина
- Третье лицо использовало уязвимость веб-сервера в части системной среды дочерней компании
- Реагирование
- Канал доступа заблокирован вскоре после обнаружения, сообщено в соответствующие органы. Все сервисы будут повторно проверены на уязвимости с привлечением внешних специалистов
- Утекшие данные
- Номер карты MOS Card (16 цифр), PIN-код (6 цифр), информация о балансе
- Записи
- 1 133 070 из около 3,8 млн выпущенных карт (около 570 000 в обращении, около 560 000 не в обращении)
- Не входили
- Личные данные, такие как имя, адрес, номер телефона и данные кредитной карты
- Как обнаружено
- Утечка подтверждена как результат несанкционированного доступа с использованием внешней программы
- Ущерб
- Обращений клиентов о ущербе из-за этого инцидента не было (по состоянию на 23 октября)
- Первая мера
- Принудительный сброс PIN-кодов, связанных с утекшими номерами карт
- Контакты
- Специальная горячая линия MOS Card (с 9:00 до 22:00): 03-3496-8322 до 26 октября, 0120-395-126 с 27 октября
Платформа Value Card (Value Design)
Утекли ID-номера, PIN-коды и балансы: 1 424 748 записей (PayCloud Holdings)
↓ Эмитенты карт среди клиентов Value Design
MOS Card (MOS Food Services)
1 133 070 записей. PIN-коды принудительно сброшены
Другие эмитенты
Названия, карты и цифры не раскрыты
↓ Держатели карт
Проверяйте историю операций, следуйте указаниям эмитента, никому не сообщайте PIN-код
Что известно, а что нет
На основании объявлений трёх компаний (все датированы 23 октября) по состоянию на 26 октября 2026 года. Мы обновим колонку статуса, когда появятся последующие сообщения.
| Пункт | Что объявлено | Статус |
|---|---|---|
| ID-номер (карты), PIN-код, баланс | Данные, которые хранятся для Value Card и MOS Card | Утечка подтверждена (PayCloud Holdings, MOS Food Services) |
| Итог по Value Card | 1 424 748 (569 224 выпущенных, 855 524 невыпущенных) | Подтверждено (PayCloud Holdings) |
| Итог по MOS Card | 1 133 070 (около 570 000 в обращении, около 560 000 не в обращении) | Подтверждено (MOS Food Services) |
| Имена, адреса и другие личные данные | Нет. MOS перечисляет имя, адрес, номер телефона и данные кредитной карты | Не входили (обе компании) |
| Злоупотребления | Риск неправомерного использования выпущенных ID устранён, фактического ущерба нет. У MOS не было обращений о ущербе | Фактического ущерба нет (PayCloud HD); обращений о ущербе нет (MOS) |
| PIN-коды MOS Card | PIN-коды, связанные с утекшими номерами карт, принудительно сброшены | Подтверждено (MOS Food Services) |
| Причина | Уязвимость веб-сервера, использованная третьим лицом. Какая именно, не указано | Подтверждено (PayCloud Holdings); детали не указаны |
| Другие эмитенты | Информация передаётся некоторым клиентским компаниям, но названия компаний или карт не приводятся | Не указано |
| Связь цифры по MOS Card с общим итогом | Компании используют разные разбивки (выпущенные/невыпущенные и в обращении/не в обращении); входит ли цифра MOS в общий итог, не указано | Не указано |
| Связь с приостановкой других сервисов 22 октября из-за уязвимости PHP | В объявлениях от 23 октября не упоминается | Не указано |
| Обработка невыпущенных и не находящихся в обращении карт | Не упоминается | Не указано |
Почему мы не складываем цифры
1 424 748 — это общий итог Value Card по данным PayCloud Holdings, а 1 133 070 — цифра MOS Card по данным MOS Food Services. Компании по-разному разбивают свои данные, и ни одна не сообщает, входит ли цифра MOS Card в общий итог. В этой статье обе цифры приведены отдельно, и мы их не складываем и не вычитаем.
Что может произойти, когда утекают номера карт, PIN-коды и балансы
В целом, если кто-то узнает номер предоплаченной карты и PIN-код, может произойти следующее (в этом инциденте такого не объявлялось; PayCloud Holdings сообщает, что фактического ущерба не было, а MOS Food Services сообщает, что не получала обращений о ущербе).
Что в целом может произойти
- Кто-то использует номер карты и PIN-код, чтобы потратить баланс онлайн, выдавая себя за держателя
- Мошеннические звонки или сообщения, которые используют новости и утверждают, что вы должны «сбросить PIN-код», чтобы получить номер
Что можно сделать
- Проверить историю операций на списания, которые вы не узнаёте
- Следовать указаниям эмитента (сброс PIN-кода, перевыпуск)
- Никогда не сообщать PIN-код или номер карты тем, кто об этом просит
О случае с предоплаченными картами и бонусными баллами, когда были просмотрены имена и контактные данные, см. утечку в приложении Seicomart. Этот случай противоположен: имена не утекли, но утекли номера, необходимые для использования самой карты.
Для компаний, которые передают систему предоплаченных карт на аутсорсинг
Единственная раскрытая причина — «уязвимость веб-сервера»; какой продукт или какая уязвимость, неизвестно. Этот раздел опирается только на раскрытую последовательность событий и перечень утекших данных.
Знайте, какие ваши данные находятся на платформе поставщика
В этом инциденте оператор платформы опубликовал общую цифру, а эмитент, MOS Food Services, опубликовал цифру по своим картам. Эмитент должен своими словами объяснить своим клиентам, кто затронут и что делать. Заранее выясните, какая часть номеров карт, PIN-кодов и балансов (включая непроданные карты) хранится на платформе поставщика.
Подготовьте процедуру массового сброса PIN-кодов
MOS Food Services принудительно сбросила PIN-коды, связанные с утекшими номерами карт, и сообщает, что использование в магазинах не затронуто. С другой стороны, некоторые держатели карт больше не могут проверить баланс онлайн или зарегистрировать приложение, поэтому компания обслуживает их через горячую линию. Заранее определённый перечень функций, которые теряют держатели карт после массового сброса PIN-кодов, и порядок установки нового PIN-кода позволяют быстрее опубликовать уведомление.
Защищайте данные карт, которые ещё не проданы
По разбивке обеих компаний, около 50–60% утекших записей относятся к картам, которые ещё не проданы. Номер и PIN-код непроданной карты становятся пригодными к использованию после продажи. Проверьте, где хранятся данные непроданных карт, и можно ли менять их PIN-коды до продажи, так же как для карт в обращении.
MOS Food Services перечисляет в качестве мер по предотвращению повторения: более строгие проверки безопасности подрядчиков, усиленный контроль несанкционированного доступа через API, ограничения на простые или рискованные пароли, ограничения по IP-адресам источника для учётных записей администраторов, а также усиленный мониторинг, включая среды подрядчиков. Это меры, которые компания говорит, что примет; это не заявление о причине данного инцидента.
Источники (публичные данные)
Факты в этой статье основаны на следующей публичной информации. Мы не строили предположений о нераскрытых деталях атаки или её причинах.
- PayCloud Holdings, Inc., уведомление о несанкционированном доступе к системе, предоставляемой консолидированной дочерней компанией (23 октября 2026, раскрытие на фондовой бирже, на японском языке) — release.tdnet.info (PDF)
- Value Design Inc., уведомление о несанкционированном доступе к предоставляемой ею системе (23 октября 2026, на японском языке) — valuedesign.jp
- MOS Food Services, Inc., уведомление об утечке информации о предоплаченных картах из-за несанкционированного доступа (23 октября 2026, раскрытие на фондовой бирже, на японском языке) — eir-parts.net (PDF)
- Официальный сайт MOS Burger, важное уведомление об утечке информации MOS Card (23 октября 2026, на японском языке) — mos.jp
- Value Design Inc., уведомление о приостановке некоторых сервисов в связи с критической уязвимостью PHP (22 октября 2026, на японском языке; связь с этим инцидентом не указана) — valuedesign.jp
История обновлений
2026-10-26: Первая версия, основанная на объявлениях PayCloud Holdings, Value Design и MOS Food Services от 23 октября. Мы обновим её, когда будут объявлены другие эмитенты или причина.
Читайте также
- Случай с предоплаченными картами и баллами: Утечка в приложении Seicomart
- Мошенничество после утечек: Что такое фишинг?
- Утечка через поставщика услуг: Утечка Temairazu
- Крупные инциденты 2026 года: Крупнейшие утечки данных в Японии в 2026 году / список утечек и кибератак (Япония и мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций