Для кого: для людей, зарегистрированных в официальном приложении Yakiniku King в Японии, и для всех, кто управляет приложением с программой участников. Статья основана на официальном уведомлении Monogatari Corporation и не описывает методы атак.
Что участникам стоит сделать сегодня
Не переходите по ссылкам и не выполняйте инструкции из писем, SMS или звонков, которые выдают себя за Yakiniku King
Утекшие данные объединяют имя, номер телефона, адрес электронной почты и номер участника. Имея всё это, мошенник может отправить сообщение с вашим правильным именем и номером участника.
Если вы получили сообщение о «извинительных купонах», «бонусных баллах», «вы выиграли в акции» или «процедуре возврата», не открывайте ссылку; откройте приложение сами и проверьте информацию. Поддельные SMS (смишинг) нужно обрабатывать так же (см. Что такое фишинг?).
Никогда не вводите данные карты или пароли на странице, открытой по ссылке
Компания заявляет, что не будет запрашивать пароли или данные банковских карт. Она также говорит, что изначально не хранит платёжные данные.
Тот, кто знает ваше имя и номер участника, этим не доказывает, что он настоящий. Именно эти данные и утекли. Если кто-то под предлогом возврата или извинений просит номер карты, считайте это мошенничеством.
Если вы используете тот же пароль в других местах, разведите их
Компания заявляет, что пароли для входа не утекли. Согласно уведомлению, менять пароль от приложения прямо сейчас не нужно.
Если вы используете тот же пароль в других сервисах, разведите их уже сейчас. Реалистичный способ провести инвентаризацию паролей — менеджер паролей.
Некоторое время внимательно относитесь к незнакомым звонкам и сообщениям
Вы можете создать новый адрес электронной почты, но номер телефона связан с повседневной жизнью и его непросто сменить. Утекшие номера могут долго получать мошеннические звонки и сообщения, в том числе не имеющие отношения к Yakiniku King.
Включение в телефоне фильтров спам-звонков и спам-сообщений уменьшит число нежелательных контактов (справочно: Основы безопасности смартфона).
Связывайтесь с компанией только по опубликованному номеру
С вопросами звоните в колл-центр приложения компании (0120-795-775, 10:00–18:00 по японскому времени, включая выходные и праздничные дни). Используйте номер с официального сайта Monogatari Corporation, а не номер из полученного вами сообщения.
Что произошло (по уведомлению Monogatari Corporation)
Monogatari Corporation опубликовала извинения и уведомление 5 октября 2026 года. Всё изложенное ниже приведено так, как сказано в уведомлении компании.
2 окт. 2026 (пт)
В системе управления участниками официального приложения Yakiniku King подтверждён несанкционированный доступ третьей стороны. Компания прекратила обмен данными и внедрила защитные меры. В её уведомлении от 20 октября говорится, что периодические атаки со стороны внешней третьей стороны начались в 9:00 в этот день.3 окт. (сб)
Подтверждена утечка данных участников.5 окт.
Опубликованы извинения и уведомление. Компания сообщила, что передаёт информацию в Комиссию по защите персональных данных и подаёт заявление о ущербе в полицию, а также предпринимает другие шаги.20 окт.
Объявлены меры по усилению безопасности и защиты персональных данных: продолжение более строгого мониторинга, рассмотрение системы обнаружения на основе ИИ и план перевода 11 официальных приложений группы на новую систему, которая не будет хранить имена и номера телефонов (первая половина 2027 года). Компания сообщила, что передала информацию в полицию и готовит отчёт в Комиссию по защите персональных данных.
- Кто
- 10 788 963 из 10 808 784 регистраций в официальном приложении Yakiniku King
- Что утекло
- Номер участника, имя (имя, указанное в приложении), адрес электронной почты, номер телефона
- Что не утекло
- Пароль для входа, дата рождения, пол, почтовый индекс, история посещений магазинов, включая баллы. Компания не хранит платёжные данные, например данные банковских карт
- Публикация или злоупотребление
- Публикации для широкой публики или злоупотреблений на данный момент не обнаружено
- Причина
- Не раскрыта. Проводится подробное расследование при участии компании-разработчика и связанных компаний. В уведомлении от 20 октября говорится, что периодические атаки со стороны внешней третьей стороны начались в 9:00 2 октября
- Дополнительные меры (20 октября)
- При участии связанных компаний: дополнительные меры против проникновения извне и продолжение более строгого мониторинга. Рассматривается система обнаружения на основе ИИ
- Хранимые данные (20 октября)
- 11 официальных приложений группы, включая Yakiniku King, перейдут на новую систему, которая хранит меньше персональных данных; имена и номера телефонов храниться не будут. Запланировано на первую половину 2027 года. Адреса электронной почты по-прежнему будут собираться для бронирования, с долгосрочной целью не хранить и их
- Отчёты (20 октября)
- Передано в полицию. Отчёт в Комиссию по защите персональных данных готовится. О ситуации также сообщено соответствующим государственным ведомствам и проинформированы они же, а на случай вторичного вреда создана система взаимодействия с соответствующими организациями
- Сервис
- Официальное приложение продолжает работать с защитными мерами против несанкционированного доступа извне
- Другие бренды
- Те же меры применены к официальным приложениям других брендов компании, и компания заявляет, что там утечки не произошло
- Контакты
- Колл-центр приложения: 0120-795-775 (10:00–18:00 по японскому времени, включая выходные и праздничные дни)
Как утекшие данные могут использоваться в сочетании
Ни один из этих данных по отдельности не является редким, но вместе они делают мошеннические сообщения правдоподобными. Даты рождения и адреса в этот раз не утекли; заметно то, что три способа связаться с вами (имя вместе с телефоном и email) утекли одновременно.
Имя + email + номер участника
↓→
Поддельные письма о купонах или возвратах с вашим правильным именем и номером участника
→ Не открывайте ссылки; проверяйте в официальном приложении
Имя + номер телефона
↓→
Поддельные SMS и звонки с использованием вашего имени
→ Никогда не сообщайте данные карты; используйте фильтры спам-сообщений
Не утекли, по словам компании
- Пароль для входа
- Дата рождения, пол и почтовый индекс
- История посещений магазинов, включая баллы
- Платёжные данные (никогда не хранились)
Утекли
- Номер участника
- Имя (имя, указанное в приложении)
- Адрес электронной почты (можно сменить, но это хлопотно)
- Номер телефона (сменить непросто)
Как понимать: «злоупотреблений не обнаружено» не означает «в дальнейшем безопасно»
Компания заявляет, что публикации или злоупотреблений утекшими данными пока не обнаружено. Это означает, что ничего пока не найдено, а не то, что данные никогда не будут использованы.
Номера телефонов часто остаются прежними годами, поэтому их могут использовать в мошеннических сообщениях через месяцы или годы. Будьте внимательны к сообщениям, которые используют этот инцидент как повод связаться с вами.
В уведомлении утекшее имя описано как «имя, указанное при регистрации в приложении». Если вы регистрировались под псевдонимом и получаете сообщение, обращённое к этому псевдониму, оно может использовать данные из этой утечки.
Для тех, кто управляет приложениями с программой участников
Утекшие записи охватывают более 99% регистраций в приложении: контактные данные почти каждого участника утекли из одной системы управления участниками. Причина не раскрыта, поэтому этот раздел опирается на пункты, которые может проверить любой сервис с похожей архитектурой. 20 октября компания объявила, что, чтобы не допустить повторения, её приложения перестанут хранить имена и номера телефонов. Данные, которых у вас нет, не могут утечь, поэтому прежде чем вводить ограничения на чтение и оповещения, стоит спросить, действительно ли нужен каждый элемент данных. Ограничение того, что серверное приложение может читать, рассматривается в материале Утечка данных приложения Seicomart; здесь мы добавим пункты, связанные с масштабом этого инцидента.
Ограничьте количество записей, которые одна операция или один аккаунт может прочитать
Даже административным экранам и функциям управления в обычной работе редко нужно читать миллионы записей сразу. Установите ограничение на количество записей, возвращаемых одним поиском или выгрузкой, а полные выгрузки переведите в отдельную процедуру (согласование или ограниченные часы работы).
Установка лимитов и оповещения при их достижении описаны в материале Ограничение частоты запросов и контроль злоупотреблений.
Фиксируйте количество прочитанных строк в час и оповещайте об отклонении от нормы
Для начала фиксируйте, сколько строк читается из базы данных участников каждый час, и уведомляйте ответственного, когда число превышает обычный уровень в несколько раз. Многие облачные базы данных и функции журналов аудита позволяют настроить оповещения по количеству строк или времени выполнения.
Анализ чтения в необычное время или из необычных источников, а не только по количеству, также помогает легче замечать аномалии.
Составьте список всех путей, которые могут читать данные всех участников, и сократите его
Помимо пути, используемого приложением, система управления участниками часто имеет подключения для административных экранов, разработки и обслуживания. Составьте список путей, которые могут читать данные всех участников, отключите неиспользуемые подключения и требуйте многофакторную аутентификацию и ограничения по источникам для остальных (справочно: Аутентификация и авторизация).
Источники (открытые публикации)
Факты в этой статье взяты из следующих открытых источников. Нераскрытые методы или причины проникновения не обсуждаются.
- Monogatari Corporation, извинения в связи с утечкой персональных данных в результате несанкционированного доступа третьей стороны к системе управления участниками официального приложения Yakiniku King (5 октября 2026 года, на японском языке) — monogatari.co.jp
- Та же компания, уведомление о будущих мерах безопасности и защиты персональных данных для официального приложения Yakiniku King (20 октября 2026 года, на японском языке) — monogatari.co.jp
- ITmedia NEWS (5 октября 2026 года, на японском языке) — itmedia.co.jp
- Nikkei, материал об утечке данных клиентов Yakiniku King более чем 10 миллионов записей (5 октября 2026 года, на японском языке) — nikkei.com
- ASCII, материал о том, что данные 10,78 млн человек утекли и охватывают почти всех зарегистрированных в приложении (5 октября 2026 года, через Yahoo! News Japan, на японском языке) — news.yahoo.co.jp
История обновлений
2026-10-22: добавлено уведомление Monogatari Corporation от 20 октября: периодический несанкционированный доступ с 9:00 2 октября, усиленный мониторинг и другие меры, запланированный перевод 11 официальных приложений группы на новую систему, которая не будет хранить имена и номера телефонов (первая половина 2027 года), а также статус обращения в полицию и отчёта в Комиссию по защите персональных данных. Подробности причин по-прежнему не опубликованы.
2026-10-05: первая версия, основанная на уведомлении Monogatari Corporation от 5 октября. Компания заявляет, что расследует причину и то, как произошёл доступ; статья будет обновлена, когда это будет опубликовано.
Читайте далее
- Мошенничество после утечки: Что такое фишинг? / Основы безопасности смартфона
- Пароли: Выбор менеджера паролей
- Другие японские инциденты того же периода: Утечка данных приложения Seicomart / Утечка данных Abahouse / Утечка данных приложения и интернет-магазина MrMax / Утечка данных участников Bookoff (до около 6,43 млн записей) / Утечка данных сайта опросов infoQ / Утечка данных приложения Burger King Japan (около 11,18 млн записей)
- Система заказов ресторанной сети: Утечка данных онлайн-заказов Pizza Hut Japan
- Другие инциденты 2026 года: список утечек и кибератак (Япония и весь мир)