электронная коммерция
10 статей с этим тегом
Несанкционированный доступ к компании, занимающейся логистикой интернет-магазинов (хранение и отправка): данные о доставке из нескольких интернет-магазинов — имена, адреса, телефоны и другое — могли утечь, что делать покупателям
11 ноября 2026 года компания, занимающаяся логистикой (хранение и отправка) для интернет-магазинов, сообщила, что в период с 8 по 9 ноября посторонние третьи лица получили несанкционированный доступ к её системам и что часть данных об отправках была похищена. Данные охватывают заявки на отправку с 8 апреля по 8 ноября 2026 года, а информация, которая могла утечь, — это имя, адрес и номер телефона получателя, адрес электронной почты (если он зарегистрирован) и сведения о товарах. Компания говорит, что не хранит номера кредитных карт, поэтому они не затронуты. Число людей расследуется, и по состоянию на 11 ноября злоупотреблений или вторичного ущерба не подтверждено. Интернет-магазины, передающие логистику этой компании, опубликовали на своих официальных сайтах, как это коснулось их клиентов (в статье перечислены шесть магазинов, чьи официальные уведомления нам удалось прочитать; количества приведены так, как их указывает каждый магазин, общий итог не приводится). Вывод этого сайта: покупателям следует исходить из того, что обращения от имени курьера, магазина, где вы покупали, или заказа могут выглядеть правдоподобно, и не отвечать на требования оплаты или подтверждения от тех, кто знает ваши контактные данные и что вы купили.
Утечка данных карт на странице оплаты Fandango (октябрь 2026): возможен несанкционированный доступ; номер карты, CVV, срок действия, почтовый индекс платёжного адреса и адрес электронной почты могли быть затронуты. Что делать
Fandango Media, компания по продаже билетов в кино, подала уведомление генеральному прокурору Калифорнии 13 ноября 2026 года. В уведомлении сказано, что компания узнала о проблеме на своей странице оплаты билетов, провела расследование с внешними специалистами по кибербезопасности и устранила её. Расследование выявило свидетельства того, что неуполномоченная сторона могла получить доступ к данным платёжных карт, связанным с некоторыми транзакциями на странице оплаты, с 8 по 11 октября 2026 года, а 30 октября компания определила, что информация конкретного человека могла быть затронута. Информация, которая могла быть затронута, — номер платёжной карты, CVV, срок действия, почтовый индекс платёжного адреса и адрес электронной почты. В уведомлении сказано, что имя и фамилия, данные государственного удостоверения личности, номера социального страхования и другая информация об аккаунте не затронуты. Fandango говорит, что ей в настоящее время не известно о мошенническом использовании информации, и предлагает 24 месяца мониторинга кредитной истории, мониторинга даркнета, полис страхования от кражи личности с возмещением расходов на восстановление (до 1 000 000 долларов, с учётом условий полиса) и сопровождаемое восстановление после кражи личности через поставщика услуг мониторинга; в образце сказано активировать до 13 февраля 2027 года. Число затронутых людей не указано, и отдельного объявления компании мы не нашли. Наше мнение: если вы покупали билеты на странице оплаты Fandango примерно в эти даты, проверьте выписки по картам, сообщите эмитенту карты о незнакомых списаниях и спросите его, нужно ли заменить карту.
Несанкционированный доступ к интернет-магазину Edion (данные заказов до 9 554 клиентов и др.): данные карт, PIN-коды подарочных карт и учётные данные для входа могли утечь, что делать пользователям
6 ноября 2026 года Edion Corporation сообщила, что несанкционированный доступ к серверу, на котором работает её интернет-магазин, мог привести к утечке персональных данных части клиентов, а 9 ноября во втором сообщении исправила и дополнила это уведомление. Первое сообщение называло данные из лог-файлов до 4 131 клиента (имя, адрес электронной почты, номер телефона, дата рождения, адрес, номер клиента и др.) и данные заказов до 9 554 клиентов (имя, номер заказа, сумма заказа, срок действия кредитной карты, номер подарочной карты и др.) и говорило, что номера кредитных карт и пароли для входа не входили. Второе сообщение исправляет это: данные кредитных карт, записанные в журналах ошибок при оформлении заказа (номер, срок действия, имя держателя, код безопасности), до 5 случаев, данные 5 360 подарочных карт Edion (номер, PIN-код, история использования) и логины и пароли до 1 141 клиента входили в утечку. Также сообщается, что внешняя третья сторона внедрила вредоносную программу в обработку платежей и она работала с момента сразу после 19:00 4 ноября. Для данных карт, заново введённых на ПК на экране ввода платёжных данных (до 556 вводов), компания не может исключить прямую утечку третьей стороне; смартфоны затронуты не были. Компания остановила интернет-магазин и связанные сервисы в 22:00 7 ноября, срок возобновления работы интернет-магазина не назван. Вывод этого сайта: если после 19:00 4 ноября вы вводили новую карту в интернет-магазине Edion с ПК, проверьте выписку и спросите в банке о смене номера карты.
Несанкционированный доступ к Nitori: персональные данные до 37,62 миллиона записей могли утечь (имена, адреса, телефоны, даты рождения), и что делать частным и корпоративным участникам
9 ноября 2026 года Nitori Holdings Co., Ltd. (Nitori) объявила, что 6 ноября подтвердила несанкционированный доступ третьего лица к управляемой ею системе и что персональные данные, хранившиеся на её серверах, до 37,62 миллиона записей, могли утечь наружу. Затронуты частные участники и покупатели группы Nitori (номер участника, имя вместе с фуриганой, адрес эл. почты, адрес, номер телефона, дата рождения, пол), корпоративные участники (номер участника, название компании, отдел, имя представителя, адрес и телефон компании, а также имя, адрес эл. почты и телефон контактного лица) и данные заказов, оформленных через Nitori Net и официальный магазин Nitori на торговых площадках. Компания говорит, что пароли для входа и данные кредитных карт не входят. Третье лицо могло получать доступ и в середине и конце октября, путь проникновения расследуется, число записей может измениться. Компания говорит, что будет поочерёдно связываться с затронутыми клиентами по электронной почте или обычной почтой. По состоянию на 10 ноября 2026 года продолжения не найдено. Вывод этого сайта: поскольку в данных есть адрес, телефон и имя, звонок, SMS или письмо от имени Nitori или службы доставки не становятся настоящими лишь потому, что в них верно указаны ваш адрес или заказ.
Несанкционированный доступ к интернет-магазину akyrise компании Euglena (до примерно 900 000 записей): могли утечь имена, адреса и телефоны, что делать покупателям
5 ноября 2026 года Euglena Co., Ltd. объявила, что к интернет-магазину её косметического бренда akyrise 4 ноября получила несанкционированный доступ третья сторона и что данные участников утекли. Компания в тот же день закрыла магазин и подала предварительное сообщение в Комиссию по защите персональной информации Японии. Информация, которая могла утечь, делится на две группы: данные учётной записи для входа (идентификатор клиента, адрес электронной почты и пароль для входа, хранившийся в хешированном виде) — до примерно 490 000 записей; и данные регистрации и покупок (имя, адрес, номер телефона, дата рождения, пол, адрес электронной почты, сведения о покупках и доставке) — до примерно 900 000 записей. Обе цифры ещё проверяются, а так как компания не говорит, как они пересекаются, их нельзя складывать. Номера кредитных карт не хранятся на серверах компании и не входят. То же уведомление охватывает и отдельный несанкционированный доступ к поставщику сервиса email-рассылки и к службе доставки, которые компания описывает как независимые события. По состоянию на 9 ноября 2026 года новых уведомлений мы не нашли. Вывод этого сайта: сообщение, SMS или звонок от имени akyrise не становятся настоящими лишь потому, что знают ваше имя или адрес. Не открывайте ссылки, а если вы использовали пароль akyrise в другом месте, сначала смените его там.
Утечка из официального магазина Good Smile Company (полные данные карт 2 800 человек могли утечь, частичные данные по 402 466 картам, возможен просмотр до 202 заказов): что делать каждой группе
Good Smile Company Co., Ltd. объявила 23 октября 2026 года, что к её официальному магазину получила доступ третья сторона, а к четвёртому сообщению от 30 октября разделила пострадавших на три группы. У группы B (2 800 человек) имя владельца, номер карты, срок действия и код безопасности, введённые на странице оплаты, могли быть перехвачены вредоносной программой, находившейся там с 13:55 21 октября по 7:00 23 октября 2026 года. Группа A (все, кто когда-либо регистрировал карту; 402 466 карт, число людей уточняется) ограничена последними четырьмя цифрами номера карты и сроком действия, и компания считает неправомерное использование только по ним крайне маловероятным. Группа C (5 356 человек) касается данных неотправленных заказов (имя, адрес, телефон, электронная почта, содержимое заказа и т. п.); фактически могли быть просмотрены не более 202 заказов. Компания заявляет, что причина не в недавно обнародованной уязвимости PHP. Вывод этого сайта: группе B нужно связаться с банком-эмитентом и спросить о смене номера карты. Тем, кто не получил письмо, но когда-либо регистрировал карту в магазине, всё равно стоит проверять выписки. Не открывайте ссылки в неожиданных сообщениях от имени компании.
Взлом клиентских аккаунтов Revolve: доступ к сохранённым номерам карт и срокам действия (1 515 073 человека по списку генпрокурора Индианы) — что делать клиентам
Американский ритейлер модной одежды Revolve в документе для американских регуляторов ценных бумаг от 29 октября 2026 года, как сообщает The Record, раскрыла, что неуполномоченная сторона с помощью автоматизированных средств получила доступ к данным клиентских аккаунтов, включая имена, контактные данные, сохранённые номера платёжных карт и сроки их действия. Первые записи штатов показывали только числа по отдельным штатам, например 127 200 жителей Техаса. В списке генпрокурора Индианы об утечках данных (выпуск за ноябрь 2026 года) теперь значится Revolve Group, Inc: дата уведомления — 29 октября, дата утечки — 11 сентября, 10 534 жителя Индианы и 1 515 073 человека в целом. Уведомления в пяти других штатах (Айова, Массачусетс, Южная Каролина, Техас, Вермонт), по данным SecurityWeek, в сумме давали лишь около 197 000. Был ли затронут код безопасности карты (CVV), в прочитанных нами источниках не сказано. Мнение этого сайта: если вы сохранили карту в аккаунте Revolve, следите по выпискам за небольшими незнакомыми списаниями, спросите у банка-эмитента, нужно ли перевыпустить карту, и относитесь с подозрением к любому сообщению, где упоминается ваша история заказов, пока сами это не проверите.
Drupal Commerce Core CVE-2026-118539: обход доступа без аутентификации, активно эксплуатируется (обновитесь до 8.x-2.41 или 3.3.13)
28 октября 2026 года команда безопасности Drupal опубликовала SA-CONTRIB-2026-254 для модуля Commerce Core (CVE-2026-118539). Модуль недостаточно защищает определенные маршруты и поля сущностей, что допускает обход доступа, который может иметь финансовые последствия для владельца магазина. Drupal оценивает уязвимость как Highly critical (21/25), не требующую аутентификации, и заявляет, что она активно эксплуатируется на практике. Затронуты версии ниже 8.x-2.41 и с 3.0.0 до, но не включая, 3.3.13; исправленные версии — 8.x-2.41 и 3.3.13. В записи NVD указана более низкая оценка CVSS v3.1 6,5, добавленная ADP CISA, и запись все еще ожидает анализа. По состоянию на 31 октября ее нет в каталоге KEV CISA. Наш вывод: если вы управляете интернет-магазином на Drupal Commerce, обновитесь сейчас и проверьте недавние заказы и платежи на предмет несоответствий.
Уязвимость Adobe Commerce и Magento CVE-2026-48356: CISA подтверждает эксплуатацию (KEV), июльское исправление и как проверить следы вторжения
27 октября 2026 года CISA внесло CVE-2026-48356, уязвимость загрузки файлов в Adobe Commerce и Magento Open Source, в каталог известных эксплуатируемых уязвимостей (KEV). Срок для федеральных гражданских ведомств США — 10 ноября. Adobe исправила эту уязвимость вместе с 13 другими в бюллетене безопасности APSB26-73 14 июля 2026 года. Затронуты Adobe Commerce с 2.4.4 по 2.4.9, Magento Open Source с 2.4.6 по 2.4.9, Adobe Commerce B2B и Adobe Commerce Events. Исправление — июльское исправление безопасности 2026-jul для каждой линейки выпусков (1.21.0 для Events). В таблице бюллетеня Adobe оценка CVSS 9.6, а в записи CVE от Adobe и в NVD — 9.3; различается только влияние на доступность. В бюллетене Adobe (обновлён 11 августа) по-прежнему сказано, что Adobe не известно об эксплуатации. 24 октября компания по безопасности электронной коммерции сообщила, что веб-шеллы, размещённые через эту уязвимость (которую она называет PolyShell) и другие уязвимости, использовались для внедрения JavaScript на страницы магазинов в кампании, затронувшей с июля 2025 года 953 магазина, в основном на Magento, и что внедрённый код она нашла и в магазинах с установленными исправлениями. По состоянию на 28 октября ни одно японское государственное ведомство не выпустило предупреждения, и ни один японский магазин не сообщил о том, что пострадал. Вывод этого сайта: магазинам на Adobe Commerce и Magento следует сегодня убедиться, что июльское исправление применено, и даже если оно применено, проверить папки загрузки, CMS-блоки и учётные записи администраторов на следы вторжения.
Программа для кражи данных карт на платёжной странице PhotoGoods (Daiko Printing): что делать тем, кто платил с 6 августа по 11 сентября
16 сентября 2026 года Daiko Printing Co., Ltd. сообщила о несанкционированном доступе стороннего лица к PhotoGoods (photo-goods.com), которым компания управляет, и о том, что была установлена программа, способная незаконно перехватывать данные банковских карт, введённые на платёжной странице. Программа работала с 6 августа до её удаления 11 сентября. Люди, которые вводили карту на платёжной странице в этот период (в том числе те, кто не завершил покупку), могли лишиться номера карты, срока действия и кода безопасности, а также имени, адреса, номера телефона, адреса электронной почты и сведений, производных от пароля участника (хранящихся в преобразованном виде). По словам компании, она подтвердила несанкционированный доступ через уязвимости системы и злоупотребление функцией загрузки файлов. Число пострадавших и фактический масштаб утечки выясняются, а на 7 октября дополнительных уведомлений не было. Мнение этого сайта: тем, кто вводил карту в этот период, стоит попросить банк-эмитент сменить номер карты, сменить пароль на других сервисах, где используется такой же пароль, и не переходить по ссылкам в сообщениях с «извинениями» или «возвратом средств».