Утечка данных Nitori могла затронуть до 37,62 млн записей клиентов японского продавца мебели и товаров для дома. Пароли и данные банковских карт, по утверждению компании, не пострадали, но в руках атакующих могли оказаться имена, контакты, адреса и сведения о заказах — достаточный набор для убедительного фишинга против покупателей и корпоративных клиентов.
Несанкционированный доступ Nitori обнаружила 6 ноября 2026 года и заблокировала его, сообщает BleepingComputer. Последующее расследование показало, что злоумышленник, вероятно, находился в системе с середины октября. То есть речь идёт не о единичной неудачной попытке входа, а о доступе, который мог сохраняться несколько недель.
Nitori — один из крупнейших японских ритейлеров мебели и домашней утвари, которого нередко называют японским аналогом IKEA. Компания управляет 879 магазинами в Японии и ещё 219 точками в Китае, Южной Корее, Тайване, Таиланде, Сингапуре и Гонконге. При такой географии инцидент важен не только масштабом базы: он показывает, сколько времени у атакующего может быть на сбор данных, пока компрометация не будет замечена.
В число потенциально затронутых вошли физлица, корпоративные участники программы и покупатели, оформлявшие заказы в обычных магазинах, Nitori Net и официальных витринах на маркетплейсах. Для частных клиентов набор мог включать номер участника, имя, электронную почту, почтовый адрес, телефон, дату рождения и пол. У корпоративных заказчиков — сведения о компании, подразделении, представителе и контактных лицах. Отдельно под угрозой оказалась информация о заказах в онлайн-каналах.
Такой массив особенно полезен мошенникам без каких-либо платёжных реквизитов. Зная, что человек действительно покупал мебель, куда она доставлялась и через какой канал был оформлен заказ, можно собрать письмо или звонок с правдоподобным предлогом: уточнение доставки, возврат, компенсация за заказ, подтверждение данных участника программы лояльности. Наличие адреса и даты рождения делает эти сценарии ещё убедительнее, а корпоративные контакты помогают атаковать сотрудников от имени поставщика или ритейлера.
Компания заявила, что закрыла доступ злоумышленника, устранила уязвимости и усилила мониторинг. Также Nitori уведомила японскую Комиссию по защите персональной информации, полицию и другие компетентные органы. Потенциально пострадавшим обещают направить сообщения по электронной почте или обычной почте. В обращении компания отдельно подчёркивает: она не будет запрашивать по почте или телефону пароль, номер карты либо PIN-код.
Для ИТ-команд здесь нет экзотической морали, зато есть неприятно знакомая операционная задача: обнаружение вторжения должно работать быстрее, чем атакующий успевает превратить доступ в выгрузку базы. Если доступ действительно сохранялся с середины октября до 6 ноября, одних средств защиты периметра недостаточно. Нужны журналирование действий в системах с персональными данными, контроль аномальных выгрузок, сегментация доступа, понятный инвентарь учётных записей и отработанный процесс отключения скомпрометированных сессий.
Утечка данных Nitori также напоминает продуктовым и CRM-командам: минимизация собираемых данных — не формальность для юристов. Каждое поле в клиентском профиле повышает цену компрометации. Адрес, история заказа и контактные данные могут быть нужны бизнесу, но сроки хранения, права доступа и необходимость дублировать эти сведения между системами стоит регулярно пересматривать.
Самый важный вопрос теперь — каким именно путём атакующий получил доступ и какие системы были доступны ему помимо подтверждённого контура. Nitori пока не раскрыла технические детали. Пока расследование продолжается, клиентам компании стоит с особой осторожностью относиться к сообщениям о доставке, возвратах и «проверке аккаунта», а рынку — готовиться к очередному всплеску атак, где персонализация окажется опаснее шаблонного письма с ошибками.
