Ano ang nangyari
Noong Oktubre 8, 2026, inanunsyo ng Lawson, isa sa tatlong pinakamalaking convenience-store chain sa Japan, na nag-leak ang personal data mula sa 2,155,345 record ng Lawson ID (ang iisang account na ginagamit sa app at mga serbisyo nito) matapos ang hindi awtorisadong access. Nalantad din ang 26 pang record mula sa Lawson App Reservations (seasonal na pre-order gaya ng Christmas cake).
Ayon sa kumpanya, nangyari ang access noong Setyembre 12–14 (Lawson ID) at Setyembre 17 (Reservations), pero natuklasan lang ito sa imbestigasyon noong Oktubre 7, mahigit tatlong linggo pagkatapos.
Ano ang nag-leak
- Lawson ID (2,155,345): pangalan at email. Para sa mga naglagay ng detalye sa mga campaign at raffle, kasama rin ang kasarian, numero ng telepono, address at newsletter preferences.
- App Reservations (26): pangalan, numero ng telepono at bahagi ng numero ng credit card.
- Ayon sa ulat ng Japanese press, walang password na nag-leak, at hanggang sa anunsyo ay walang kumpirmadong maling paggamit.
Paano nangyari
Sabi ng Lawson, ang sanhi ay maling paggamit ng sistemang konektado sa app: na-access ng third party ang security mechanism na dapat ay nagpapakita ng impormasyon sa user lang mismo, kaya nakuha nila ang data ng ibang tao. Hindi idinetalye ng kumpanya ang teknik o vulnerability.
Sa praktika, kahawig ito ng napakakaraniwang uri ng depekto sa app: broken object-level authorization (BOLA/IDOR), kung saan nagbabalik ang API ng data para sa kahit anong ID nang hindi tinitingnan kung pag-aari ito ng humihingi. Paalala: interpretasyon namin ito, hindi kumpirmasyon mula sa Lawson.
Sinabi ng kumpanya na walang ibang access at walang malware infection. Hiwalay dito, noong huling bahagi ng Setyembre, inabuso ang internal mail server ng Lawson para magpadala ng kahina-hinalang mensahe; ayon sa press, walang kumpirmadong kaugnayan ang dalawa.
Tugon
- Hinarangan ang kahina-hinalang access source at sinuspinde ang reservation feature ng app.
- Iniulat sa Personal Information Protection Commission (PPC) ng Japan.
- Indibidwal na abiso sa email mula sa lawson_id@mailservice.lawson.jp.
Ano ang dapat gawin ng customers
- Mag-ingat sa email, text at tawag na bumabanggit sa Lawson o sa leak, lalo na kung may link o humihingi ng data.
- Tiyaking galing sa opisyal na sender ang mensahe, at mas mabuting dumaan sa app o website.
- Kung nag-reserve ka, bantayan ang card statement mo.
Mga aral para sa mga kumpanyang may app
- Bawat API na nagbabalik ng personal data ay dapat tumingin kung kanino ito, sa bawat request.
- Bantayan ang dami at pattern: milyon-milyong record na hinila sa tatlong araw ay halatang anomalya.
- Paikliin ang detection time: masyadong matagal ang tatlong linggo mula atake hanggang matuklasan.
- Mangolekta ng mas kaunting data sa campaigns; hindi maaaring mag-leak ang wala.
Sunud-sunod ang breach sa Japan ngayong Oktubre (skyticket, Yakiniku King, Daiichikosho, Bookoff), kaya mas apurahang suriin ang API ng consumer apps.
Mga pinagmulan
- Lawson, opisyal na abiso (Okt 8, 2026): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- Business+IT: https://www.sbbit.jp/article/cont1/187372
Gusto mo bang suriin ang API security ng iyong app? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.