Apa yang berlaku
Pada 8 Oktober 2026, Lawson, salah satu daripada tiga rangkaian kedai serbaneka terbesar di Jepun, mengumumkan bahawa data peribadi daripada 2,155,345 rekod Lawson ID (akaun tunggal yang digunakan dalam aplikasi dan perkhidmatannya) bocor selepas akses tanpa kebenaran. 26 rekod lagi daripada Lawson App Reservations (tempahan bermusim seperti kek Krismas) turut terdedah.
Menurut syarikat, akses berlaku pada 12–14 September (Lawson ID) dan 17 September (Tempahan), tetapi hanya ditemui dalam siasatan pada 7 Oktober, lebih tiga minggu kemudian.
Apa yang bocor
- Lawson ID (2,155,345): nama dan e-mel. Bagi yang mengisi butiran dalam kempen dan cabutan hadiah, juga jantina, nombor telefon, alamat dan pilihan surat berita.
- App Reservations (26): nama, nombor telefon dan sebahagian nombor kad kredit.
- Menurut liputan akhbar Jepun, tiada kata laluan bocor, dan sehingga pengumuman tiada penyalahgunaan disahkan.
Bagaimana ia berlaku
Lawson berkata puncanya ialah penyalahgunaan sistem yang berkaitan dengan aplikasi: mekanisme keselamatan yang sepatutnya memaparkan maklumat hanya kepada pengguna sendiri telah diakses oleh pihak ketiga, membolehkan mereka mendapatkan data orang lain. Syarikat tidak memperincikan teknik atau kelemahan.
Secara praktikal, ini menyerupai kelas kecacatan aplikasi yang sangat biasa: kebenaran peringkat objek yang rosak (BOLA/IDOR), apabila API memulangkan data bagi mana-mana ID tanpa menyemak ia milik peminta. Nota: ini tafsiran kami, bukan pengesahan daripada Lawson.
Syarikat berkata tiada akses lain dan tiada jangkitan perisian hasad. Secara berasingan, pada akhir September, pelayan mel dalaman Lawson disalahgunakan untuk menghantar mesej mencurigakan; menurut akhbar, tiada kaitan disahkan antara kedua-duanya.
Tindak balas
- Menyekat sumber akses mencurigakan dan menggantung ciri tempahan aplikasi.
- Melaporkan kepada Suruhanjaya Perlindungan Maklumat Peribadi (PPC) Jepun.
- Notis individu melalui e-mel daripada lawson_id@mailservice.lawson.jp.
Apa yang pelanggan patut lakukan
- Berwaspada dengan e-mel, SMS dan panggilan yang menyebut Lawson atau kebocoran, terutamanya yang ada pautan atau permintaan data.
- Pastikan mesej daripada pengirim rasmi dan lebih baik akses melalui aplikasi atau laman web.
- Jika anda membuat tempahan, pantau penyata kad anda.
Pengajaran untuk syarikat yang mempunyai aplikasi
- Setiap API yang memulangkan data peribadi mesti menyemak pemiliknya pada setiap permintaan.
- Pantau jumlah dan corak: berjuta rekod ditarik dalam tiga hari ialah anomali yang ketara.
- Kurangkan masa pengesanan: tiga minggu antara serangan dan penemuan terlalu lama.
- Kumpul kurang data dalam kempen; apa yang tiada tidak boleh bocor.
Jepun menyaksikan siri kebocoran pada Oktober (skyticket, Yakiniku King, Daiichikosho, Bookoff), menjadikan semakan API aplikasi pengguna lebih mendesak.
Sumber
- Lawson, notis rasmi (8 Okt 2026): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- Business+IT: https://www.sbbit.jp/article/cont1/187372
Mahu menyemak keselamatan API aplikasi anda? KGA IT menawarkan konsultasi percuma: kga-it.com.