Japon mobilya ve ev eşyaları perakendecisi Nitori, 37,62 milyona kadar müşteri kaydını açığa çıkarmış olabilecek büyük bir siber güvenlik olayı açıkladı. Şirket, 6 Kasım 2026’da sistemlerinden birine yetkisiz erişim tespit etti, ancak soruşturmacılar bu müdahalenin birkaç hafta önce başlamış olabileceğine inanıyor.
Nitori Holdings, olayı 9 Kasım’da duyurdu ve bireysel müşterilere, kurumsal üyelere ve çevrimiçi alışveriş yapanlara ait kişisel bilgilerin yetkisiz üçüncü bir taraf tarafından erişilmiş olabileceği konusunda uyarıda bulundu. Şirket, potansiyel olarak etkilenen tüm kayıtların çalındığını doğrulamadı ve son kapsam hala soruşturulma aşamasında.
Perakendeci, Japonya ve diğer Asya pazarlarında geniş bir mağaza ağı işletmektedir. Nitori’nin Japonya’da 879 mağazası ve Çin, Güney Kore, Tayvan, Tayvan, Singapur ve Hong Kong’da 219 mağazası bulunmaktadır.
Potansiyel olarak tehlikeye giren bilgiler arasında müşteri isimleri, üyelik numaraları, e-posta adresleri, ikamet adresleri, telefon numaraları, doğum tarihleri ve cinsiyet yer alır. Kurumsal müşteriler için, etkilenen kayıtlar ayrıca şirket isimleri, departman bilgileri, iş adresleri ve şirket temsilcilerinin iletişim bilgilerini içerebilir.
Nitori Net ve şirketin üçüncü taraf e-ticaret pazarlarındaki resmi mağazaları üzerinden yapılan satın alımlarla ilgili bilgiler de açığa çıkmış olabilir. Kişisel bilgilerin özel kombinasyonu müşteriler arasında değişir.
Nitori, potansiyel olarak tehlikeye girebilecek verilerde hesap şifreleri ve kredi kartı bilgilerinin dahil edilmediğini vurguladı. Şirket, olaydan kaynaklanan yetkisiz ödeme işlemlerini bildirmedi.
Soruşturmacılar, şüpheli faaliyetlerin Ekim ortalarından sonlarına kadar uzanan işaretler tespit etti; bu da saldırganların ihlal tespit edilmeden önce etkilenen ortama erişmiş olabileceğini gösteriyor. Ancak şirket, ilk müdahalenin kesin tarihini belirlemedi veya saldırganların sistemlerine nasıl girdiğini açıklamadı.
Yetkisiz erişimi keşfettikten sonra, Nitori şüpheli saldırganları engelledi ve dış siber güvenlik uzmanlarının yardımıyla etkilenen altyapıyı araştırmaya başladı. Şirket ayrıca tespit edilen güvenlik açıklıklarını ele aldı ve izleme sistemlerini güçlendirdi.
Soruşturma, sistem kayıtlarının incelenmesini ve kayıtların karşılaştırılmasını içeriyor; böylece ne kadar bilgiye ulaşıldığını ve saldırganların verilerin kopyalarını alıp almadığını belirledi. Nitori, tahmini etkilenen kayıt sayısının soruşturma ilerledikçe değişebileceğini kabul etti.
Perakendeci, olayı Japonya Kişisel Bilgi Koruma Komisyonu’na bildirdi ve polis ile diğer ilgili yetkililere danıştı. Ayrıca, etkilenen müşterilerle bireysel olarak e-posta veya posta bildirimleri aracılığıyla iletişime geçmeye hazırlanıyor.
Nitori, açığa çıkan iletişim bilgilerinin oltalama e-postaları, taklit girişimleri ve sahte telefon görüşmelerinde kullanılabileceği konusunda uyardı. Suçlular, aldatıcı iletişimleri daha güvenilir göstermek için gerçek müşteri bilgileri veya önceki satın alma bilgilerini kullanabilir.
Şirket, istenmeyen e-postalar veya telefon görüşmeleri yoluyla şifre, kredi kartı numarası veya kişisel kimlik numaraları talep etmediğini açıkladı.