Утечка данных JCPenney в 2026 году

В независимых публикациях от 15 июня сообщалось, что злоумышленник разместил на сайте, используемом для вымогательства, сведения о JCPenney и некоторых связанных брендах, входящих в Catalyst Brands и Authentic Brands Group. В последующих публикациях от 17 июня говорилось, что злоумышленник опубликовал данные, предположительно относящиеся к JCPenney. Эти публикации передают заявления о данных сотрудников, идентификационных данных, сведениях о начислении зарплаты и налоговых данных. При этом в них прямо указано, что подлинность полного набора данных не была проверена независимо и подтверждения со стороны компании не было.

Внешний набор данных, позднее добавленный в проверенную запись об утечке, подтверждает точное число адресов электронной почты и структурированный перечень типов данных. Такая проверка не означает, что компания подтвердила описание атаки, личность злоумышленника или способ первоначального доступа. 12 июня следует понимать как дату записи и размещения сведений на сайте злоумышленника; точная дата доступа к сети неизвестна.

Структурированный перечень включает восемь категорий: даты рождения, адреса электронной почты, идентификационные номера, выданные государственными органами, должности, имена, номера телефонов, физические адреса и имена пользователей. В описании внешней записи дополнительно упоминаются номера социального страхования, а независимые публикации передают заявления о сканах документов, удостоверяющих личность, и документах, связанных с начислением зарплаты или налогами. Не следует считать, что каждая запись с адресом электронной почты содержала все поля.

Пароли, платёжные карты, банковские счета, заказы клиентов, история покупок и данные программ лояльности не входят в подтверждённый структурированный перечень категорий. Хотя запись, по-видимому, касается данных сотрудников, значение 368 418 не обозначает число сотрудников или людей и не должно распространяться на всю клиентскую базу JCPenney.

Отчёт Google по анализу угроз подтверждает более масштабную кампанию вымогательства, направленную против инфраструктуры Oracle PeopleSoft в период с 27 мая по 9 июня. В ходе этой кампании CVE-2026-35273 эксплуатировалась как уязвимость нулевого дня. JCPenney в отчёте не упоминается. Поэтому заявление о том, что данные JCPenney были получены через уязвимость PeopleSoft, приводится лишь как возможный контекст кампании, а не как подтверждённый способ первоначального доступа.

Значение 368 418, это число уникальных адресов электронной почты в проверенном внешнем наборе данных, а не число строк в источнике, учётных записей сотрудников или отдельных людей. Поскольку локального импорта не было, оно не отображается как общее число в локальном наборе данных. Совпадение также не доказывает, что для одного и того же человека присутствовали все восемь полей.

Если вы получили уведомление, вы можете отслеживать кредитные отчёты, налоговые учётные записи, операции по начислению зарплаты и активность на порталах для бывших сотрудников, ориентируясь на поля данных, указанные в вашем письме. Неожиданные сообщения от кадровой службы, о W-2, льготах или проверке личности следует проверять через отдельный официальный канал; не следует передавать документы, удостоверяющие личность, и одноразовые коды по подозрительной ссылке.