Утечка данных Mytheresa в 2026 году

В записях Mytheresa подтверждено наличие следующих типов данных: адреса электронной почты, имена, номера телефонов, почтовые адреса, сведения о покупках, формы обращения и частичные данные платёжных карт. Поскольку пароли в этот перечень не входят, инцидент не следует представлять как непосредственную компрометацию паролей. Главный источник риска, одновременная доступность сведений о личности клиента и его покупках. Имя, номер телефона, адрес и история покупок позволяют злоумышленнику легче создавать поддельные сообщения, похожие на настоящие обращения службы поддержки.

Одних частичных данных карты может быть недостаточно для совершения платежа. Однако такие сведения, как тип карты, последние четыре цифры и срок действия, могут использоваться для завоевания доверия при социальной инженерии. Злоумышленник может связаться с клиентом под предлогом давнего заказа, возврата, задержки доставки, таможенного сбора или перевыпуска карты. В контексте покупок модных товаров класса люкс это также может создать основу для более адресных попыток мошенничества, связанных с дорогостоящими заказами, VIP-клиентами, доставкой подарков или привилегиями участников программы.

Подтверждённый объём этой записи составляет 84 108 уникальных адресов электронной почты. В смежных источниках также встречается показатель 84 370 строк данных, однако это число не включено в основной показатель затронутых пользователей. Число строк может увеличиваться из-за нескольких записей о покупках одного клиента, повторяющихся адресных данных или объединения разных фрагментов таблиц. Поэтому основным показателем, отображаемым пользователю, остаётся количество уникальных адресов электронной почты.

Категории данных ограничены подтверждённым перечнем: адреса электронной почты, имена, частичные данные карт, номера телефонов, почтовые адреса, сведения о покупках и формы обращения. В эту запись не следует добавлять пароли, полные номера карт, банковские счета, удостоверения личности, паспорта, личные сообщения или ключи сеансов аккаунтов. Инцидент представляет собой утечку клиентских данных. Пользователю не следует показывать неподтверждённые утверждения о способе доступа к системе, о том, как долго злоумышленник находился во внутренних системах, или о том, были ли затронуты все внутренние поля данных.

Первая группа риска, клиенты, у которых есть аккаунт Mytheresa или которые используют тот же адрес электронной почты при покупках у бренда. Если их адрес электронной почты связан с именем, телефоном, адресом и историей покупок, они становятся более уязвимыми для поддельных сообщений об отслеживании заказа, одобрении возврата или проверке платежа. Сведения о покупках товаров класса люкс могут помочь злоумышленнику сделать сообщение более персональным и убедительным.

Вторая группа, люди, использующие один и тот же номер телефона для банков, электронных кошельков, служб доставки, грузоперевозок и других торговых сервисов. Наличие номера телефона вместе с адресом может сделать более убедительным звонок от якобы службы перевозки или запрос на подтверждение доставки. Третья группа, сотрудники, которые создают личные аккаунты для покупок с корпоративными адресами электронной почты. Такое совпадение не означает доступа к системе компании, однако злоумышленник может использовать имя сотрудника и сведения о его покупках для более адресных сообщений.

Пользователям, чьи данные фигурируют в записи Mytheresa, следует внимательно проверять сообщения о возвратах, доставке, оплате, таможенных вопросах, подписках или работе службы поддержки, особенно поступающие по электронной почте и телефону. Вместо входа по ссылке из сообщения лучше открывать сервис по известному вам адресу. Даже если в сообщении указаны последние четыре цифры карты или сведения о заказе, само по себе это не делает сообщение заслуживающим доверия. Не сообщайте по телефону полные номера карт, коды безопасности, одноразовые коды или пароли от аккаунтов.

Проверьте недавние сеансы входа, указанные адреса, сохранённые карты и историю заказов в аккаунтах интернет-магазинов и платёжных сервисов. Если вы заметили подозрительную операцию или незнакомый адрес доставки, обратитесь за помощью к эмитенту карты и в соответствующий сервис. Хотя пароли не входят в подтверждённые категории данных, в других сервисах, где используется тот же адрес электронной почты, следует оставлять многофакторную аутентификацию включённой. Почтовый аккаунт также необходимо надёжно защитить, поскольку через него восстанавливается доступ ко всем аккаунтам для покупок.

Этот инцидент показывает, что в аккаунтах электронной торговли длительный риск связан не только с паролем, но и с профилем клиента и историей покупок. Удалите ненужные сохранённые карты и старые адреса доставки, а для аккаунтов интернет-магазинов используйте отдельные надёжные пароли. По возможности используйте разные адреса электронной почты для разных сервисов. Для дорогостоящих покупок оставляйте включёнными уведомления и оповещения об операциях по карте.

Для организаций эта запись служит напоминанием о важности минимизации данных, контроля доступа и процедур проверки личности клиента службой поддержки в системах розничной торговли. Имя, телефон, адрес и частичные данные карты могут быть полезны для маркетинга или управления заказами. Однако хранение этих сведений дольше необходимого повышает риск мошенничества. Компаниям электронной торговли следует разделять клиентские данные на сегменты, сокращать объём старых записей, предупреждать сотрудников поддержки о социальной инженерии и регулярно отслеживать подозрительный доступ к данным.

Если вы видите результат Mytheresa на LeakData, рассматривайте эту запись с точки зрения рисков, связанных с данными клиентского профиля и платёжным мошенничеством. Результат охватывает 84 108 уникальных адресов электронной почты, а также имена, телефоны, почтовые адреса, сведения о покупках, формы обращения и частичные данные карт. Поскольку пароли и полные номера карт не входят в подтверждённые категории данных, уровень угрозы следует оценивать с учётом этого ограничения. При этом сохраняйте повышенную осторожность в отношении мошенничества под видом службы поддержки и доставки.

Практический порядок действий прост: сначала защитите почтовый аккаунт, затем проверьте карты, адреса доставки и недавние заказы, сохранённые в Mytheresa и других аккаунтах для покупок. При любой подозрительной активности по карте свяжитесь с её эмитентом. Также остерегайтесь поддельных сообщений о возвратах и доставке в других торговых сервисах, где вы зарегистрированы с теми же адресом электронной почты и номером телефона. Если аккаунт был создан с корпоративным адресом электронной почты, передайте результат команде безопасности.