JCPenney 2026 Veri İhlali

15 Haziran tarihli bağımsız haber, bir tehdit aktörünün JCPenney ile Catalyst Brands ve Authentic Brands Group kapsamındaki bazı ilişkili markaları gasp sitesinde listelediğini belgeledi. 17 Haziran tarihli takip haberi, aktörün JCPenney'e atfettiği verileri yayımladığını bildirdi. Haberler çalışan, kimlik, bordro ve vergi verisi iddialarını aktarıyor; aynı zamanda veri kümesinin tüm içeriğini bağımsız olarak doğrulamadıklarını ve şirket teyidi bulunmadığını açıkça belirtiyor.

Daha sonra doğrulanmış ihlal kaydına eklenen dış veri kümesi kesin e-posta sayısını ve yapılandırılmış veri türlerini destekliyor. Bu doğrulama şirketin saldırı anlatısını, tehdit aktörünü veya ilk erişim yöntemini teyit ettiği anlamına gelmez. 12 Haziran değeri kayıt ve tehdit-listesi tarihi olarak okunmalı; ağ erişiminin kesin günü bilinmiyor.

Yapılandırılmış listede doğum tarihleri, e-posta adresleri, resmî kimlik numaraları, iş unvanları, adlar, telefon numaraları, fiziksel adresler ve kullanıcı adları olmak üzere sekiz sınıf vardır. Dış kaydın anlatısı Sosyal Güvenlik numaralarını, bağımsız haber ise kimlik belgesi taramaları ile bordro ve vergi belgesi iddialarını ayrıca anıyor. Her alanın her e-posta kaydında bulunduğu varsayılmamalıdır.

Parolalar, ödeme kartları, banka hesapları, müşteri siparişleri, alışveriş geçmişi ve sadakat programı verileri doğrulanmış yapılandırılmış sınıflar arasında değildir. Kayıt çalışan ağırlıklı görünse de 368.418 değeri çalışan veya kişi sayısı değildir ve JCPenney'nin bütün müşteri kitlesine genişletilmemelidir.

Google tehdit istihbaratı, 27 Mayıs-9 Haziran arasında Oracle PeopleSoft altyapısını hedefleyen ve CVE-2026-35273 açığının sıfırıncı gün olarak kullanıldığı daha geniş bir gasp kampanyasını doğruluyor. Bu rapor JCPenney'i adlandırmıyor. Bu nedenle JCPenney verisinin PeopleSoft açığıyla alındığı iddiası olası kampanya bağlamı olarak tutulur; doğrulanmış ilk erişim yöntemi gibi sunulmaz.

368.418, doğrulanmış dış veri kümesindeki benzersiz e-posta adresi sayısıdır; kaynak satırı, çalışan hesabı veya tekil kişi ölçüsü değildir. Yerel import bulunmadığından katalogda yerel toplam olarak gösterilmez. Bir eşleşme de aynı kişide sekiz alanın tamamının bulunduğunu kanıtlamaz.

Bildirim alan kişiler, kendi mektuplarında belirtilen alanlara göre kredi raporu, vergi hesabı, bordro ve eski çalışan portalı hareketlerini izleyebilir. İnsan kaynakları, W-2, yan hak veya kimlik doğrulama temalı beklenmedik mesajlar ayrı bir resmî kanaldan doğrulanmalı; kimlik belgesi veya tek kullanımlık kod şüpheli bağlantı üzerinden paylaşılmamalıdır.