Osaka Kyobashi'deki Edion mağazasının girişi ve EDION tabelası; şirket çevrim içi mağazasının ödeme sayfasına zararlı kod eklendiğini açıkladı

Japonya merkezli elektronik perakendecisi Edion, çevrim içi mağazasına yönelik yetkisiz erişim nedeniyle 7 Kasım 2026 saat 22.00'de mağazayı ve iki uygulamasını acil olarak durdurdu; olayla ilgili 9 Kasım'da yayımlanan ikinci rapor, 10 Kasım açıklamasında ilk raporla birleştirildi. Edion açıklaması ve CNET Japan'a göre uygulamaların bazı işlevleri 8 Kasım akşamı açılırken çevrim içi mağazanın açılış tarihi açıklanmadı.

Ödeme sayfasında ne oldu

Edion ve Yomiuri Shimbun'a göre bilgisayar ödeme giriş işlemine üçüncü bir tarafça zararlı kod niteliğinde bir program eklendi ve bu program 4 Kasım saat 19.00'dan sonra çalıştı. Bilgisayardan yeni girilen kart numarası, son kullanma tarihi, kart sahibi adı ve güvenlik kodu dahil kart bilgileri en fazla 556 işlemde doğrudan üçüncü tarafa gitmiş olabilir.

Şirket kart bilgisini sunucuda tutmadığını ancak ödeme sayfası giriş işleminin değiştirildiğini belirtti. CNET Japan'a göre akıllı telefondan yapılan ödemeler olaydan etkilenmedi.

İlk sızmada neler çalındı

Edion, 6 Kasım tarihli ilk raporunda 5 Kasım saat 18.30 civarında bir açık kullanılarak günlük (log) dosyalarının bulunduğu sunucu alanına erişildiğini ve 13.685 kişiye kadar ad, adres ve telefon bilgisinin sızmış olabileceğini açıklamıştı.

İkinci raporda bu veri ihlali kapsamına günlüğe düşen en fazla 5 kartın tam bilgisi, en fazla 1.141 kişinin giriş kimliği ile parolası ve 5.360 adet hediye kartı için numara, PIN ve kullanım geçmişi eklendi. Şirkete göre hediye kartları numara ve PIN ile yalnızca kapalı tutulan çevrim içi mağazada kullanılabiliyor.

Şirketin aldığı önlemler

Edion, kart şirketlerinden sahtecilik izlemesini artırmasını istedi ve etkilenen kullanıcılara parola değişikliği e-postası gönderiyor. Şirket ayrıca yeni girişte iki aşamalı doğrulama gerekeceğini belirtti.

Edion, 4 Kasım saat 19.00'dan sonra bilgisayardan kart giren müşterilerden ekstrelerini kontrol etmelerini istedi; Japonya Kişisel Bilgileri Koruma Komisyonu'na ve polise ek bildirim hazırlıyor.

Türkiye açısından

Edion'un Türkiye'de mağazası bulunmuyor. Olay, kartı sunucuda tutmayan sitelerde bile ödeme sayfası üzerine eklenen zararlı kod ile kart verilerinin giriş anında çalınabildiğini gösteriyor.

Kaynaklar

Kapak görseli: «Edion Kyobashi Osaka», Mr.ちゅらさん, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, 1200x675).