WASABI Inc. uyarısındaki, sızan sipariş bilgileriyle gönderilen sahte iade e-postası örneği (kişisel veriler bulanık)

Japonya'da ikinci el satıcıların çoklu pazar yeri yönetimi için kullandığı WASABI SWITCH sistemine 14 Ekim 2026'da yetkisiz erişim sağlandı ve kullanıcı mağazaların sipariş bilgileri dışarı sızdı. Hizmeti işleten Osaka merkezli WASABI Inc., durumu 16 Ekim 2026 tarihli ilk resmi bildiriminde doğruladı. Şirket incelemesine göre sızan sipariş verileri, alıcılara "ürün tükendi, iade yapılacak" denilerek LINE hesabına yönlendiren sahte e-postalarda kullanıldı.

Süreç, 15 Ekim 2026'da bir kullanıcı mağazanın müşterilerine şüpheli e-postalar ulaştığını bildirmesiyle başladı. Gönderilen sahte iletilerde sipariş tarihi, ürün adı, tutar ve teslimat adresi gibi gerçek sipariş ayrıntıları yer aldı. Mağazayla ilgisi bulunmayan ücretsiz e-posta adreslerinden çıkan bu iletilerde, para iadesi bahanesiyle alıcıların bir LINE hesabını eklemesi istendi. WASABI Inc. aynı akşam bir uyarı yayımladı; sızıntı ise ancak 16 Ekim'deki ilk resmi bildirimle doğrulandı.

Sisteme Yerleştirilen Zararlı Yazılım Silindi, İkinci Erişim Saptandı

Şirket, 14 Ekim 2026 tarihindeki sızmada kullanılan giriş yolunu kapatarak sisteme yerleştirilen zararlı yazılımı temizledi. Ancak bu müdahalenin ardından 16 Ekim 2026 sabahı yaklaşık 04.00 sularında (Japonya saati) farklı bir nedenden kaynaklanan ikinci bir yetkisiz erişim daha tespit edildi. İkinci erişimin giriş yolu belirlenirken ek güvenlik önlemleri devreye alındı.

İncelemeler sırasında normalde pasif kalması gereken bazı kullanıcı hesaplarının aktif hale geldiği belirlendi. Yetkisiz kullanımı önlemek amacıyla 16 Ekim 2026 saat 18.00 (Japonya saati) itibarıyla tüm WASABI SWITCH hesapları geçici olarak pasif duruma getirildi. Şirket, mağazalardan destek birimi üzerinden hesaplarını yeniden açtırmalarını, ilk adımda parola değiştirmelerini ve kayıtlı şüpheli hesapları bildirmelerini talep etti.

Pazar Yeri Bağlantıları Durdu: FutureShop ve Rakuten Anahtarları İptal

Olay, pazar yeri bağlantılarını da durdurdu. FutureShop, 16 Ekim 2026 saat 17.40'tan (Japonya saati) itibaren WASABI SWITCH'e tahsis ettiği tüm API anahtarlarını durdurdu. Bu nedenle mağazalarda stok, ürün ve sipariş aktarımı kesildi; WASABI, mağazaları aşırı satış riskine karşı uyardı. Benzer şekilde Rakuten Ichiba tarafında da mevcut API lisans anahtarının silinip yeniden verilmesi kararlaştırıldı; işlem tamamlanana kadar stok ve sipariş senkronizasyonu durduruldu.

WASABI Inc., Kasım 2026 sistem güncellemesiyle pazar yeri kimlik bilgileri, harici FTP hesapları, e-posta hesapları ve API anahtarlarının sistemde şifreli saklanmasına geçileceğini duyurdu. Japonya'da son haftalarda e-ticaret ve dijital platformlarda başka sızıntılar da açıklandı: Beauty Garage ve NTT Solmare. Bu olaylar arasında bir bağlantı açıklanmadı.

Bilinmeyenler, Resmi Bildirimler ve Alıcılara Uyarı

Dış bir siber güvenlik firmasıyla yürütülen inceleme sürerken etkilenen mağaza ve alıcı sayısı şu ana kadar açıklanmadı. Şirket, sızan verileri genel olarak sipariş bilgileri ve benzeri veriler diye tanımladı; Japonya Kişisel Bilgileri Koruma Komisyonu (PPC) dahil ilgili kurumlara bildirim yapılacak.

WASABI Inc. 2026 yılı içinde 16 Mart'ta bir destek personelinin Chatwork hesabına yetkisiz erişim olduğunu, 4 Temmuz'da ise geliştirme ortamına girildiğini duyurmuş; ancak bu olayların Ekim ayındaki yetkisiz erişimle bağlantılı olduğuna dair bir bilgi vermemişti.

Alıcıların iade bahanesiyle gelen e-postalardaki LINE yönlendirmelerine uymaması, iade ve teyit işlemlerini alışveriş yaptıkları mağazanın ya da pazar yerinin resmi kanallarından yapması gerekiyor.

Kaynaklar

Kapak: WASABI Inc.'in 15 Ekim 2026 uyarısında paylaştığı sahte iade e-postası örneği (kişisel bilgiler şirket tarafından bulanıklaştırıldı). Görsel: 株式会社ワサビ (WASABI Inc.).