В июне 2026 года компания JCPenney (вместе с другими брендами Catalyst Brands и Authentic Brands Group) столкнулась с крупной кибератакой и утечкой конфиденциальных данных.
Что произошло
- Кто взломал: Ответственность за атаку и вымогательскую кампанию (тип «плати или выложим») взяла на себя известная хакерская группировка ShinyHunters.
- Причина: Хакеры воспользовались уязвимостью нулевого дня (zero-day) в программном обеспечении Oracle PeopleSoft, которое использовалось для внутренних HR-процессов.
- Публикация данных: После того как требования вымогателей не были удовлетворены, похищенные данные были опубликованы в открытом доступе.
Какие данные были скомпрометированы
Утечка в основном затронула внутренние HR-системы, а также текущих и бывших сотрудников компании. В сеть утекло около 368 000 записей, содержащих:
- ФИО
- Даты рождения
- Номера социального страхования (SSN — актуально для США)
- Корпоративные и личные адреса электронной почты
- Номера телефонов и домашние адреса
- Налоговые формы W-2, данные о зарплатах, а также сканы удостоверений личности и водительских прав (в зависимости от конкретной записи).
По данным платформ мониторинга утечек (таких как HIBP ), инцидент затронул преимущественно корпоративный сектор и персонал, а не рядовые покупательские базы с платежными картами клиентов. Из-за утечки номеров социального страхования и документов юристы в США начали расследования в отношении безопасности систем ритейлера.