Lumampas sa 165 Milyong Rekord ang Posibleng Pagkakabunyag ng Datos sa Japan Habang Isinisiwalat ng mga Kumpanya ang Mas Malawak na mga Paglabag

Nabunyag ang milyun-milyong rekord sa mga pang-araw-araw na serbisyo

Posibleng lumampas na sa 165 milyon ang mga rekord na naglalaman ng personal na impormasyon na nakompromiso dahil sa hindi awtorisadong pag-access sa Japan noong 2026, ayon sa pagtaya ng kompanyang pangseguridad na Macnica. Saklaw ng mga insidente ang biyahe sa tren, pamimili, karaoke, software, paghahatid ng parsela at car sharing, kabilang ang impormasyong pag-aari ng mga taong nagsara na ng kanilang mga account.

Inanunsyo ng Sourcenext noong Oktubre 15 na posibleng 22,519,960 talaan ng kostumer ang nabunyag. Isiniwalat naman ng Adventure, na nagpapatakbo sa website ng pagbu-book ng biyahe na Skyticket, ang posibleng paglabag na kinasangkutan ng humigit-kumulang 14.64 milyong rekord. Kalaunan, natukoy ng Yamato Transport ang 5.31 milyong apektadong rekord na kaugnay ng serbisyong ipinagpapaliban ang pagbabayad.

Pinagsasama-sama ng bilang na 165 milyon ang mga personal na impormasyon mula sa iba’t ibang insidente. Kaya maaaring mabilang nang higit sa isang beses ang isang tao kung lumitaw ang kanyang impormasyon sa ilang apektadong serbisyo. Kasama rin sa kabuuan ang mga posibleng pagkakabunyag, gayundin ang mga insidenteng natukoy na ng mga kumpanya ang nakompromisong impormasyon.

Sa mas masusing pagsisiyasat ng Macnica sa isang partikular na padron ng mga paglabag sa website, nakakita ito ng 119 pampublikong pagsisiwalat pagsapit ng Oktubre 6, lampas na sa 84 na naitala sa buong 2025. Sa 119 na pagsisiwalat, 81 ang naganap mula Hulyo pataas.

Naglabas ng agarang babala noong Oktubre 9 ang Information technology Promotion Agency ng Japan, na kilala bilang IPA, at nanawagan sa mga pinuno ng kumpanya na suriin ang mga serbisyo sa internet, account at nakaimbak na datos. Magkaugnay ang dalawang agarang hakbang sa payo nito: tukuyin ang mga nakapasok nang walang pahintulot at bawasan ang dami ng personal na impormasyong maaari nilang nakawin.

Para sa mga kostumer, nakadepende sa impormasyong hawak ng bawat serbisyo ang mga posibleng epekto. Naglalaman ang ilang apektadong database ng mga detalye sa pakikipag-ugnayan. Posibleng kasama naman sa iba ang mga password, impormasyon ng credit card o larawan ng mga dokumento ng pagkakakilanlan. Ipinakikita rin ng mga pagsisiwalat kung paanong maaaring makaapekto sa mga kostumer ng ilang negosyo nang sabay-sabay ang pag-atake sa isang kontratista.

Ano ang binilang ng Macnica at bakit mahalaga ang pagdami

Sinuri ng pagsusuri ng Macnica sa mga paglabag sa website ang 265 pampublikong isiniwalat na insidente na kinasangkutan ng mga organisasyon sa Japan mula Enero 2024 hanggang Oktubre 6, 2026. Tumaas ang taunang bilang mula 62 noong 2024, naging 84 noong 2025 at umabot sa 119 sa hindi pa kumpletong panahon ng 2026.

Mas mataas na agad nang 35 insidente, o humigit-kumulang 42%, ang bilang noong 2026 kumpara sa nakaraang buong taon. Umabot sa halos 68% ng kabuuang bilang para sa taon ang 81 pagsisiwalat mula Hulyo pataas, at halos 31% naman ng lahat ng 265 insidenteng sinuri.

Naghanda si Yutaka Sejiyama ng Security Research Center ng Macnica ng pagsusuri sa mga pampublikong pagsisiwalat. Nag-ambag naman sina Motohiko Sato ng Itochu Cyber & Intelligence at Yosuke Hasegawa, chief technology officer ng Secure Sky Technology, sa pagsusuri ng mga pag-atake.

Pinili ng mga mananaliksik ang mga insidenteng sa tingin nila ay may magkakatulad na katangian. Hindi kasama sa kanilang datos ang ransomware at ilang iba pang uri ng pag-atake, kabilang ang mga pagtatangkang pumasok sa mga account ng kostumer gamit ang mga password na ninakaw mula sa mga serbisyong walang kaugnayan. Kapag nagsiwalat ng pinsala ang ilang kliyente mula sa iisang insidente sa isang kontratistang pinagsasaluhan nila, minsan lang binilang ng mga mananaliksik ang insidente ng kontratista.

Kasama rin sa mas malawak na mga pagsisiwalat ng kumpanya sa ibaba ang mga insidente ng ransomware. Kaya dapat pag-ibahin ng mga mambabasa ang dalawang sukatan: ang dami ng impormasyon ng kostumer na posibleng nabunyag at ang bilang ng mga napiling insidente sa website na sinubaybayan sa teknikal na pagsisiyasat ng Macnica.

Aling mga kumpanya ang nag-ulat ng pinakamalawak na pagkakabunyag?

Sinabi ng Sourcenext na maaaring kabilang sa apektadong impormasyon ang mga pangalan, address, numero ng telepono, pinagtatrabahuhan, email address at password. Natukoy ng kompanya ng software ang hindi awtorisadong pag-access sa sistema ng impormasyon ng mga miyembro nito noong Oktubre 13 at inanunsyo makalipas ang dalawang araw ang posibleng pagkakabunyag.

Nag-ulat ang Adventure ng mga pag-atake sa mga server nito at sa sistema ng pamamahala ng negosyo para sa Skyticket, na posibleng nakaapekto sa humigit-kumulang 14.64 milyong rekord ng personal na impormasyon. Sinabi nitong hindi nabunyag ang mga numero ng credit card at pasaporte.

Sinabi ng Daiichikosho, operator ng karaoke chain na Big Echo, na posibleng nabunyag ang humigit-kumulang 8.72 milyong rekord ng personal na impormasyon sa pamamagitan ng sistemang pinamamahalaan ng isang panlabas na kontratista. May kinalaman sa insidente ang malware sa kompanyang nagsasagawa ng mga serbisyong outsourced.

Sinabi ng JR East na posibleng nakompromiso ang humigit-kumulang 6.09 milyong account ng kostumer, habang tinaya naman ng JR Kyushu sa humigit-kumulang 1.3 milyon ang posibleng naapektuhang account. Iniugnay ng dalawang kumpanya ang mga paglabag sa pag-atake ng ransomware sa IDC Frontier, isang subsidiary ng SoftBank na nagbibigay ng mga serbisyong cloud. Umabot sa humigit-kumulang 7.39 milyon ang pinagsamang bilang na isiniwalat nila.

Sa una nitong pagsisiwalat, sinabi ng Bookoff Group Holdings na posibleng naapektuhan ang hanggang 6.43 milyong kostumer matapos ang hindi awtorisadong pag-access sa subsidiary nitong namamahala ng datos ng mga miyembro. Sa sumunod na paglalarawan, tinukoy ang humigit-kumulang 6.38 milyong taong nabunyagan ang impormasyon, kabilang ang mga 210,000 dating miyembro.

Nag-ulat ang Lawson ng hindi awtorisadong pag-access sa mahigit 2.15 milyong rekord ng kostumer, na posibleng kinabibilangan ng mga pangalan, email address at impormasyon ng credit card. Sinabi naman ng Uzabase, operator ng NewsPicks, na posibleng nabunyag ang ilang impormasyon ng gumagamit matapos ang hindi awtorisadong pag-access sa isang tool sa pamamahala.

Sinabi ng Lawson, Daiichikosho at Uzabase na wala silang nakumpirmang ilegal na paggamit ng impormasyon nang ilabas ang kanilang mga anunsyo. Iniulat din ng mga operator ng tren, Bookoff at Adventure na wala silang nakitang ebidensiya ng maling paggamit ng mga ikatlong partido at hinimok ang mga kostumer na mag-ingat sa mga kahina-hinalang email at tawag sa telepono.

Apektado ang mga rekord sa paghahatid, mga tool sa development at mga paaralan

Sinabi ng Yamato Transport noong Oktubre 16 na nakompromiso ang 5.31 milyong rekord ng personal na impormasyon ng ilang gumagamit ng serbisyong ipinagpapaliban ang pagbabayad. Una nitong inanunsyo ang paglabag noong Setyembre 29.

Kabilang sa apektadong impormasyon ang mga pangalan, address at numero ng telepono na nakolekta mula Oktubre 1, 2018, sa loob ng humigit-kumulang walong taon. Ipinakikita ng mahabang panahong ito ng pangangalap kung paanong maaaring ilantad ng iisang pagpasok ang impormasyong naipon sa loob ng maraming taon ng aktibidad ng kostumer.

Nagsiwalat ang Nikkei Inc. ng humigit-kumulang 1.83 milyong nakompromisong rekord, kabilang ang mga pangalan, address at email address, matapos ang hindi awtorisadong pag-access sa serbisyong cloud na ginagamit sa pagbuo ng mga sistema. Ginagamit ang serbisyo sa development para bumuo o magpanatili ng software, kaya isa pa itong bahagi ng teknolohikal na kapaligiran ng kumpanya na maaaring mapasok ng mga umaatake.

Sinabi rin ng ministeryo ng edukasyon ng Japan na walong paaralan, karamihan ay mga unibersidad, ang nag-ulat ng mga paglabag mula huling bahagi ng Setyembre hanggang Huwebes bago ang pinakahuling mga pagsisiwalat. Natukoy ng pagsisiyasat ng Macnica na iba’t ibang serbisyo ang naapektuhan, kabilang ang paghahanap sa katalogo ng mga aklatan, pagbu-book ng biyahe sa tren para sa pamamasyal, pagpareserba ng matutuluyan sa unibersidad at pamamahala ng pagsasauli ng tiket.

Paano sunod-sunod na nabunyag ang mga insidente

Naging publiko ang ilang insidente sa loob ng magkakasunod na linggo habang nagpapatuloy ang mga imbestigasyon para matukoy kung gaano karaming impormasyon ang sangkot. Nagbigay ang ulat ng Sourcenext ng partikular na eksaktong oras ng pagpasok at pagtugon nito.

• Setyembre 29: Unang inanunsyo ng Yamato Transport ang paglabag nito. Isiniwalat naman ng Park24 ang paglabag sa datos ng car sharing nito noong huling bahagi ng Setyembre.
• Oktubre 6: Naitala sa huling araw ng pangangalap ng datos ng Macnica ang 119 napiling pagsisiwalat ng mga paglabag sa website noong 2026.
• Oktubre 8: Nagdagdag ang Macnica ng pagtukoy sa kaugnay na babala mula sa JPCERT/CC, ang organisasyon ng Japan para sa pagtugon sa mga insidente ng seguridad sa computer.
• Oktubre 9: Naglabas ang IPA ng agarang payo para sa pagsisiyasat. Kabilang sa mga kumpanyang naging publiko ang mga pagsisiwalat noong araw na iyon ang JR East, Bookoff, Daiichikosho at Adventure. Kalaunan, natukoy ng Sourcenext na nagsimula ang pagpasok sa sistema bandang alas-10 ng umaga noong Oktubre 9.
• Oktubre 13: Natukoy ng Sourcenext ang hindi awtorisadong pag-access bandang alas-9 ng umaga at pagsapit ng hapon ay nagsagawa na ito ng mga agarang hakbang para harangin ito.
• Oktubre 15: Inanunsyo ng Sourcenext ang posibleng pagkakabunyag ng 22,519,960 rekord.
• Oktubre 16: Nagbigay ng detalye ang Yamato sa 5.31 milyong apektadong rekord nito, isiniwalat ng Nikkei ang paglabag nito, at inanunsyo ng Park24 na tatapusin nito ang pagbura ng mga larawan ng dokumento ng pagkakakilanlan bago matapos ang Oktubre.

Ipinakikita ng talaorasan ng Sourcenext na nagsimula ang hindi awtorisadong pag-access halos apat na araw bago ito natukoy. Tinutugunan ng tagubilin ng IPA na suriin muna ang kamakailang aktibidad at palawakin pa ang paghahanap sa mas naunang panahon ang pangangailangang buuing muli ang mga nangyari bago magtaas ng alarma.

Naghanap ang mga umaatake ng mga kahinaan sa kabuuan ng mga serbisyo

Inilalarawan sa teknikal na pagsusuri ng Macnica kung paanong siniyasat ng mga umaatake ang mga indibidwal na website at ang kanilang mga application programming interface, o API. Ang API ay daluyan kung saan humihingi ng impormasyon ang isang app o website sa ibang sistema o nagbibigay rito ng tagubilin na magsagawa ng gawain.

Nakita ng mga imbestigador ang mga kahinaan gaya ng API na nagbabalik ng mas maraming impormasyon kaysa kinakailangan, mga function na may labis na pahintulot at mga feature para sana sa mga miyembro ngunit naa-access ng mga hindi nagpapakilalang bisita. Kabilang sa iba pang problema ang mga login session, panuntunan sa pagproseso at mga setting ng pag-access.

Sinuri ng ilang umaatake ang mga mobile app para makuha ang mga API key, mga kredensyal na ginagamit sa pakikipag-ugnayan sa isang serbisyo. Pagkatapos, ginamit nila ang mga key para magpadala ng mga kahilingang kahawig ng karaniwang trapiko. Nakakita rin ang mga mananaliksik ng mahihinang password ng administrador at pagsasamantala sa mga kilalang kahinaan sa software.

Mas malawak ang praktikal na hamon kaysa sa pag-install ng iisang update sa software. Maaaring kailanganin ng serbisyo ng sarili nitong mga pagsusuri para matiyak na bineberipika ng server kung sino ang nagpapadala ng kahilingan at kung aling mga rekord ang maaari niyang matanggap. Kailangan ding tutukan ang mga tool na pang-administrasyon na nag-e-export ng maraming impormasyon.

Kakaunti ang detalyeng ibinigay ng karamihan sa mga pagsisiwalat tungkol sa sanhi

Sa 81 napiling insidenteng isiniwalat mula Hulyo pataas, siyam ang inuri ng Macnica bilang may kinalaman sa mga kahinaan sa mga produkto ng software o kaugnay na tool, apat naman sa maling paggamit ng mga kredensyal o pag-atake sa password, at tatlo sa mga setting ng website o pagkabigo ng kontrol sa pag-access.

Masyadong kaunti ang paliwanag sa natitirang 65 pagsisiwalat, o humigit-kumulang 80.2%, para matukoy ang sanhi. Dahil dito, limitado ang impormasyong magagamit ng ibang organisasyon para malaman kung aling mga kahinaan ang hahanapin sa sarili nilang mga sistema.

Inilarawan sa ilang anunsyo ang ginawa ng mga nakapasok matapos makakuha ng access. Sa 11 insidente, nag-install o nagpatakbo ng mga hindi awtorisadong programa; sa siyam, kumuha o tumingin ng impormasyon sa pamamagitan ng API o database; at sa anim, gumawa ng mga hindi awtorisadong account o authentication key. Nagkakapatong ang mga kategoryang ito dahil maaaring may ilang uri ng pagkilos sa iisang insidente.

Nakakita rin ang Macnica ng hindi bababa sa 25 pagsisiwalat mula Hulyo pataas na kinasangkutan ng pagbabago sa mga website o maling paggamit ng mga ito, nang walang partikular na pangamba tungkol sa pagkakabunyag ng personal na impormasyon. Kabilang sa mga halimbawa ang pag-redirect sa mga bisita sa mga panlabas na website, pagpapakita ng mga pekeng babala, pagbabago ng impormasyon sa pagpaparehistro at maling paggamit ng mga serbisyo sa cloud.

Tinalakay ng mga mananaliksik ang posibleng paggamit ng artificial intelligence para paulit-ulit na maghanap sa maraming website. Hindi pa nakukumpirma ang paggamit ng AI o ang panghuling layunin ng mga umaatake. Nakatuon ang mga aktibidad na kanilang nakita sa mga pahintulot sa pag-access, setting, pagpapatunay ng pagkakakilanlan at mga kilalang kahinaan. Isa sa mga palagay nila ay maaaring makatulong ang mga nakuhang pangalan, detalye ng serbisyo at reserbasyon para gawing mas kapani-paniwala ang mga susunod na mensahe ng phishing o mapanlinlang na tawag ng mga kriminal.

Nasangkot din sa mga paglabag ang mga dating kostumer

Kinasangkutan ng paglabag sa Park24 ang humigit-kumulang 6.6 milyong rekord ng miyembro, kabilang ang mga dating miyembro, at mga 1.6 milyong dokumento para sa beripikasyon ng pagkakakilanlan gaya ng mga larawan ng lisensiya sa pagmamaneho. Itinago ng Times Car ang mga dokumento ng pagkakakilanlan sa loob ng pitong taon matapos magtapos ang pagiging miyembro ng mga kostumer.

Sinabi ng Park24 noong Oktubre 16 na plano nitong tapusin ang pagbura sa mga larawan ng dokumento ng pagkakakilanlan bago matapos ang buwang iyon. Nagbigay ng tiyak na takdang panahon ang tugon nito sa isyung binanggit din ng IPA: kailangang suriin ng mga negosyo kung kailangan pa nila ang datos na hawak nila.

Humigit-kumulang 210,000 dating miyembro ang nasa Bookoff, o mga 3.3% ng 6.38 milyong taong tinukoy sa mas huling paglalarawan ng pagkakabunyag nito. Sinabi rin ng Charm, nagtitingi ng mga produktong para sa alagang hayop, na nabunyag ang karamihan sa humigit-kumulang 25,000 rekord ng mga dating kostumer.

Kaya maaaring manatiling bulnerable ang kostumer sa loob ng maraming taon matapos isara ang account kung itatago pa rin ng negosyo ang mga kaugnay na rekord. Maaaring gamitin ng mga kriminal ang mga detalye sa pakikipag-ugnayan para magpanggap na kinatawan ng isang pamilyar na serbisyo, samantalang nagdudulot naman ng dagdag na panganib ang mga password at larawan ng mga dokumento ng pagkakakilanlan. Inirerekomenda ng Macnica na suriin at alisin ang mga rekord na hindi na kailangan, kabilang ang mga personal na detalyeng hindi inaasahang naipon sa mga field ng tala, at ihinto ang paggamit sa mga API key kapag nagsara ang isang serbisyo.

Ano ang nais ipasuri agad ng IPA sa mga organisasyon

Nananawagan ang abiso ng IPA noong Oktubre 9 para sa agarang pagsisiyasat sa mga application na nakalantad sa internet, mga panlabas na serbisyo at account, at nakaimbak na impormasyon. Itinuturo nito sa mga pinuno ng kumpanya ang pananagutan, lalo na sa mga negosyong humahawak ng maraming personal o sensitibong datos.

Para sa mga application, inirerekomenda ng IPA na suriin ang kamakailang mga log, o mga rekord ng aktibidad na iniingatan ng mga sistema, at tiyaking nailapat ang mga update sa seguridad. Dapat magsimula ang mga imbestigador sa humigit-kumulang nakaraang isang buwan at palawakin ang pagsusuri hanggang tatlong buwan, habang naghahanap ng di-pangkaraniwang dami ng error at mga pagbabago sa karaniwang aktibidad.

Para sa mga panlabas na serbisyo, kabilang ang mga serbisyo ng cloud at VPN, dapat maglista ang mga kumpanya ng ginagamit ng buong organisasyon at ng bawat departamento. Dapat nilang alamin kung gaano katagal itinatago ang mga log, kung sino ang maaaring sumuri sa mga ito at kung may hawak ang tagapagbigay-serbisyo na mga rekord na hindi direktang nakikita ng kostumer.

Dapat hanapin sa mga account kung may mga hindi kilalang gumagamit at account na muling naging aktibo kahit dati nang hindi pinagana o binura. Dapat ding tutukan ang mga di-pangkaraniwang oras at lokasyon ng pag-login at paulit-ulit na nabigong pagtatangka. Inirerekomenda ng IPA na ituring na insidente ng seguridad ang mga maanomalyang log o account at humingi ng tulong sa mga espesyalista para sa imbestigasyon.

Kabilang sa kaugnay na payo ng Macnica ang pagsuri kung ipinapatupad ng mga API ang mga pahintulot sa server, pag-aalis ng mga lihim na nakabaon sa mga app, pagprotekta sa mga account ng administrador sa pamamagitan ng maraming hakbang sa pagpapatunay at paglilimita sa pag-access sa mga function ng pamamahala. Kailangan ding may malinaw na tugon mula sa mga tao sa pagsubaybay: kailangang may sumuri sa mga alerto, makipag-ugnayan sa mga tamang tao at magsimula ng imbestigasyon.

Naghahanda ang IPA ng pamamaraan para sa pagtatasa ng seguridad sa mga supply chain, na kilala bilang SCS assessment scheme, at planong ilunsad ito sa Marso 2027. Layunin ng magkakatulad na pamantayan nito sa pagtatasa na tulungan ang mga kliyente at kontratista na maunawaan ang kalagayan ng seguridad sa mga negosyong nagbabahaginan ng impormasyon.

May mga kahalintulad na insidente rin sa labas ng Japan

Tumukoy ang Macnica ng 99 kahalintulad na insidente sa 13 bansa at teritoryo, na karamihan ay naganap mula Hulyo hanggang Setyembre 2026. Naitala ang 30 sa South Korea, 11 sa France at walo sa Poland.

Kinasangkutan ng mga kaso sa South Korea ang mga website at API sa pamimili, pagbu-book, edukasyon at suportang pinansiyal. Katulad ito ng lawak ng mga serbisyong lumitaw sa mga pagsisiwalat sa Japan.

Nakaaapekto sa dami ng mga insidenteng nagiging publiko ang mga batas at gawi sa pagsisiwalat sa bawat bansa. Inilarawan ng Macnica na kapansin-pansin ang Japan sa pagsisiyasat nito, ngunit hindi nito tiyak na sinabi kung partikular na nakatuon ang mga umaatake sa Japan.

Sa mga kaso sa Japan, tiyak ang mga agarang prayoridad: tukuyin ang hindi awtorisadong aktibidad, tiyakin ang seguridad ng pag-access sa impormasyon ng kostumer at alisin ang mga rekord na hindi na kailangang itago. Ipinakikita ng mga insidente sa mga kontratista at pagkakabunyag ng impormasyon ng mga dating miyembro kung bakit kailangang saklawin ng gawaing ito ang higit pa sa pangunahing website ng kumpanya at kasalukuyang listahan ng mga kostumer.

Mahahalagang Punto

• Ayon sa pagtaya ng Macnica, mahigit 165 milyong rekord ng personal na impormasyon ang posibleng nabunyag dahil sa hindi awtorisadong pag-access noong 2026; maaaring mabilang nang paulit-ulit ang ilang tao sa iba’t ibang serbisyo.
• Nakapagtala ang mas makitid nitong pagsisiyasat sa mga website ng 119 pagsisiwalat pagsapit ng Oktubre 6, kabilang ang 81 mula Hulyo pataas.
• Nagsiwalat ang Sourcenext ng 22,519,960 posibleng apektadong rekord; nag-ulat naman ang Adventure ng humigit-kumulang 14.64 milyon.
• Naapektuhan ng mga paglabag sa mga kontratista ang mga kostumer ng malalaking negosyo, habang nabunyag naman ang mga rekord na itinago ng Park24, Bookoff at Charm tungkol sa kanilang mga dating miyembro o kostumer.
• Nananawagan ang IPA para sa agarang pagsusuri sa mga log, update, account, panlabas na serbisyo at nakaimbak na datos.
• Plano ng Park24 na tapusin ang pagbura sa mga larawan ng dokumento ng pagkakakilanlan bago matapos ang Oktubre. Nakatakdang simulan sa Marso 2027 ang pamamaraan ng IPA para sa pagtatasa ng seguridad sa mga supply chain.