Для кого эта статья: для людей, которые получают рассылки или уведомления по email от компаний и организаций, использующих сервис email-рассылки Arara Message компании Arara Inc. (включая серию ASP repica), а также для самих компаний и организаций, использующих этот сервис. Статья основана на официальных уведомлениях Arara Inc. и организаций-клиентов, которые раскрыли информацию о последствиях. Она не описывает, как была проведена атака.
Развивающийся случай: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
для людей, которые получают рассылки или уведомления по email от компаний и организаций, использующих сервис email-рассылки Arara Message компании Arara Inc. (включая серию ASP repica), а также для самих компаний и организаций, использующих этот сервис.
- ПодтвержденоСмотреть таблицу ↓
- Персональные данные выгружены (среды клиентов)
- Количество адресов электронной почты
- Общая среда
Ещё 6
- Среда B
- Период выгрузки
- Данные участников
- Рассылка поддельных писем
- Состояние сервиса
- Сообщения властям
- Пока не подтверждено
- Разбивка адресов на только адреса и с атрибутами (проверяется)
- Число и названия затронутых клиентских компаний (до примерно 380 — это оценка)
- Затронутые люди и данные у каждой компании (Arara уведомляет клиентов индивидуально, включая клиентов среды B)
Ещё 4
- Влияние на данные сотрудников клиентов (имена и адреса электронной почты пользователей панели управления)
- Когда и как началось проникновение
- Когда сервис возобновит работу
- Влияние на финансовые результаты (всё ещё рассматривается)
- Что сделать сейчасСмотреть шаги ↓
- Удалите, не открывая, письма с news@arara.com от имени эмитента карты
- Пока не открывайте ссылки и вложения в письмах от якобы знакомого отправителя рассылки
- Проверьте таблицу ниже для используемых вами сервисов
Ещё 1
- Не вводите пароли и номера карт по просьбе из письма
- Где проверить (источник)Все источники ↓
- Arara Inc., «Утечка информации и остановка сервиса из-за несанкционированного доступа к Arara Message (третье сообщение)» (6 ноября 2026 года)
- Последняя проверка
- По состоянию на 7 ноября 2026 года (по японскому времени; страница уведомлений Arara последний раз обновлялась 6 ноября в 21:00; следующее обновление было запланировано примерно на 12:00 7 ноября, но на момент проверки не появилось)
Планы обновлений и что мы проверили
В третьем сообщении от 6 ноября Arara Inc. обновила число адресов электронной почты, добавив среду B. Она заявляет, что разбивка на только адреса и адреса с атрибутами и влияние на её финансовые результаты ещё рассматриваются, а дата возобновления не назначена. На странице уведомлений сказано, что она по очереди сообщает каждой клиентской компании о её собственном влиянии, начиная с тех, у кого результаты подтверждены.
Что получателям писем следует сделать сегодня
Сервис Arara Inc. используют компании и организации для рассылки новостных писем и уведомлений. Получатели оставляли адрес электронной почты у отправляющей компании или организации, а не у Arara, поэтому проверять, затронуты ли вы, нужно по уведомлению самого отправителя.
Удалите, не открывая, письма с news@arara.com от имени эмитента карты
Arara Inc. сообщает, что с 28 по 30 октября её сервис использовали для рассылки до примерно 7,13 млн поддельных писем от имени компаний-эмитентов кредитных карт. Адрес отправителя — «news@arara.com», темы включают просьбу подтвердить использование карты или выписку об использовании.
Компания просит не открывать URL в тексте письма и удалять такие письма. Если вы ввели данные карты по ссылке, немедленно свяжитесь с эмитентом карты. Получателями были адреса электронной почты, которые третья сторона принесла извне, поэтому получение такого письма не доказывает, что ваш адрес был выгружен.
Пока не открывайте ссылки и вложения в письмах от якобы знакомого отправителя рассылки
Выгруженные адреса и данные участников могут использоваться для поддельных писем или SMS от имени отправляющей компании. Даже сообщение с вашим именем или номером участника может быть ненастоящим. Для проверки откройте официальное приложение или официальный сайт из закладок (о том, как распознавать подделки, см. Что такое фишинг?).
Проверьте таблицу ниже для используемых вами сервисов
В таблице ниже собраны уведомления каждой компании. Компания, которой нет в таблице, может объявить об этом позже. Время от времени проверяйте страницу уведомлений сайтов, рассылки которых вы получаете. Если вам придёт индивидуальное уведомление, сверьте его с уведомлением на официальном сайте, а не доверяйте ссылке в письме.
Не вводите пароли и номера карт по просьбе из письма
Arara Inc. заявляет, что не рассылает писем с просьбой ввести пароль или данные карты, и то же самое говорят клиентские компании. Если письмо просит их ввести, проверяйте через официальный сайт, а не через письмо.
Получатель поддельного письма — не обязательно адрес, который был выгружен
Согласно второму сообщению Arara Inc., поддельные письма отправлялись на «адреса электронной почты, которые третья сторона принесла извне». Сервис компании использовали злоумышленники (по словам компании), поэтому отправитель отображается как news@arara.com. И наоборот, то, что вы такого письма не получили, не означает, что ваш адрес не выгружен.
Организации-клиенты, раскрывшие информацию о последствиях
Организации, использующие сервис Arara Inc., опубликовали собственные уведомления. В таблице перечислены те из них, которые этот сайт проверил, открыв официальную страницу каждой организации с 5 по 7 ноября, и только уведомления, в которых названа Arara Inc. (или её сервис). Они расположены в порядке публикации, от более ранних к более поздним.
Статус в каждой строке приведён в формулировке самой организации. Arara Inc. не назвала своих клиентских компаний. Количества, названные организациями, нельзя складывать с цифрой около 81,3 млн или сравнивать с ней (адрес одного и того же человека может входить в количества нескольких организаций).
| Организация | Для чего использовала сервис (как указано) | Данные, которые могут быть затронуты (как указано) | Статус | Дата |
|---|---|---|---|---|
| Kagoshima Bank, Minami-Nippon Bank, Kagoshima Sogo Shinkin Bank и Kagoshima Shinkin Bank (Pay-don) | Уведомления по email в приложении «Pay-don» (отправка писем поручена Arara Inc.). Email-уведомления и новые регистрации приостановлены | Адреса электронной почты пользователей и торговых точек Pay-don, а также платёжная информация (дата и время, название магазина, сумма платежа). Количество не указано. О вторичном вреде не сообщалось | Возможна (четыре банка) | 28 октября |
| Префектура Окинава (проект обмена с отдалёнными островами «Shimamaru») | Новостная рассылка (подрядчик проекта использовал Arara Message) | 2 560 адресов электронной почты. Имена и другие данные не утекли | Возможна (префектура) | 29 октября |
| Suzuki (Suzuki Media Site) | Пресс-релизы для СМИ (рассылкой писем занималась Arara Inc. по линии поставщика услуг сайта) | До 2 575 зарегистрированных адресов электронной почты. Имён и адресов нет. Злоупотребления и вторичного вреда не подтверждено | Возможна (компания) | 30 октября |
| Bic Camera, Kojima и Sofmap (совместное уведомление) | Рассылка писем поручена подрядчику; система почтовой рассылки предоставлена Arara Inc. | Адреса электронной почты и подобные данные. Около 14,9 млн в сумме по группе. Данные кредитных карт и данные для входа в интернет-магазин сервисом не обрабатываются и не затронуты. Конкретного вторичного вреда не подтверждено | Возможна (каждая компания) | 2 ноября |
| Osaka Gas (подписка на питание «FitDish») | Письма клиентам «FitDish» | 34 489 адресов электронной почты (тех, кому писали с 8 по 29 октября). Имён, адресов, номеров телефонов, данных карт и данных о покупках нет | Утечка подтверждена (компания) | 2 ноября |
| Kinko's Japan | Рассылка участникам Smart Membership | Адреса электронной почты (количество уточняется). Имена, номера участников, даты регистрации, дни рождения и любимые магазины: утечка пока не подтверждена. Ей сообщили, что её среда не затронута, затем повторная проверка после второго сообщения подтвердила утечку | Утечка подтверждена (компания); другие данные не подтверждены | 2 ноября |
| Asoview (разбор на этом сайте) | Письма участникам Asoview! (данные участников переданы сервису Arara Inc.) | 15 821 184 записи. Адреса электронной почты, ID или номер участника, имя, пол, дата рождения, номер телефона, почтовый индекс, регион, данные о покупке и использовании билетов и другое. Пароли и данные карт не передавались и не затронуты. Определение затронутых участников ещё впереди | Утечка подтверждена (компания) | 3 ноября |
| The Yokohama Rubber Co. | Рассылка пресс-релизов и новостных писем (через подрядчика, занимающегося рассылкой) | Зарегистрированные названия компаний и адреса электронной почты. Количество не указано. Arara Inc. сначала сообщила об отсутствии связанной утечки, затем 3 ноября уведомила компанию об утечке | Утечка подтверждена (компания) | 3 ноября |
| Workman | «Рассылка Workman Online Store». Уведомления на её интернет-сайте (в том числе в приложении) сервис не используют и не затронуты | Адреса электронной почты, до примерно 1,45 млн. Другие данные не утекли. 29 октября ей сообщили, что адреса участников не входят в затронутые, затем 2 ноября по срочному телефонному сообщению стало известно об утечке (письменное подтверждение ожидается) | Утечка подтверждена (компания) | 4 ноября |
| JR Kyushu | Рассылка тем, кто посещал демонстрационные квартиры в новостройках или запрашивал материалы (подрядчик по рассылке использует сервис Arara Inc.) | Имена и адреса электронной почты. До примерно 13 000. Утечка адресов и номеров телефонов исключена. Вторичного вреда не подтверждено | Возможна (компания) | 4 ноября |
| TKC | Рассылка клиентам, использующим системы TKC (рассылка поручена Arara Inc.). Сервисы TKC сейчас не могут отправлять письма | Адреса электронной почты, до 2 230 812. Тексты писем, My Number и заявления в муниципалитеты не утекли. Чьи именно адреса, ещё расследуется (третье сообщение) | Утечка подтверждена (компания) | 4 ноября |
| Bank of the Ryukyus (второе сообщение) | Внешний почтовый сервис «repica» (предоставляет Arara Inc.). Рассылка приостановлена | 96 477 адресов электронной почты (часть писем, отправленных с 8 по 29 октября). Утечка имён, адресов, данных счетов или ПИН-кодов не подтверждена. Определение затронутых лиц (второе сообщение) | Утечка подтверждена (банк) | 4 ноября |
| Zaif | Уведомления по email (сервис Arara Inc.). Рассылка временно приостановлена | 380 536 адресов электронной почты (без дубликатов). Имён и других атрибутов, текстов писем и данных аутентификации нет. Количество нынешних пользователей уточняется (второе сообщение) | Утечка подтверждена (компания) | 4 ноября |
| IIJ (IIJmio) | Письма клиентам IIJmio | 983 458 адресов электронной почты (включая расторгнутые договоры). Подробности об атрибутах клиентов уточняются с Arara Inc. Данные карт сервису не передавались и не затронуты | Утечка подтверждена (компания) | 4 ноября |
| Hasegawa | Серверы «repica» Arara Inc., связанные с её сервисом email-рассылки | 305 адресов электронной почты (тех, кому писали с 8 по 29 октября). Хранящиеся у неё данные клиентов (имена, данные о покупках) и темы и тексты писем не затронуты (первое сообщение) | Утечка подтверждена (компания) | 4 ноября |
| Tribeck | Информация о доставке email (журналы доставки). Сайт и данные участников сайта бланков «bizocean» и рекламные сервисы (включая рассылки) этим сервисом не пользуются и не затронуты | 61 213 записей (включая дубликаты и тестовые письма). Адреса электронной почты и строки слияния (поля слияния, например имена) | Утечка подтверждена (компания) | 4 ноября |
| Chobirich | Рассылка писем участникам (Arara Message). Рассылку остановила и сообщает участникам на своём сайте | 1 348 525 адресов электронной почты (не число участников). Адрес электронной почты, номер участника, псевдоним, дата рождения, пол, префектура проживания и остаток баллов могли утечь. Имена, номера телефонов, пароли и банковские реквизиты не передавались и не затронуты. Выявление затронутых участников ещё впереди | Возможно (компания) | 4 ноября |
| MOS Food Services | Рассылки и другие письма «участникам MOS WEB» («repica» от Arara Inc.) | 7 517 087 записей. Адрес электронной почты, возраст, пол, префектура проживания и т. д. Платёжная информация, например данные кредитных карт, не включена | Утечка подтверждена (компания) | 4 ноября |
| GMO Payment Service | Arara Message, которым для рассылки писем пользовалась юридическая фирма — подрядчик компании. Данные людей, которым рассылались письма с 20 июля по 30 октября 2026 года | Только адрес электронной почты: до 101 226. Адрес электронной почты, имя, сумма к оплате, детали счёта (магазин и использованный или купленный товар), номер обращения и содержание уведомления: до 5 771. Всего до 106 997 (собственная цифра компании). Затронутых людей уведомляют индивидуально по email. Влияния на её собственные системы и услуги нет | Утечка подтверждена (компания) | 5 ноября |
| CYBIRD | Пользуется сервисом email-рассылки Arara Inc. в нескольких своих сервисах. Затронутые сервисы и люди пока не выявлены | 98 738 адреса электронной почты. Единственное утёкшее данное, о котором сообщила Arara, — адреса электронной почты. Несанкционированного доступа к её собственным сервисам не подтверждено | Утечка подтверждена (компания) | 6 ноября |
| Pacific League Marketing (рассылка для пяти клубов Тихоокеанской лиги) | Письма с новостями матчей и другие письма платным участникам официальных сайтов клубов, пожелавшим их получать, на адреса, на которые клубы отправляли письма с 1 июля 2026 года (Nippon-Ham, Rakuten, Seibu, Lotte, SoftBank). Пять клубов прекратили пользоваться сервисом Arara Inc. Orix им не пользуется | Только адреса электронной почты. По клубам: Nippon-Ham 3 575, Rakuten 1 165, Seibu 2 693, Lotte 2 618, SoftBank 3 660 (общую сумму компания называет — 13 711). Данные участников фан-клубов не затронуты. Вторичный ущерб не подтверждён. В том же уведомлении описан также несанкционированный доступ к официальному сайту Chiba Lotte Marines, который компания считает отдельным случаем, не связанным с Arara | Утечка подтверждена (компания) | 6 ноября |
Компании, которым сказали, что они не затронуты, позже оказались затронутыми
В уведомлениях Workman, The Yokohama Rubber и Kinko's Japan сказано, что при первом контакте 28 или 29 октября их среда была названа незатронутой (или связанной утечки не подтверждено), а об утечке им сообщили около второго сообщения от 2 ноября. Причина в том, что серверы, на которых подтверждён несанкционированный доступ, расширились с общей среды до сред клиентских компаний. Даже если вам сначала сказали, что сервис не затронут, это может измениться при последующей проверке.
Что произошло (по уведомлениям Arara Inc.)
Ниже изложено на основе третьего сообщения Arara Inc. от 6 ноября 2026 года, её второго сообщения от 2 ноября 2026 года (пресс-релиз и своевременное раскрытие материнской компании в тот же день) и её страницы уведомлений. В первом сообщении от 29 октября она объявила об утечке около 3,01 млн адресов электронной почты в общей среде.
27 октября
Был доступ, похожий на разведку (третье сообщение исправляет «27–28 октября» из второго сообщения).28 октября
Третья сторона без авторизации вошла в панель управления общей среды и выгрузила данные, злоупотребив такими функциями, как экспорт данных. Компания экстренно остановила эту среду в 16:31 (второе и третье сообщения).28 октября
Часть сред сервиса была использована злоумышленниками, и началась рассылка поддельных писем от имени эмитента карты (около 3:59). В 7:00 компания закрыла внешний доступ к этой среде. В другой среде поддельная рассылка также продолжалась примерно с 8:47 (обнаружено 30 октября).29 октября
Компания опубликовала первое сообщение, подала первичное сообщение в Комиссию по защите персональных данных, уведомила полицию и направила первичное сообщение в JIPDEC.28–31 октября
Третья сторона через серверы сервиса проникла на многие серверы и выгрузила содержимое баз данных (97 серверов в средах клиентских компаний). Уже второе сообщение называло период 28–31 октября. 6 ноября компания исправила период, который 2 ноября она индивидуально сообщила некоторым клиентам («в какой-то момент между 28 и 29 октября»): данные выгружались непрерывно с 28 октября до остановки 31 октября (время зависит от сервера). В отдельной облачной среде (среда B) в тот же период также без авторизации использовали учётные данные и выгружали данные (третье сообщение).30 октября
Компания обнаружила поддельную рассылку и в 13:26 отключила связь этой среды (новой отправки после 13:32 не подтверждено).31 октября
Утром она обнаружила, что данные выгружены через сервис. Она аннулировала использованные злоумышленниками учётные данные, поочерёдно отключила связь каждого сервера и остановила весь сервис (остановка началась в 14:50, завершилась в 19:53). Она также аннулировала учётные данные среды B и остановила среду B (третье сообщение).2 ноября
Компания опубликовала второе сообщение (материнская компания в тот же день опубликовала своевременное раскрытие). Она заявляет, что планирует сообщить о вновь обнаруженном в Комиссию по защите персональных данных и направить промежуточное сообщение в JIPDEC.6 ноября
Компания опубликовала третье сообщение. Она добавила 3 249 492 адресов, выгруженных из среды B, и назвала общий итог без дубликатов между категориями — 81 329 467. Она исправила число для общей среды на 2 842 400. В тот же день на её странице уведомлений был исправлен период выгрузки, который 2 ноября она индивидуально сообщила некоторым клиентам («в какой-то момент между 28 и 29 октября»).
Получатели писем и участники
Оставили адрес электронной почты у отправителя (иногда также имя, номер участника и т. д.)
Что делать: не открывать ссылки в письмах от имени отправителя
Отправляющие компании и организации (клиенты)
Ведут списки рассылки и регистрируют их в сервисе Arara Inc. для отправки писем. Они отвечают за персональные данные
Что делать: выяснить, затронуты ли они, и решить, сообщать ли властям и уведомлять ли людей
Arara Inc. (Arara Message)
78 102 937 через сервис в среде A, 2 842 400 в общей среде и 3 249 492 в среде B. Итог с вычтенными пересечениями — 81 329 467
Данные у каждого клиента свои; расследуется
- Сервис
- Сервис email-рассылки Arara Message и серия ASP repica. Остановлены графический интерфейс Arara Message, API v1 и v2, редактор, отправитель и автописьма ASP repica, а также функция списка ошибок BMA. Локальная (on-premises) версия repica не затронута. Другие сервисы компании не затронуты
- Категория (1): через сервис (среда A)
- Непрерывно с 28 октября до остановки 31 октября (время зависит от сервера; период, названный некоторым клиентам индивидуально 2 ноября, исправлен 6 ноября): подтверждена выгрузка адресов электронной почты и данных участников на 97 серверах в средах клиентов (до примерно 380 компаний). Во втором сообщении было около 77 млн (на 1 ноября); в третьем — 78 102 937 (31 346 375 только адреса, 46 756 562 с атрибутами)
- Категория (2): общая среда из первого сообщения (среда A)
- 27 октября был доступ, похожий на разведку; несанкционированный вход и выгрузка — 28 октября. 61 клиентская компания. Адреса электронной почты и атрибуты. Третье сообщение исправляет 3 386 187 из второго сообщения на 2 842 400 (2 507 311 только адреса, 335 089 с атрибутами) и сообщает, что включена часть текстовой информации. Данные клиентов «до 411 827 у пяти компаний» из второго сообщения в третьем не обновлены
- Категория (4): среда B (добавлена в третьем сообщении)
- С 28 по 31 октября учётные данные были без авторизации использованы для доступа к среде B, и выгружено 3 249 492 адресов электронной почты (только адреса). Это не было новым проникновением. Среда B находится в другом облаке, чем остальные серверы сервиса. Ко времени второго сообщения она расследовалась, количество подтвердить не удалось, поэтому оно не было включено. Учётные данные аннулированы, среда остановлена 31 октября
- Категория (3): злоупотребление
- 28–30 октября: до примерно 7,13 млн поддельных писем отправлено из двух сред. Для самой рассылки не подтверждено утечки чего-либо, кроме адресов электронной почты
- О количествах
- Итог третьего сообщения — 81 329 467 — получен вычитанием пересечений между категориями (34 285 087 только адреса и 47 044 380 с атрибутами; эта разбивка проверяется). Если сложить категории второго сообщения так, будто пересечений нет, получится 80 386 187, и третье сообщение больше на 943 280. Это число адресов электронной почты, а не людей. «Возможно, выгружены» определяется по объёму прочитанных записей (второе сообщение)
- Данные
- Адреса электронной почты; данные, которые зарегистрировали клиенты (имя, пол, дата рождения, номер телефона, номер участника, адрес и т. д., у каждого клиента свои); записи вроде адресов получателей. Номера кредитных карт не хранятся. Влияние на имена и адреса электронной почты сотрудников, пользующихся панелью управления, уточняется
- Что сказано о причине
- Свою роль сыграли уязвимость веб-сервера и проблемы в системной среде. Когда и как началось проникновение, расследуется. Компания считает, что серия проникновений, судя по общему источнику доступа, совершена той же третьей стороной, что и в предыдущем сообщении
- Возобновление
- Решение будет принято после выявления пути, массовой смены учётных данных и подтверждения безопасности системы. Дата не назначена (то же в третьем сообщении). При возобновлении компания планирует просить клиентов сбросить пароли панели управления и учётные данные, такие как ключи API
- Контакт
- Линия поддержки для клиентских компаний 03-5414-3611. Только для прямых клиентов; тем, кто заключал договор через реселлера, следует обращаться к нему (со страницы уведомлений)
Что известно, а что нет
Статус по состоянию на 7 ноября 2026 года. Когда появятся новости, столбец статуса этой таблицы будет переписан.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Персональные данные выгружены (среды клиентов) | Подтверждена выгрузка адресов электронной почты и данных участников на 97 серверах (включая данные, которые могли быть выгружены; второе сообщение) | Утечка подтверждена (компания; включая возможную) |
| Количество адресов электронной почты | 81 329 467 без дубликатов между категориями (третье сообщение). Во втором сообщении было около 77 млн. Это не число людей. Разбивка на 34 285 087 только адреса и 47 044 380 с атрибутами проверяется | Подтверждено (компания; разбивка проверяется) |
| Число затронутых клиентских компаний | До примерно 380 (оценка из второго сообщения; в третьем поясняется, что она включает 61 компанию общей среды и компании среды B). Названия не опубликованы | Расследуется |
| Общая среда | 61 клиентская компания, 2 842 400 (без дубликатов; исправлено с 3 386 187 во втором сообщении и уточнено с около 3,01 млн в первом). Данные клиентов до 411 827 у пяти компаний из второго сообщения в третьем не обновлены | Утечка подтверждена (компания) |
| Среда B | 3 249 492, только адреса электронной почты. В ходе той же серии доступа с 28 по 31 октября; не новое проникновение. Учётные данные аннулированы, остановлена 31 октября | Утечка подтверждена (компания) |
| Период выгрузки | 27 октября: доступ, похожий на разведку. Несанкционированный вход и выгрузка непрерывно с 28 октября до остановки 31 октября (зависит от сервера). Названное некоторым клиентам индивидуально 2 ноября «в какой-то момент между 28 и 29 октября» было неверным и исправлено 6 ноября (в опубликованном втором сообщении было 28–31 октября) | Подтверждено (компания) |
| Данные участников | Имя, пол, дата рождения, номер телефона, номер участника, адрес и т. д. (у каждого клиента свои), а также записи вроде адресов получателей | Утечка подтверждена (компания; данные у каждого клиента свои) |
| Номера кредитных карт | В сервисе не хранятся вообще (второе и третье сообщения) | Не затронуты (компания) |
| Учётные данные панели управления и API | Использованные злоумышленниками учётные данные аннулированы. При возобновлении планируется просить клиентов сбросить их. В таблице второго сообщения соответствующие ячейки гласят «использование приостановлено» (через сервис) и «не применимо» (общая среда) и не говорят, выгружены ли они | Не указано |
| Данные сотрудников клиентов | Влияние на имена и адреса электронной почты пользователей панели управления уточняется | Расследуется |
| Рассылка поддельных писем | 28–30 октября, до примерно 7,13 млн из двух сред. Отправитель news@arara.com. Получатели — адреса, которые третья сторона принесла извне | Подтверждено (компания) |
| Причина | Уязвимость веб-сервера и проблемы в системной среде. Начало и путь расследуются | Расследуется |
| Злоупотребление утёкшими данными | Arara не сообщает. Bic Camera, Kojima и Sofmap, Asoview и Zaif пишут в уведомлениях, что сейчас вторичного вреда или злоупотребления не подтверждено | Не подтверждено (каждая компания) |
| Состояние сервиса | Все сервисы остановлены 31 октября. Дата возобновления не назначена (третье сообщение). Запланированные рассылки не выполняются | Подтверждено (компания) |
| Сообщения властям | Комиссия по защите персональных данных: первичное сообщение 29 октября, промежуточное 2 ноября, дополнительное запланировано на 6 ноября. Министерство внутренних дел и коммуникаций (Канто, Бюро электросвязи): сообщено 4 ноября, дополнительное запланировано на 6 ноября. Полиция уведомлена 29 октября. JIPDEC: первичное сообщение 29 октября, промежуточное 4 ноября, дополнительное запланировано на 6 ноября | Подтверждено (пункты до 4 ноября; дополнительные сообщения от 6 ноября названы как запланированные) |
| Влияние на финансовые результаты | Всё ещё рассматривается (третье сообщение) | Расследуется |
Количества отдельных компаний нельзя сравнивать с около 81,3 млн
81 329 467 (около 81,3 млн) — это число адресов электронной почты, названное Arara Inc. для всего инцидента без дубликатов между категориями. Такие количества, как до примерно 1,45 млн у Workman или 15 821 184 у Asoview, могут быть его частью, но какие компании сколько составляют, не опубликовано. Количества измерены по-разному, поэтому не складывайте и не вычитайте их.
Для чего могут использоваться адреса электронной почты и данные участников
В общем случае следующие сочетания позволяют следующие виды злоупотреблений. Это не значит, что так было в данном случае.
- Адрес электронной почты плюс название отправителя: поддельные письма от имени этой компании приходят на тот же адрес, что и настоящая рассылка, и люди склонны считать, что пишет привычный отправитель
- Имя плюс номер телефона плюс адрес: поддельные письма и SMS с настоящим именем, а также фальшивая проверка личности по телефону
- Номер участника плюс имя плюс дата рождения: выдача себя за службу для участников и запрос дополнительных данных под предлогом «подтверждения личности»
- История использования (какие билеты куплены, какими объектами пользовались, даты и суммы платежей): материал для правдоподобных сообщений об «отмене» или «возврате», основанных на реальных бронированиях и платежах
Инциденты октября 2026 года в сервисе email-рассылки Ymirlink, Cuenote FC, и в Blastmail тоже были случаями, когда адреса многих организаций утекли из одного сервиса рассылки. В каждом из них проверять, затронуты ли вы, приходилось по уведомлениям организаций, от которых вы получаете письма.
Что должны сделать компании и организации, использующие Arara Message
Arara Inc. заявляет, что после второго сообщения быстро свяжется со всеми клиентскими компаниями и индивидуально сообщит каждой, затронута ли её среда и какие данные утекли. В третьем сообщении она заявляет, что также индивидуально свяжется с клиентами, пользовавшимися средой B. Как видно из таблицы, бывают случаи, когда компании, которой сначала сказали, что она не затронута, позже выяснялось обратное.
Выясните, затронута ли ваша среда, через индивидуальный контакт Arara Inc. и её линию поддержки
Не ограничивайтесь ожиданием её звонка; обратитесь на линию поддержки клиентов (03-5414-3611, только для прямых клиентов; при договоре через реселлера обращайтесь к нему). Сверьте названные вам данные и количества с данными, которые вы зарегистрировали в системе рассылки.
Для сообщения в Комиссию по защите персональных данных проверьте срок совместного сообщения (18:00 9 ноября)
Arara Inc. заявляет, что частные компании и организации могут сообщить в Комиссию по защите персональных данных совместно с ней, а государственные органы и местные власти могут поручить ей сообщить от их имени. Срок подачи заявки — 18:00 в понедельник, 9 ноября 2026 года. Если вы подадите заявку, сообщать самостоятельно не нужно, и компания утверждает, что подтвердила с Комиссией: превышение рекомендованного срока первичного сообщения не будет считаться опозданием. Если вы сообщаете сами, заявку подавать не нужно.
Совместное сообщение не охватывает сообщения в JIPDEC от держателей Privacy Mark; их вы делаете сами. Порядок описан на странице с инструкцией. Нужно ли уведомлять затронутых людей, уточните в справочной службе Комиссии или у специалиста.
Если 2 ноября вам назвали период выгрузки, исправьте его на уточнённый
Согласно странице уведомлений Arara Inc., период, который 2 ноября она индивидуально назвала некоторым клиентам («в какой-то момент между 28 и 29 октября»), был неверным. Правильный период — непрерывная выгрузка с каждого сервера с 28 октября до остановки сервиса 31 октября (время зависит от сервера). Если вы использовали прежний период в сообщении в Комиссию по защите персональных данных или во внутреннем разъяснении, замените его на уточнённый.
Пока сервис остановлен, запланированные рассылки не выполняются; переведите важные сообщения на другой канал
Согласно странице уведомлений, пока сервис остановлен, панель управления и API недоступны, а уже запланированные письма не отправляются. Счета, напоминания о сроках и кампании, которые вы запланировали, не дойдут. Сообщайте важное другими способами, например публикацией на официальном сайте или уведомлениями в приложении. Некоторые компании, такие как TKC и Hasegawa, уже переходят на другую платформу email-рассылки.
Проверьте свои учётные данные до возобновления
Arara Inc. планирует при возобновлении просить клиентов сбросить пароли панели управления и учётные данные, такие как ключи API. Совет этого сайта: заранее проверьте, не используется ли тот же пароль в других сервисах и не прописан ли ключ API в других системах или файлах конфигурации; так сброс пройдёт быстрее.
Предупредите своих получателей
В своих уведомлениях все компании из таблицы просят получателей не открывать ссылки в подозрительных письмах от их имени. Полезно не вставлять ссылки в само предупреждающее письмо и сказать, что пока рассылка остановлена, приходящие письма, скорее всего, поддельные.
Взгляд этого сайта: когда система рассылки останавливается, останавливается и связь, опирающаяся только на email
В этом случае, помимо утечки данных, сервис полностью остановлен и запланированные рассылки не выполняются. Компании из таблицы затронуты в разной степени: «функция email-уведомлений приостановлена (Pay-don)», «email-уведомления временно приостановлены (Zaif)», «сервисы TKC не могут отправлять письма».
Составьте список того, что вы отправляете по email, по типам
Разделите счета и напоминания о сроках, коды аутентификации, подтверждения бронирований и кампании и отметьте то, что создаст проблемы, если система рассылки будет недоступна несколько дней.
Решите, чем заменить рассылку, до остановки
Заранее определите отдельную платформу рассылки, не зависящую от того же поставщика, объявление на официальном сайте и уведомления в приложении. Если начать искать замену только после остановки, в общении возникнет пробел, как у компаний из таблицы.
Храните в системе рассылки минимум данных
Как видно из таблицы, последствия в одном и том же инциденте различаются: от компаний, хранивших только адреса электронной почты, до тех, кто зарегистрировал имена, даты рождения и данные о покупках. Не регистрируйте те поля, которые вы не используете для полей слияния или сегментации.
Источники (открытые публикации)
Факты в этой статье основаны на следующей общедоступной информации. Мы не строим догадок о методах атаки, которые не раскрыты.
- Arara Inc., «Утечка информации и остановка сервиса из-за несанкционированного доступа к Arara Message (третье сообщение)» (6 ноября 2026 года) — arara.com
- Arara Inc., «[Важно] Извинения и сообщение об остановке сервиса и утечке персональных данных Arara Message» (страница уведомлений обновлена 6 ноября 2026 года в 21:00; проверено 7 ноября; включает исправление периода выгрузки) — am.arara.com
- Arara Inc., «Утечка информации и остановка сервиса из-за несанкционированного доступа к Arara Message (второе сообщение)» (2 ноября 2026 года) — arara.com
- Arara Inc., «Инструкция по совместному сообщению и сообщению от имени клиента в Комиссию по защите персональных данных» — am.arara.com
- PayCloud Holdings Co., Ltd., «Утечка информации и остановка сервиса из-за несанкционированного доступа к Arara Message, предоставляемому консолидируемой дочерней компанией (второе сообщение)» (2 ноября 2026 года, своевременное раскрытие) — xj-storage.jp
- Kagoshima Bank и ещё три учреждения, уведомление о возможной утечке персональных данных из-за несанкционированного доступа к Pay-don (28 октября 2026 года) — kagin.co.jp
- Префектура Окинава, уведомление о возможной утечке информации из-за несанкционированного доступа к сервису новостной рассылки проекта обмена с отдалёнными островами «Shimamaru» (29 октября 2026 года) — pref.okinawa.jp
- Suzuki Motor Corporation, «Возможная утечка персональных данных у подрядчика» (30 октября 2026 года) — suzuki.co.jp
- Bic Camera, Kojima и Sofmap, извинения и уведомление об утечке данных подписчиков рассылки из-за несанкционированного доступа к подрядчику (2 ноября 2026 года) — biccamera.com
- Osaka Gas Co., Ltd., «Утечка информации о клиентах из-за несанкционированного доступа к сервису email-рассылки подрядчика» (2 ноября 2026 года) — osakagas.co.jp
- Kinko's Japan Co., Ltd., извинения и уведомление об утечке адресов электронной почты клиентов из-за несанкционированного доступа к Arara Message (первое сообщение, 2 ноября 2026 года) — kinkos.co.jp
- Asoview, Inc., «Извинения и уведомление о несанкционированном доступе к сервису email-рассылки подрядчика» (3 ноября 2026 года) — asoview.co.jp
- The Yokohama Rubber Co., Ltd., «Утечка персональных данных в используемом нами сервисе email-рассылки» (3 ноября 2026 года) — y-yokohama.com
- Workman Co., Ltd., извинения и просьба в связи с утечкой адресов электронной почты подписчиков рассылки Workman Online Store (4 ноября 2026 года) — workman.co.jp
- Kyushu Railway Company, уведомление о возможной утечке адресов электронной почты из-за несанкционированного доступа к сервису email-рассылки партнёра (4 ноября 2026 года) — jrkyushu.co.jp
- TKC Corporation, «Утечка информации из-за несанкционированного доступа к подрядчику по email-рассылке (третье сообщение)» (4 ноября 2026 года) — tkc.jp
- The Bank of the Ryukyus, «Утечка адресов электронной почты клиентов из-за несанкционированного доступа к сервису email-рассылки подрядчика (второе сообщение)» (4 ноября 2026 года) — ryugin.co.jp
- Zaif, «Утечка информации из-за несанкционированного доступа к подрядчику (второе сообщение, 4 ноября 2026 года)» — corp.zaif.jp
- Internet Initiative Japan Inc., «Утечка информации о клиентах из-за несанкционированного доступа к используемому нами сервису email-рассылки» (4 ноября 2026 года) — iij.ad.jp
- Hasegawa Co., Ltd., «Извинения и уведомление об утечке персональных данных из-за несанкционированного доступа к подрядчику по email-рассылке (первое сообщение)» (4 ноября 2026 года) — hasegawa.jp
- Tribeck Corporation, извинения и уведомление об утечке персональных данных из-за несанкционированного доступа к Arara Inc. (4 ноября 2026 года) — tribeck.jp
- Chobirich Co., Ltd., извинения и уведомление о несанкционированном доступе к сервису email-рассылки подрядчика (4 ноября 2026 года) — chobirich.co.jp
- MOS Food Services, Inc., извинения и уведомление об утечке информации о клиентах из-за несанкционированного доступа к сервису email-рассылки подрядчика (4 ноября 2026 года) — mos.co.jp
- GMO Payment Service, Inc., «Утечка персональных данных из-за несанкционированного доступа в Arara Inc.» (5 ноября 2026 года) — gmo-ps.com
- CYBIRD Co., Ltd., «[Важное уведомление] Извинения и сообщение об утечке персональных данных из-за несанкционированного доступа к сервису email-рассылки (Arara Inc.)» (6 ноября 2026 года) — cybird.co.jp
- Pacific League Marketing, Inc., «Извинения и уведомление об утечке адресов электронной почты клиентов из-за несанкционированного доступа» (6 ноября 2026 года; пресс-релиз в публикации Sportsmania) — sportsmania.jp
- Personal Information Protection Commission, «Реагирование на утечки и полезные материалы» — ppc.go.jp
История обновлений
2026-11-07: учтено третье сообщение от 6 ноября: число выгруженных адресов электронной почты меняется с около 77 млн на 81 329 467 (около 81,3 млн) без дубликатов между категориями. Добавлены 3 249 492 из отдельной облачной среды (среда B), исправление числа для общей среды (с 3 386 187 на 2 842 400) и исправление периода выгрузки, который 2 ноября индивидуально называли некоторым клиентам (непрерывно с 28 октября до остановки 31 октября); в таблицу клиентов добавлены Tribeck, Chobirich, MOS Food Services, GMO Payment Service, CYBIRD и Pacific League Marketing. Страница уведомлений последний раз обновлялась 6 ноября в 21:00; обновление, запланированное примерно на 12:00 7 ноября, на момент проверки не появилось.
2026-11-05: первая версия. Основана на втором сообщении Arara Inc. от 2 ноября (около 77 млн, до примерно 380 компаний, до примерно 7,13 млн поддельных писем) и официальных уведомлениях 15 организаций-клиентов. Страница уведомлений последний раз обновлялась 4 ноября в 21:00; обновление, запланированное примерно на 12:00 5 ноября, на момент написания статьи не появилось.
Читайте дальше
- Похожие случаи: Несанкционированный доступ к Cuenote FC компании Ymirlink / Несанкционированный доступ к Blastmail / Утечка адресов электронной почты JR East, View Card и JR Kyushu
- Разбор по отдельному клиенту: Утечка данных участников Asoview
- Распознавание поддельных писем: Что такое фишинг? / Спам с вашего собственного адреса электронной почты
- Проверка отправителей (для операторов): Основы SPF, DKIM и DMARC
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и мир)