Для кого: для всех, кто зарегистрирован на Baitoru или Baitoru NEXT, сайтах вакансий, которыми управляет dip Corporation в Японии (включая бывших участников), и для всех, кто управляет веб-сервисом с учётными записями участников. Статья основана на официальном уведомлении dip Corporation и не описывает техники атак.
В развитии: статья будет обновляться по мере публикации новых сведений организацией
По состоянию на 10 октября 2026 годаПока неизвестно
- Фактическое количество утёкших адресов (известен только максимум, 3 885 771)
- Какая функция имела недостаток и в чём он заключался
- Когда начался несанкционированный доступ
- Когда будет завершена отправка индивидуальных уведомлений по электронной почте
В уведомлении компании от 9 октября не сказано, будет ли опубликовано продолжение. Там указано, что участников известили в сервисах 6 октября и что с ними связываются индивидуально по электронной почте и другими способами. Эта статья будет переработана, если компания опубликует новые сведения.
Что участникам Baitoru стоит сделать сегодня
Проверьте, затронуты ли вы, в официальном приложении или на сайте, которые открываете сами
Компания заявляет, что сообщила затронутым участникам Baitoru и Baitoru NEXT 6 октября 2026 года и связывается с ними индивидуально по электронной почте и другими способами. Способа, которым участники могли бы проверить это сами, не опубликовано.
Поскольку люди знают, что письмо от компании придёт, возможны поддельные письма, которые её имитируют. Чтобы проверить, не переходите по ссылке из письма; откройте сайт через официальное приложение на главном экране или через свою закладку и прочитайте уведомления там.
Сверьте сообщения о собеседованиях и откликах с историей откликов в приложении
На сайте вакансий обычно приходят сообщения от работодателей о времени собеседования или подтверждении отклика. Именно поэтому сообщения, которые их имитируют, трудно отличить от настоящих.
Для любого такого сообщения проверьте в официальном приложении или на сайте, действительно ли вы откликались на эту вакансию и существует ли она ещё. Если вы не помните, что откликались, или вакансию не удаётся найти, проигнорируйте сообщение, не открывая ссылку (основы: что такое фишинг?).
Никогда не вводите пароль или данные карты в ответ на сообщение
По уведомлению компании, пароли и данные кредитных карт не входили в утёкшие данные. Компания также заявляет, что никогда не запрашивает пароли или данные кредитных карт по электронной почте или в других сообщениях.
Поэтому сообщение с просьбой ввести пароль или номер карты «для подтверждения личности» или «для защиты учётной записи» является поддельным. Если вы уже это сделали, немедленно смените пароль в официальном приложении, а также на любом другом сервисе, где использовали тот же пароль (как проверить, утёк ли пароль).
Откажитесь от просьб перейти в другой мессенджер или отправить документы, удостоверяющие личность, или данные о семье
Это общий совет о сайтах вакансий, а не заявление о Baitoru. Национальное полицейское агентство Японии предупреждает, что даже на легитимных сайтах вакансий могут появляться опасные объявления, которые вербуют людей для совершения преступлений, например для получения наличных при телефонных мошенничествах. Среди признаков, которые оно перечисляет: предложение установить приложение для мессенджера с высокой анонимностью, многократные запросы личных данных о вас, вашей семье или друзьях, а также невозможность подтвердить место работы или содержание работы.
Агентство заявляет, что для легитимной подработки такие приложения не нужны, и просит людей, получивших такие просьбы, прекратить общение и обратиться в полицию. Если вы уже отправили фото документа, удостоверяющего личность, см. что делать, если утекли данные японского водительского удостоверения.
Не откликайтесь на предложения «высокая оплата», «выплата в тот же день» или «просто получать посылки»
Национальное полицейское агентство относит к признакам вербовки для совершения преступлений (в Японии известной как yami baito) объявления, которые обещают высокую оплату без понятного описания работы, фразы вроде «высокая оплата», «выплата в тот же день» и «белая (чистая) работа», а также предложения высокой оплаты только за перевозку или получение посылок.
Если вы уже откликнулись и не можете выйти из ситуации, агентство просит позвонить на консультационную линию полиции #9110 или обратиться в ближайший полицейский участок.
Если «лёгкая подработка» превращается в просьбу о деньгах, сначала звоните на 188
Национальный центр по делам потребителей Японии предупреждает о подработках, которые обещают легкие деньги за простые задания в свободное время, но в итоге люди платят деньги сами. Большинство таких предложений начинаются в социальных сетях или рекламе, а некоторые предполагают отклик через мессенджер.
Если вас просят отправить деньги за работу, которая должна была принести вам деньги, позвоните на горячую линию для потребителей 188, прежде чем платить.
1. Не открывайте ссылки в письме или сообщении
Имя отправителя или логотип Baitoru не доказывают, что сообщение настоящее
↓
2. В официальном приложении, которое вы открываете сами, проверьте свои отклики и вакансию
Отклика нет или вакансию не удаётся найти → проигнорируйте сообщение
↓
Откажитесь от любой из этих просьб
Ввод пароля или номера карты / переход в другой мессенджер / документы, удостоверяющие личность, или данные семьи / предварительная оплата
Где получить помощь в Японии
Хотите выйти из работы yami baito → #9110 или полицейский участок / просят заплатить → 188
Что произошло (по уведомлению dip Corporation)
Ниже изложено на основе уведомления dip Corporation от 9 октября 2026 года. При проверке новостной ленты компании 10 октября продолжения не было.
6 октября 2026 года
Несанкционированный доступ третьих лиц к части функций сайта подтверждён. Сразу после подтверждения компания заблокировала весь доступ из-за рубежа и изменила программу.6 октября
Затронутых участников известили на Baitoru и Baitoru NEXT. Затем компания начала связываться с ними индивидуально по электронной почте и другими способами.9 октября
Компания опубликовала на своём официальном сайте уведомление и извинения о частичной утечке адресов электронной почты.По состоянию на 10 октября
Продолжения нет. Компания заявляет, что её сервисы, включая Baitoru и Baitoru NEXT, остаются доступными.
- Сервисы
- Сайты вакансий Baitoru и Baitoru NEXT
- Утёкшие данные
- Только адреса электронной почты участников. Имена, номера телефонов, пароли и данные кредитных карт не входили в утечку
- Количество
- Могли утечь до 3 885 771 адреса
- Причина
- Подтверждён несанкционированный доступ из-за рубежа, который использовал недостаток в спецификации части функций системы. Какая функция и какой недостаток не раскрыты
- Меры
- Заблокирован весь доступ из-за рубежа; затронутая программа изменена так, чтобы тот же способ больше нельзя было использовать; усилены меры безопасности и мониторинг
- Сообщения
- Сообщено в Комиссию по защите персональной информации и Бюро телекоммуникаций Канто (Министерство внутренних дел и коммуникаций), проводятся консультации с полицией
- Уведомление участников
- Сообщено в сервисах 6 октября; индивидуальные уведомления по электронной почте и другими способами в процессе
- Обращения
- Форма обращения пользователей, ссылка на которую дана в уведомлении компании
Что известно и что не известно
Состояние на 10 октября 2026 года. Когда появятся новые сведения, столбец статуса будет переписан.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Утечка | Утекли некоторые адреса электронной почты участников | Подтверждено (компания) |
| Утёкшие данные | Только адреса электронной почты | Подтверждено (компания) |
| Имена, номера телефонов, пароли, карты | Не входили | Подтверждено (компания) |
| Другие персональные данные | Утечка не подтверждена | Не подтверждено на момент уведомления |
| Количество | Могли утечь до 3 885 771 адреса | Только максимум (фактическое число не названо) |
| Причина | Доступ из-за рубежа, использовавший недостаток в спецификации части системы | Подтверждено (без подробностей) |
| Период доступа | Подтверждён 6 октября; дата начала не указана | Не раскрыто |
| Публикация в интернете или использование | Не подтверждено | Не подтверждено на момент уведомления |
| Уведомление участников | Уведомление на сайте 6 октября; индивидуальные письма в процессе | В процессе |
| Сервис | Остаётся доступным | Подтверждено (компания) |
Как это понимать: «злоупотребление не подтверждено» не означает «безопасно»
Компания заявляет, что не подтвердила публикацию данных в интернете или их использование. Это значит, что на момент уведомления ничего не было обнаружено. Списки адресов электронной почты иногда используют для спама или мошенничества гораздо позже. Некоторое время продолжайте проверять сообщения, связанные с работой, в официальном приложении.
Что может произойти только с адресами электронной почты
Вообще, когда утекает список адресов электронной почты, может произойти следующее. Это не означает, что это произошло в данном случае.
- Больше спама. Не нажимайте «отписаться» в спаме, так как это может сообщить отправителю, что адрес используется
- Поддельные письма, имитирующие сервис (фишинг), которые ведут на поддельные страницы с запросом пароля или данных карты
- Попытки входа в другие сервисы, где вы регистрировались с тем же адресом, с использованием паролей, утёкших в других взломах. Неиспользование одного пароля для разных сервисов останавливает такие попытки
Мнение этого сайта: утекло и то, что вы участник сайта вакансий
Эти адреса — не просто любой список email; они принадлежат людям, зарегистрированным на сайте вакансий. Люди, которые ищут работу, ждут сообщений от компаний, которых не знают. Поэтому поддельные приглашения на собеседование, подтверждения откликов и привлекательные предложения «скаутов» выглядят правдоподобнее других фальшивых писем. Судите по тому, есть ли соответствующая запись в официальном приложении, а не по отправителю или формулировкам, и вам не придётся гадать.
Для тех, кто управляет сервисами для участников: «недостатки спецификации» и массовый сбор данных
Компания описывает причину как «несанкционированный доступ из-за рубежа, который использовал недостаток в спецификации части функций системы». Какая функция и какой недостаток не раскрыты. Этот раздел не строит догадок о недостатке компании; он в общих чертах описывает, что операторы могут проверить в своих сервисах на предмет проблем, обычно называемых недостатками спецификации.
«Недостаток спецификации» обычно означает брешь в том, как спроектирована функция, а не ошибку в коде. Примеры: вошедший пользователь видит чужие данные, просто изменив число (IDOR); экран, который сообщает, зарегистрирован ли адрес, позволяет любому проверять чужие адреса; один запрос возвращает неограниченное количество записей. Каждый такой запрос выглядит «нормально», поэтому заметить проблему можно, только считая объём.
Составьте список всех функций, которые возвращают или подтверждают чужие данные
Запишите каждый экран или API, который возвращает данные участников, например адреса электронной почты, каждую функцию, которая сообщает, существует ли учётная запись (регистрация, сброс пароля, вход), и каждую функцию, где число выбирает данные конкретного человека. Для каждой проверьте, что сервер при каждом обращении проверяет, имеет ли этот пользователь право видеть эту запись (идея: аутентификация и авторизация).
Ограничьте, сколько чужих записей один пользователь может увидеть за день
Считайте не только запросы, но и количество возвращённых чужих записей для каждой вошедшей учётной записи или API-ключа. Измерьте, что нужно при обычном использовании, установите ограничение на основе этих данных и начните с оповещения, когда использование достигнет 80% от него. IP-адреса можно менять, поэтому считайте по учётной записи или ключу. Полная схема описана в статье ограничение частоты запросов и контроль злоупотреблений.
Ищите доступ, который перебирает идентификаторы один за другим
В журналах доступа ищите, когда один пользователь быстро запрашивает последовательные ID или похожие адреса электронной почты. Люди, которые кликают по экранам, такой шаблон не создают, поэтому хорошими сигналами служат количество запросов в час и число различных запрашиваемых объектов.
Считайте блокировку по странам первой помощью и исправляйте саму конструкцию
Компания заявляет, что сразу после подтверждения доступа она заблокировала весь доступ из-за рубежа и также изменила программу. Блокировка по стране быстро работает как первая реакция, чтобы остановить ущерб. Но в целом она зависит от того, как выглядит источник соединения, поэтому сама по себе не устраняет проблему в функции. Используйте выигранное время, чтобы добавить в саму функцию проверку прав на каждую запись и ограничения объёма; это и есть настоящее исправление.
Источники (открытые публикации)
Факты в этой статье взяты из следующей открытой информации. Догадок о нераскрытых подробностях недостатка или способа атаки мы не строим.
- dip Corporation, уведомление и извинения о частичной утечке адресов электронной почты в результате несанкционированного доступа к Baitoru и Baitoru NEXT (9 октября 2026 года, на японском языке) — dip-net.co.jp
- dip Corporation, новостная лента (проверено 10 октября 2026 года, на японском языке) — dip-net.co.jp
- Национальное полицейское агентство, предупреждение об опасных объявлениях на легитимных сайтах вакансий (на японском языке) — npa.go.jp
- Национальное полицейское агентство, об опасности так называемых yami baito (на японском языке) — npa.go.jp
- Национальный центр по делам потребителей Японии, предупреждение о проблемах с подработкой «легких денег в свободное время» (4 сентября 2024 года, на японском языке) — kokusen.go.jp
История обновлений
2026-10-10: первая версия, основанная на уведомлении dip Corporation от 9 октября. Будет обновлена, когда будут опубликованы фактическое количество или подробности о причине.
Читайте далее
- Распознавание поддельных сообщений: что такое фишинг? / спам с вашего собственного адреса электронной почты
- Если вы ввели пароль где-то: как проверить, утёк ли пароль
- Для операторов: ограничение частоты запросов и контроль злоупотреблений / что такое IDOR?
- Другие инциденты 2026 года: утечки данных и кибератаки 2026 года