Для кого: для всех, кто связывался с дилером подержанных автомобилей или оставлял отзыв через Carsensor.net (включая приложение), для дилеров, использующих C-MATCH, и для тех, кто управляет сервисом, который передает запросы клиентов деловым партнерам. Статья основана на официальном уведомлении Recruit Co., Ltd., японской компании, которая управляет Carsensor, и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых сведений организацией
По состоянию на 13:30 JST, 22 октября 2026 годаПока неизвестно
- Действительно ли данные утекли (в уведомлении сказано «могли утечь»)
- Подробности причины и способа проникновения (расследуются)
- Как и когда с затронутыми людьми будут связываться индивидуально (почтой, по электронной почте или иначе)
- Скольким людям соответствует количество записей
- Сколько записей с банковскими реквизитами индивидуальных предпринимателей-дилеров затронуто
- Обращались ли или уведомляли ли полицию (не упоминается)
Компания говорит, что причина и полный объем инцидента расследуются. В уведомлении Carsensor.net по состоянию на 19 октября говорилось, что компания объявит на сайте каждого сервиса, когда появится примерная дата возобновления, и будет оперативно сообщать о фактах, которые следует опубликовать по мере хода расследования.
22 октября верхнее уведомление на главной странице Carsensor.net было заменено на «Примечания и просьбы в связи с возобновлением сервисов Carsensor.net». В нем сказано, что сервисы поэтапно возобновляются примерно с 13:00 22 октября, начиная с сервисов и функций, безопасность которых подтверждена. Изменения наличия и цен, сделанные во время приостановки, могут еще не отражаться в объявлениях, поэтому пользователей просят перед визитом или подписанием договора уточнить информацию напрямую у дилера. Ответы на запросы, отправленные дилерам до приостановки, также могут задерживаться.
Сроки следующего сообщения не указаны. По состоянию на 22 октября в списке пресс-релизов компании последующих сообщений не появилось.
Проверьте, затронуты ли вы
Уведомление охватывает четыре группы, перечисленные ниже. Указанные числа — это максимальные значения, которые установила компания, и они относятся к количеству записей, а не людей.
| Группа (по данным компании) | Записи | Данные |
|---|---|---|
| Люди, которые связывались с дилером подержанных автомобилей через Carsensor.net (включая приложение) | 3 210 421 | Имя и адрес (3 176 375) / имя, адрес, содержание запроса, возрастной диапазон, пол (33 247) / имя, адрес, содержание запроса, номер телефона, номер факса, адрес электронной почты (799) |
| Люди, оставившие отзывы на Carsensor.net (включая приложение) | 5 289 | Имя (5 285) / имя и адрес электронной почты (4) |
| Дилеры подержанных автомобилей, зарегистрированные в C-MATCH | 483 168 | Имена и номера телефонов представителей и сотрудников; номер лицензии торговца подержанными автомобилями, имя владельца лицензии и префектура выдачи; логин. Для индивидуальных предпринимателей также адрес офиса или пункта приема, почтовый индекс, номер телефона, номер факса и банковские реквизиты для прямого дебетования |
| Сотрудники компании (включая бывших), персонал или индивидуальные предприниматели текущих или бывших подрядчиков, а также персонал текущих или бывших агентов по продажам | 10 673 | Имя, адрес электронной почты, логин |
| Итого | До 3 709 551 | Каждая группа также включает внутренний идентификатор управления, присвоенный компанией |
По словам компании, «адрес» людей, которые связывались с дилерами, в принципе указан только до уровня города или муниципалитета. Однако до 447 670 записей могут содержать полный адрес до номера дома, названия здания и номера квартиры.
Люди, которые только просматривали автомобили на сайте или в приложении, в перечне не значатся. Компания говорит, что будет последовательно связываться с затронутыми людьми, но не сообщает, как именно.
Что должны сделать сегодня те, кто связывался с дилерами или оставлял отзывы
Не открывайте ссылки и вложения в неожиданных письмах и сообщениях
Компания предупреждает, что могут поступать подозрительные контакты, использующие данные, и просит не открывать письма, электронные и текстовые сообщения и не отвечать на звонки, не открывать в них ссылки и вложения.
Большинство записей содержит только имя и адрес, поэтому письма с правильно указанным адресом требуют большей осторожности, чем электронная почта или телефонные звонки. Основы распознавания подделок описаны в статье о том, что такое фишинг.
Проверяйте любое предложение компенсации или возврата средств через страницу уведомления
Компания говорит, что будет последовательно связываться с затронутыми людьми. Это значит, что настоящие и поддельные контакты будут приходить примерно в одно и то же время.
Даже если в письме или сообщении предлагается «компенсация за инцидент», «возврат средств» или «вознаграждение за опрос» (примеры с этого сайта), не используйте телефонные номера, адреса или QR-коды из него. Самостоятельно откройте страницу уведомления Recruit через поиск и свяжитесь с контактом, указанным там.
Не отвечайте на контакты, в которых упоминается автомобиль, о котором вы спрашивали
Содержание запросов включено в 33 247 и 799 записей. Как правило, контакт, в котором названы модель или дилер, о котором вы спрашивали, выглядит убедительно.
Даже если контакт выдает себя за дилера, знание того, о чем вы спрашивали, ничего не доказывает. Не отвечайте сразу; найдите номер дилера самостоятельно и перезвоните.
Если вы используете один пароль повторно, смените его на разные
Компания говорит, что пароли для входа не включены, и не просила никого менять пароли.
Отдельно: если вы используете один и тот же пароль в нескольких сервисах, сейчас хорошее время сделать их разными. Это общий совет этого сайта, а не рекомендация компании. Помочь отслеживать их может менеджер паролей.
Если вы уже передали данные или оплатили, обратитесь в службу поддержки и в полицию
Направляйте вопросы в специальную службу справок, указанную на странице уведомления (запрос по электронной почте через справочный раздел Recruit).
Если вы заплатили деньги или сообщили данные карты после подозрительного контакта, также обратитесь в компанию — эмитент карты или в банк, и на линию консультации полиции (#9110 в Японии).
Что должны сделать дилеры, использующие C-MATCH
Остерегайтесь запросов на повторный вход от людей, которые знают ваш логин
В перечне данных дилеров есть имена и номера телефонов представителей и сотрудников, а также логины. Компания говорит, что пароли для входа не включены.
Как правило, логин вместе с именем сотрудника позволяет создать поддельные контакты с запросом пароля, которые выдают себя за оператора сервиса. Если вы получили контакт о «повторном входе после возобновления работы сервиса» или «проверке аккаунта» (примеры с этого сайта), ничего не вводите по ссылкам из него; откройте сервис через закладку или официальную инструкцию.
Индивидуальные предприниматели: остерегайтесь контактов о счете для прямого дебетования
Для индивидуальных предпринимателей в перечне также указаны банковские реквизиты для прямого дебетования. Японская Банковская ассоциация предупреждает о людях, которые выдают себя за сотрудников банка, чтобы получить реквизиты счета или PIN-коды (это общее предупреждение, а не сообщение об этом инциденте).
Если вы получили контакт с сообщением «списание не прошло» или «ваш счет требует проверки», не используйте номера или адреса из него; самостоятельно уточните информацию в банке или по официальным контактам компании. Если вы видите списание, которое не узнаете, немедленно свяжитесь с банком. О том, как поступать с утекшими банковскими данными, также рассказано в статье о Lashinbang.
Предупредите сотрудников, что поддельные контакты могут использовать их имена
Имена и номера телефонов сотрудников входят в перечень данных. Как правило, звонок или письмо, в котором назван сотрудник, внутри компании воспринимаются как настоящие.
Договоритесь внутри компании: если контакт, выдающий себя за C-MATCH или Carsensor, просит изменить платежные реквизиты или предоставить данные для входа, сотрудники не выполняют такой запрос сразу, а проверяют его другим способом.
Что произошло (по данным Recruit)
21 октября 2026 года Recruit Co., Ltd. опубликовала «Извинения и уведомление об утечке персональных данных в результате несанкционированного доступа к Carsensor.net и C-MATCH». Все, что приведено ниже, основано на этом уведомлении и на уведомлении на сайте Carsensor.net.
17 октября 2026 года (сб.)
Обнаружен подозрительный доступ извне к системам, связанным с Carsensor.net. Примерно с 17:00 того же дня приостановлены все сервисы, связанные с Carsensor.net, включая сам Carsensor.net, приложение Carsensor и C-MATCH.20 октября (вт.)
В ходе расследования установлены данные и их (максимальное) количество записей, которые могли утечь в результате несанкционированного доступа извне.21 октября (ср.)
Опубликовано уведомление. Компания сообщает, что уже подала предварительный отчет в Комиссию по защите персональной информации. Создана специальная служба справок.22 октября (чт.)
Примерно с 13:00 начали поэтапно возобновляться сервисы и функции, безопасность которых подтверждена. Уведомление на сайте Carsensor.net заменено на уведомление о возобновлении сервисов.
В уведомлении не сказано, когда начался несанкционированный доступ. 17 октября — это дата, когда компания обнаружила подозрительный доступ.
- Оператор
- Recruit Co., Ltd.
- Охваченные сервисы
- Carsensor.net, сервис объявлений о продаже подержанных автомобилей (включая приложение); C-MATCH, служба бизнес-поддержки дилеров подержанных автомобилей
- Количество
- До 3 709 551 записи (записи, которые могли утечь)
- Данные
- Как в таблице выше. Каждая группа включает внутренний идентификатор управления, присвоенный компанией
- Не включено
- Платежные данные, такие как номера кредитных карт, и пароли для входа (во всех группах)
- Причина
- Несанкционированный доступ со стороны третьей стороны. Подробности причины и объема расследуются
- Отчет регулятору
- Предварительный отчет подан в Комиссию по защите персональной информации
- Связь с затронутыми людьми
- Индивидуальные контакты последовательно. Людей, с которыми не удается связаться, информируют через уведомление, и они могут обратиться в службу справок
- Вторичный вред
- Не подтвержден на основании сведений, которыми компания располагала на 21 октября
- Профилактика
- Компания говорит, что установит причину и будет рассматривать и внедрять дополнительные меры в масштабах группы. Конкретика не приводится
- Контакт
- Специальная служба справок, указанная в уведомлении (раздел справки Recruit; запросы по электронной почте)
Что известно и что нет
Статус по состоянию на 22 октября 2026 года. Когда будет опубликовано следующее сообщение, колонка статуса будет обновлена.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Обнаружение и приостановка | Подозрительный доступ обнаружен 17 октября; все связанные сервисы приостановлены примерно с 17:00 того же дня | Подтверждено (компания) |
| Причина | Несанкционированный доступ со стороны третьей стороны; подробности расследуются | Подтверждено (компания) / подробности расследуются |
| Количество | До 3 709 551 записи (записи, а не люди) | Возможно (компания) |
| Имена и адреса людей, которые связывались с дилерами | 3 210 421 запись; адреса, в принципе, только до уровня города (до 447 670 могут содержать полные адреса) | Возможно (компания) |
| Содержание запросов, возрастной диапазон, пол, телефон, электронная почта | Часть людей, которые связывались с дилерами (33 247 и 799 записей) | Возможно (компания) |
| Данные сотрудников дилеров и логины | 483 168 записей | Возможно (компания) |
| Банковские реквизиты для прямого дебетования у дилеров-индивидуальных предпринимателей | Включены (количество не указано) | Возможно (компания) |
| Имена, адреса электронной почты и логины сотрудников и персонала подрядчиков | 10 673 записи | Возможно (компания) |
| Платежные данные, такие как номера кредитных карт | Не включены | Не включены (компания) |
| Пароли для входа | Не включены | Не включены (компания) |
| Когда начался доступ и каким путем | Не указано | Не упоминается |
| Злоупотребление данными | На 21 октября вторичный вред не подтвержден | Не подтверждено (компания) |
| Индивидуальная связь с затронутыми людьми | Контакт последовательно (способ не указан) | Выполняется (компания) |
| Отчет в Комиссию по защите персональной информации | Предварительный отчет подан | Подтверждено (компания) |
| Обращение в полицию или заявление | Не указано | Не упоминается |
| Возобновление сервисов | Поэтапное возобновление примерно с 13:00 22 октября, начиная с сервисов и функций, подтвержденных как безопасные | Поэтапное возобновление |
| Объявления и ответы на запросы после приостановки | Изменения наличия и цен могут еще не отражаться; ответы на запросы, поданные до приостановки, могут задерживаться | Предупреждение от компании |
Как читать: возможно или не включено
Количество и данные относятся к тем, которые «могли утечь». Не подтверждено, что все 3 709 551 записи утекли. Но не подтверждено и обратное.
Только платежные данные, такие как номера кредитных карт, и пароли для входа прямо названы как не включенные. Указанные числа также не являются количеством людей; в уведомлении не сказано, как учитывался человек, который связывался с несколькими дилерами.
Как можно использовать сочетания данных
Ниже описано, что может происходить в общем случае; это не означает, что это произошло в данном случае. Компания сообщает, что на 21 октября вторичный вред не был подтвержден.
Имя + адрес (люди, которые связывались с дилерами)
↓→
Письма с правильно указанным адресом с предложением компенсации, возврата или опроса
→ Не используйте номера или QR-коды из письма; проверьте на странице уведомления
Имя + адрес + содержание запроса
↓→
Контакты, выдающие себя за дилера и упоминающие автомобиль, о котором вы спрашивали
→ Знание подробностей не является доказательством / перезвоните по номеру, который найдете сами
Имя сотрудника + телефон + логин (дилеры)
↓→
Контакты, выдающие себя за оператора и просящие пароль или изменение платежных реквизитов
→ Ничего не вводите по ссылкам / проверьте другим способом
Указано в уведомлении как не включенное
- Платежные данные, такие как номера кредитных карт
- Пароли для входа
Данные, которые могли утечь (по данным компании)
- Имя и адрес (их нелегко изменить)
- Содержание запросов, возрастной диапазон, пол (в некоторых записях)
- Номер телефона и адрес электронной почты (в некоторых записях)
- Логины и номера лицензий дилеров; банковские реквизиты для прямого дебетования у индивидуальных предпринимателей
Адреса остаются неизменными очень долгое время, поэтому в общем случае их могут использовать спустя долгое время для контактов под другими предлогами. Некоторое время будьте внимательны к контактам, которые упоминают этот инцидент.
В одном из прошлых случаев, утечке данных участников Bookoff в октябре 2026 года, первоначальное сообщение о «до примерно 6,43 млн записей (номеров участников)» во втором сообщении было подтверждено как количество людей (6 383 279). В этот раз такого может не произойти.
Для тех, кто управляет сервисами, которые передают запросы клиентов деловым партнерам
Компания не раскрыла подробности причины, поэтому эта статья не описывает, как это предотвратить. Этот раздел не дает оценки ответа компании. Уведомление сообщает, что данные четырех весьма разных групп (людей, которые направляли запросы, партнеров-дилеров, собственных сотрудников компании и сотрудников подрядчиков) были затронуты одним инцидентом, и что, хотя адреса были указаны «в принципе только до уровня города», значительное число записей может содержать полные адреса. Приведенные ниже пункты ограничены тем, что можно заранее проверить на этой основе.
Измерьте разрыв между правилом и реально хранящимися данными
Компания сообщила, что адреса людей, которые связывались с дилерами, в принципе указаны только до уровня города, но при этом назвала до 447 670 записей, которые могут содержать адрес до уровня улицы.
Как правило, даже если форма рассчитана на сбор только города, свободные текстовые поля и старые форматы данных могут содержать больше деталей, чем предполагалось при проектировании. Проверка хранящихся данных по фактическим записям, а не по проектной документации, позволяет быстро и точно указать, что входит в объем утечки, если она произойдет.
Составьте список того, данные каких групп хранит каждая система
Данные пользователей, партнеров, сотрудников и подрядчиков имеют разное назначение и разные сроки хранения. Как правило, связанные системы, построенные вокруг одного сервиса, собирают понемногу от каждой группы.
Для каждой системы составьте список: данные каких групп она хранит, какие именно и как долго, и решите, можно ли убрать из повседневных экранов запросы, которые уже переданы дальше. Если группы и данные разделены, проще ответить на вопрос «меня это затронуло?» в день инцидента.
Заранее решите, как вы будете связываться с людьми и как они смогут распознавать подделки
Большинство людей, попадающих в объем этого инцидента, имеют в записи только имя и адрес, но не адрес электронной почты или номер телефона. Как правило, способов индивидуально связаться с такими людьми немного, а настоящие и поддельные контакты приходят примерно в одно время.
До инцидента определите, какие каналы и отправители вы используете для важных уведомлений, и что вы никогда не будете запрашивать, и опубликуйте это на официальном сайте. Это помогает людям отличать настоящие сообщения от поддельных. О защите от подмены отправителя в электронной почте см. статью SPF, DKIM и DMARC против подделки писем.
Источники (публичные сведения)
Факты в этой статье основаны на следующей публичной информации. Нераскрытые подробности причины и способа доступа не домысливались.
- Recruit Co., Ltd., «Извинения и уведомление об утечке персональных данных в результате несанкционированного доступа к Carsensor.net и C-MATCH» (на японском, 21 октября 2026 года) — recruit.co.jp (PDF: recruit.co.jp)
- Recruit Co., Ltd., «О несанкционированном доступе к Carsensor.net» (страница службы справок, на японском, обновлена 21 октября 2026 года) — recruit-help.jp
- Carsensor.net, «Примечания и просьбы в связи с возобновлением сервисов Carsensor.net» (уведомление на главной странице, на японском, обновлено 22 октября 2026 года) — carsensor.net
- Список пресс-релизов Recruit Co., Ltd. (проверено 22 октября 2026 года; последующих сообщений об этом инциденте нет) — recruit.co.jp
- Японская Банковская ассоциация, «Остерегайтесь поддельных сайтов Японской Банковской ассоциации» (на японском; общее предупреждение) — zenginkyo.or.jp
История обновлений
2026-10-22 (13:30 JST): добавлено поэтапное возобновление сервисов примерно с 13:00 22 октября и обновленное уведомление Carsensor.net (предупреждения о наличии и ответах на запросы). Описание группы сотрудников и подрядчиков исправлено в соответствии с уведомлением.
2026-10-22: первая версия, основанная на уведомлении Recruit от 21 октября, уведомлении Carsensor.net и списке пресс-релизов компании (проверено 22 октября). Подробности причины и объема расследуются; статья будет обновлена при публикации новых сведений.
Читайте далее
- Инциденты того же периода: взлом системы заявок NIFTY line / утечка данных H2O ID / утечка данных участников Comic Cmoa
- Защита от мошенничества после инцидента: что такое фишинг / основы безопасности смартфона
- Пароли: выбор и использование менеджера паролей / как проверить, утек ли ваш пароль
- Другой сервис, связанный с автомобилями: инцидент с программой-шифровальщиком у Cariteco (Meitetsu Kyosho)
- Другие инциденты 2026 года: список утечек данных и кибератак