Для кого: для всех, кто зарегистрировался как участник или бронировал место в заведениях Big Echo, Mega Big, Karaoke CLUB DAM, Banana Club, B-GARAGE или DK Dining; для сотрудников Daiichikosho (в уведомлении сказано «информация о сотрудниках» и не уточняется, входят ли бывшие сотрудники); и для компаний, которые передают данные клиентов подрядчикам. Статья основана на официальных уведомлениях Daiichikosho Co., Ltd. и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 10 октября 2026 годаПока не известно
- Фактически ли данные попали к посторонним лицам
- Как произошло заражение компьютера
- Какая работа была передана на аутсорсинг
- Будут ли пострадавшие уведомлены индивидуально
- Как проверить, затронуты ли вы
- Меры по предотвращению повторения
Компания говорит, что оперативно сообщит о любых новых фактах, включая масштаб затронутых клиентов и принятые меры. 9 октября она открыла отдельную бесплатную линию. По состоянию на 10 октября новых сведений о причине и масштабе инцидента нет.
Что сделать сегодня участникам Big Echo и других сетей
Проверьте, можете ли вы быть затронуты (участники и клиенты шести сетей, а также сотрудники)
По словам компании, данные касаются клиентов, которые зарегистрировались как участники или бронировали места в её заведениях. Разбивка приведена ниже. Все цифры приблизительные, а дубликаты (около 515 000) исключены из общего итога.
- Связанные с Big Echo: около 5 558 000
- Связанные с DK Dining: около 3 462 000
- Связанные с Karaoke CLUB DAM: около 74 000
- Связанные с Mega Big: около 43 000
- Связанные с Banana Club: около 5 000
- Связанные с B-GARAGE: около 4 000
Кроме того, включены около 93 000 записей сотрудников. В уведомлении не сказано, охватывает ли это только действующих сотрудников или также бывших.
По состоянию на 10 октября в уведомлениях не сказано, будут ли пострадавшие уведомлены индивидуально и как проверить, входят ли они в число затронутых. Если вы когда-либо регистрировались или бронировали место в любой из перечисленных сетей, считайте, что вы затронуты, и выполните шаги ниже.
Не открывайте ссылки в письмах и SMS о купонах, обновлении членства или баллах
Компания предупреждает, что если данные действительно утекли, их могут использовать для поддельных писем и фишинга. Она просит следить за подозрительными письмами, SMS и звонками и не открывать незнакомые ссылки или вложения.
Программы членства в караоке и ресторанах регулярно рассылают купоны, уведомления о статусе участника и напоминания о баллах. Поэтому поддельные сообщения вида «получите купон», «обновите членство» или «баллы сгорают» трудно отличить от настоящих. Не открывайте ссылку. Проверьте, есть ли такое же уведомление в официальном приложении или на официальном сайте, который вы сохранили в закладках сами (как распознать подделку: Что такое фишинг?).
Считайте любой запрос пароля или данных карты поддельным
Компания говорит, что никогда не будет запрашивать пароли или данные банковских карт. Не отвечайте на сообщения, которые требуют их ради извинений, компенсации или бонусных баллов. Если вы уже ввели эти данные, смените пароль в этом сервисе, а если ввели данные карты, позвоните в банк, выпустивший карту.
Если вы используете дату рождения как PIN-код или пароль, смените его
Дальше идёт совет этого сайта. В отличие от пароля, дату рождения впоследствии нельзя изменить. Поскольку она могла утечь, если вы используете 4 или 6 цифр даты рождения как PIN-код банковской карты или телефона либо как часть пароля, смените их.
Если имя и адрес электронной почты тоже могли стать известны, пароли вида «имя + день рождения» легко подобрать. Когда вы меняете пароль, практичный способ сделать его длинным и не связанным с вами — использовать менеджер паролей.
Звонящий, который называет вашу дату рождения, не доказал, что он настоящий
Когда звонящий «подтверждает вашу личность», зачитывая имя и дату рождения, он может звучать официально. Имя, дата рождения и номер телефона входят в перечисленные здесь данные, поэтому такие звонки легче подделать. Если вам позвонили, не отвечайте на вопросы сразу: положите трубку и перезвоните по номеру, указанному на официальном сайте компании.
Используйте только контакты из официального уведомления
Линия для вопросов компании — бесплатный номер 0120-732-079 (с 10:00 до 17:00 по японскому времени, кроме выходных и праздников, звонки только с территории Японии), а также адрес incident-desk@dkkaraoke.co.jp (по уведомлению от 9 октября). Компания сообщает, что при занятой телефонной линии можно написать на электронную почту. Уточняйте номер и адрес на официальном сайте компании, а не по письму или SMS.
Смена паролей: что говорит уведомление и что думает этот сайт
В уведомлении компании сказано, что пароли не входят в данные, которые могли утечь, и что по одной этой информации баллы использовать нельзя. Сообщается, что злоупотребление баллами не подтверждено. В уведомлении не просят менять пароли.
Этот сайт также не считает, что один только этот инцидент является причиной менять пароль. Однако если вы входили в систему на странице, открытой по ссылке из письма или SMS, смените этот пароль сразу, а также поменяйте его во всех других сервисах, где используется тот же пароль (как проверить: Как проверить, утёк ли ваш пароль).
Что произошло (по данным Daiichikosho)
Ниже изложено на основании уведомления Daiichikosho от 8 октября 2026 года и уведомления о бесплатной линии от 9 октября. Сведения, которые компания относит к сообщению подрядчика, приведены именно так.
1–2 октября 2026 года
По сообщению подрядчика, на одном компьютере сотрудника подрядчика обнаружено заражение вредоносным ПО.2 октября
Подрядчик отключил компьютер от своей сети.5 октября
После того как подрядчик выяснил масштаб, Daiichikosho получила его отчёт.8 октября
Daiichikosho опубликовала «Возможная утечка персональных данных у подрядчика» (на японском и английском языках).9 октября
Открыта отдельная бесплатная линия для клиентов. Компания сообщает, что злоупотребление персональными данными в связи с этим инцидентом не подтверждено, расследование продолжается.По состоянию на 10 октября
Новых сведений о причине и масштабе нет.
- Кто
- Клиенты, которые зарегистрировались как участники или бронировали места в заведениях компании (около 8 631 000), и записи сотрудников (около 93 000). Всего около 8 724 000
- Данные
- Имя (зарегистрированное), пол, дата рождения, адрес электронной почты, номер телефона
- Не входит
- Пароли. По одной этой информации баллы использовать нельзя, злоупотребление баллами не подтверждено
- Причина, как она раскрыта
- Компьютер (одно устройство) сотрудника организации, которой Daiichikosho передала обработку персональных данных, был заражён вредоносным ПО. На нём временно хранились персональные данные, связанные с переданной работой
- Не подтверждено
- Фактическая внешняя утечка, злоупотребление в результате инцидента или влияние на собственные системы компании
- Ответ подрядчика (по его отчёту)
- Компьютер отключён от сети, пароли и другие учётные данные сброшены. Ведётся расследование причины и масштаба, включая то, утекли ли данные
- Дальнейшие шаги компании
- Мониторинг злоупотреблений и реагирование на их признаки, проверка используемых систем, проверка результатов расследования причин и плана предотвращения, подготовленных подрядчиком и внешним специалистом, а также пересмотр и усиление управления подрядчиками
Что известно, а что нет
Состояние на 10 октября 2026 года. Когда будет опубликовано новое уведомление, мы обновим данные в колонке статуса.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Заражённое устройство | Один компьютер сотрудника подрядчика; отключён 2 октября | Подтверждено (по отчёту подрядчика) |
| Данные на устройстве | Персональные данные, связанные с переданной работой, временно хранились | Подтверждено (по отчёту подрядчика) |
| Количество записей | Около 8 724 000 (клиенты около 8 631 000; сотрудники около 93 000) | Известный на данный момент масштаб |
| Данные | Имя (зарегистрированное), пол, дата рождения, почта, телефон | Могли утечь |
| Пароли | Не входят | Подтверждено |
| Баллы | По одним этим данным не используются; злоупотребление не подтверждено | Подтверждено (заявление компании) |
| Фактическая внешняя утечка | Не подтверждена; расследуется, в том числе утекли ли данные | Расследуется |
| Злоупотребление | Не подтверждено (по состоянию на 9 октября) | Не подтверждено |
| Как произошло заражение / тип вредоносного ПО | В уведомлении не упоминается | Не раскрыто |
| Какая работа была передана на аутсорсинг | В уведомлении не упоминается | Не раскрыто |
| Индивидуальное уведомление | В уведомлении не упоминается | Не раскрыто |
| Меры предотвращения | Будет рассмотрено расследование подрядчика и внешних специалистов, усилено управление подрядчиками | На рассмотрении |
Как читать: «не подтверждено» не означает «не утекло»
Компания говорит, что фактическая внешняя утечка не подтверждена, но опубликовала уведомление, поскольку не может её исключить. Было ли похищено что-либо с устройства, зараженного вредоносным ПО, часто остаётся неясным до завершения расследования, которое может занять время. До тех пор исходите из того, что данные попали к посторонним, и будьте готовы к поддельным сообщениям.
Для чего могут использовать имя, дату рождения, телефон и почту
В общем случае следующие комбинации могут быть использованы описанным образом. Это не означает, что в данном случае так и произошло.
- Имя + почта + телефон: письма и SMS с вашим верным именем, похожие на уведомления от сети
- Имя + дата рождения + телефон: материал для звонков, которые выдают себя за подтверждение личности, и для поддельных сообщений о подарке ко дню рождения
- Дата рождения + имя: аккаунты людей, которые используют дату рождения как PIN-код или пароль, подбираются в первую очередь
- Пол + дата рождения: позволяют подобрать убедительное предложение или мошенническую схему под вашу возрастную группу и пол
Мнение этого сайта: когда утекают данные, которые нельзя изменить, сократите ситуации, в которых одна только дата рождения служит подтверждением личности
Пароль перестаёт работать, как только вы его меняете, а дату рождения и имя изменить нельзя. Эта комбинация остаётся пригодной для использования годами.
Поэтому защита состоит не в том, чтобы вернуть данные, а в том, чтобы убрать ситуации, где одна только дата рождения считается доказательством личности. Уберите дату рождения из PIN-кодов и паролей и не доверяйте звонящему только потому, что он её знает. Эти шаги помогут не только в этом случае, но и каждый раз, когда в утечку попадают даты рождения.
Big Echo
около 5,558 млн
DK Dining
около 3,462 млн
CLUB DAM, Mega Big, Banana Club, B-GARAGE
около 126 тыс. вместе
Записи сотрудников
около 93 тыс.
↓ для переданной на аутсорсинг работы
Временно хранились на компьютере одного сотрудника подрядчика
около 8,724 млн после удаления дубликатов
↓
Вредоносное ПО обнаружено 1–2 октября; компьютер отключён 2 октября
Внешняя утечка не подтверждена (расследуется)
Для компаний, которые передают данные клиентов подрядчикам
Как было заражено устройство, не раскрыто, поэтому этот раздел не описывает, как остановить вредоносное ПО. Другим компаниям можно проверить по своей практике один раскрытый факт: данные участников нескольких сетей, а также данные сотрудников временно хранились на компьютере одного сотрудника подрядчика. Этот раздел не оценивает действия компании или подрядчика.
Перечень подрядчиков, которые хранят данные ваших клиентов, с количеством записей и сроками уведомления, рассмотрен в статье о инциденте у подрядчика Daiwa Securities. Здесь речь о случаях, когда данные оказываются на компьютерах исполнителей работы, а не на сервере подрядчика.
Передавайте подрядчикам только те столбцы и записи, которые нужны для задачи
Когда вы передаёте на аутсорсинг сводные таблицы, рассылку или анализ, выгрузка всей базы участников помещает на компьютеры подрядчика столбцы и сети, которые задаче не нужны. Для каждой задачи решите, какие столбцы действительно необходимы, прежде чем что-либо передавать.
Например: возрастные группы вместо полных дат рождения для отчётов по возрасту, без почты и телефона для работы, которая не предполагает контакта, номера участников вместо имён. Если работа разделена по сетям, разделите и файлы. В качестве первого шага возьмите один файл, который регулярно отправляете подрядчику, и вместе с ним пройдите по каждому столбцу, спрашивая, использует ли его задача.
Пусть подрядчики работают в среде, которую контролируете вы, а не на своих компьютерах
Как только данные сохранены на компьютере сотрудника подрядчика, защита от вредоносного ПО и статус обновлений этого компьютера становятся защитой ваших клиентов, и вы не можете ни то ни другое видеть. По возможности пусть подрядчики работают в среде, которой вы управляете (виртуальный рабочий стол, передающий только изображение экрана, или общее рабочее пространство с заблокированной загрузкой файлов), чтобы файлы не оставались на их компьютерах.
Для работы, которой действительно нужна локальная копия, требуйте шифрование, удаление по окончании задачи и срок подтверждения удаления для вас.
Закрепите в договоре требования к устройствам и срок первичного уведомления
Закон Японии о защите персональной информации требует от организации, передающей обработку персональных данных на аутсорсинг, осуществлять необходимый и надлежащий надзор за подрядчиком (статья 25). Чтобы этот надзор был конкретным, включите в договор или меморандум следующее:
- Требования к устройствам, на которых обрабатываются данные клиентов: средство, которое обнаруживает и фиксирует активность вредоносного ПО (например, EDR), обновления ОС и ПО, шифрование дисков и запрет на обработку на личных устройствах
- Где могут храниться данные клиентов и срок их удаления после работы
- Что делать при обнаружении заражения или проникновения: срок первичного уведомления, который не ждёт завершения расследования масштаба (например, в течение 24 часов), отдельно от срока отчёта о расследовании
Раз в год проверяйте, выполняет ли подрядчик эти требования, по письменному отчёту о том, как он управляет устройствами, или по результатам самооценки.
С того, с чего организации стоит начинать в целом, поможет разобраться статья Минимальные меры безопасности для организаций, а о видах вредоносного ПО и защите устройств — Что такое вредоносное ПО?.
Источники (открытые публикации)
Факты в этой статье основаны на приведённой ниже открытой информации. Мы не делаем предположений о нераскрытых путях заражения или методах атаки.
- Daiichikosho Co., Ltd., «Возможная утечка персональных данных у подрядчика» (8 октября 2026 года) — en.dkkaraoke.co.jp (на японском: dkkaraoke.co.jp)
- Daiichikosho Co., Ltd., уведомление об открытии бесплатной линии для вопросов о возможной утечке у подрядчика (9 октября 2026 года, на японском языке) — dkkaraoke.co.jp
- Комиссия по защите персональной информации, «Руководство по Закону о защите персональной информации (общие правила)» (надзор за подрядчиками, на японском языке) — ppc.go.jp
История обновлений
2026-10-10: первая версия на основании уведомления Daiichikosho от 8 октября и уведомления о бесплатной линии от 9 октября. Компания сообщает, что опубликует новые факты, включая масштаб и принятые меры, и мы обновим статью, когда это произойдёт.
Читайте дальше
- Ещё один случай, когда данные клиентов оказались под угрозой через подрядчика: инцидент у подрядчика Daiwa Securities
- Мошенничество с использованием имён, телефонов и почты: Несанкционированный доступ к TEMAIRAZU
- Поддельные сообщения и пароли: Что такое фишинг? / Выбор двухфакторной аутентификации
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году