Для кого: для владельцев счетов Daiwa Securities, которые обращались в компанию онлайн, и для компаний, которые используют внешние сервисы для обработки обращений клиентов. Статья основана на официальном уведомлении Daiwa Securities Co. Ltd., а также на уведомлениях подрядчика и других компаний, которые пользуются услугами того же подрядчика (Citizen Watch, Sompo Japan, ORIX Life Insurance, Tobu Railway и au Jibun Bank). Техники атак в статье не рассматриваются.
Что сделать клиентам сегодня
Проверьте в разделе сообщений, затронуты ли вы
По данным сайта компании, затронутым клиентам 5 октября были направлены индивидуальные сообщения в разделе сообщений (お知らせBOX) онлайн-торговли. Войдите сами через закладку или официальное приложение, а не по ссылке из письма, и проверьте там.
Если вы не уверены, позвоните на выделенную линию (0120-851850, с 9:00 до 17:00 по японскому времени, кроме выходных и праздничных дней). Используйте номер, опубликованный на официальном сайте компании, а не номер из полученного вами сообщения.
Никогда не входите по ссылкам из писем или SMS
Возможно утёкшие данные — это ваше имя, адрес электронной почты, номер счёта и содержание ваших обращений. Вместе они позволяют составить поддельное сообщение с правильным именем, верным номером счёта и ссылкой на ваше прошлое обращение.
Страница компании о фишинге прямо советует клиентам не входить в онлайн-торговлю по ссылкам из писем. Даже если в сообщении говорится о проверке безопасности, извинениях или компенсации, не открывайте ссылку; заходите через привычную закладку или официальное приложение (как распознать подделку: Что такое фишинг?).
Никому не сообщайте идентификатор, пароль, PIN-код или одноразовые пароли
Компания просит клиентов не сообщать идентификатор для торговли, пароль, PIN-код или одноразовые пароли в ответ на подозрительные сообщения. То же относится к звонящему, который говорит, что это нужно «для подтверждения личности».
Звонящий, который знает ваше имя и номер счёта, ничего не доказал. Именно эти сведения и могли утечь.
Входите с помощью passkey и проверяйте уведомления об операциях
Компания предлагает вход в онлайн-торговлю с помощью passkey по отпечатку пальца или распознаванию лица. Passkey работает только на настоящем сайте, поэтому он помогает предотвратить ущерб, который возникает, когда вы вводите идентификатор и пароль на поддельном сайте (как это работает: Что такое passkey; сравнение с другими способами: Как правильно выбирать MFA).
Также убедитесь, что уведомления об операциях включены. Такие письма приходят при входе, сделке, выводе денег или изменении личных данных. Компания сообщает, что в принципе включила их для всех клиентов с 11 мая 2025 года.
Просмотрите историю операций
После входа в онлайн-торговлю откройте меню «お手続き・サポート» (процедуры и поддержка) и выберите «操作履歴» (история операций), чтобы посмотреть недавние входы и операции.
Если вы видите вход, сделку или изменение, которых не совершали, немедленно смените пароль и свяжитесь с компанией. Если вы используете тот же пароль в других сервисах, замените его и там (как проверить: Как проверить, не утёк ли ваш пароль).
Что произошло (по уведомлению Daiwa Securities)
Daiwa Securities Co. Ltd. опубликовала 5 октября 2026 года уведомление о возможной утечке данных клиентов в результате несанкционированного доступа к внешнему подрядчику. Всё ниже взято из этого уведомления.
Около 20:33 2 октября — 08:01 3 октября 2026 года
По данным подрядчика, несанкционированный доступ к его серверу произошёл в этот период.3 октября
Подрядчик сообщил компании, что обнаружил следы доступа к данным клиентов компании и их выгрузки.5 октября
Компания объявила об инциденте и индивидуально связалась с затронутыми клиентами через раздел сообщений онлайн-торговли.
- Где
- Сервер подрядчика, который предоставляет сервис обработки онлайн-обращений клиентов
- Масштаб
- Данные по обращениям около 110 000 клиентов; около 220 000 записей, включая обращения, по которым нельзя установить личность
- Данные
- Имя, адрес электронной почты, номер счёта и другие сведения из записей уже полученных обращений
- Счета
- Компания заявляет, что эти данные нельзя использовать для доступа к счетам ценных бумаг или для торговли, в том числе через онлайн-торговлю
- Системы компании
- Доступ был только к серверу подрядчика; несанкционированного доступа к системам компании не выявлено
- Причина
- В уведомлении компании не указана. Компания заявляет, что проверит результаты расследования основной причины у подрядчика (позиция подрядчика — в следующем разделе)
- Ответ подрядчика
- Подрядчик сообщил об экстренном усилении безопасности; на сегодня новых случаев несанкционированного доступа или утечек не выявлено
- Контакт
- Выделенная линия 0120-851850 (с 9:00 до 17:00 по японскому времени, кроме выходных и праздничных дней)
Уведомление подрядчика и другие затронутые компании
6 октября подрядчик, предоставляющий сервис управления обращениями, и его материнская компания опубликовали уведомления. Из них следует, что несанкционированный доступ не ограничился Daiwa Securities: он затронул среды нескольких клиентских компаний на том же сервере. В уведомлении подрядчика клиентские компании не названы.
- Что произошло
- Примерно с 20:30 2 октября до примерно 08:00 3 октября третья сторона без разрешения вошла на сайт управления сервисом и разместила несанкционированную программу на сервере, которым управляет подрядчик. Данные обращений могли быть похищены из баз данных клиентских сред на том же сервере
- Масштаб
- Данные обращений, хранившиеся в клиентских средах на том же сервере (до пяти компаний)
- Записи
- До 713 126, подсчитанных по обращениям, поэтому несколько обращений одного человека учитываются отдельно. Фактическое число людей ещё уточняется
- Данные
- Имя, адрес электронной почты, содержание обращений и др. (набор данных различается у разных клиентских компаний)
- Обнаружение
- Расследование началось утром 3 октября после сигнала мониторинга базы данных; доступ был прекращён около 08:00 в тот же день
- Меры
- Сменён пароль учётной записи, использованной для несанкционированного входа, изолирована несанкционированная программа, сменены пароли администраторов во всех средах и изменены настройки, чтобы загруженные файлы не могли запускаться как программы, а также предприняты другие шаги. С привлечением внешних специалистов проводится криминалистическое расследование (поиск следов вторжения), а инцидент доведён до сведения Комиссии по защите личной информации Японии
- Запланированные меры
- По итогам расследования — усиленная аутентификация администраторов (включая многофакторную), разделение сред, более строгий мониторинг и регулярные сторонние оценки уязвимостей (уведомление подрядчика)
- Вторичный ущерб
- По состоянию на 6 октября не выявлен
После этого другие клиентские компании опубликовали уведомления о том, что тот же подрядчик сообщил им об инциденте. Ниже — официальные уведомления, которые этот сайт смог подтвердить по состоянию на 10 октября.
| Компания (дата) | Задействованный сервис | Количество (как указывает сама компания) | Её собственные данные |
|---|---|---|---|
| Daiwa Securities (5 окт.) | Обработка онлайн-обращений | Около 110 000 человек (около 220 000 записей) | Могли утечь (по данным компании) |
| Citizen Watch (6 окт.) | Контактные формы на сайтах брендов | Около 100 000 человек (доступна выделенная форма обращений) | Могли утечь (по данным компании) |
| Sompo Japan (7 окт.) | FAQ и обращения по SMILING ROAD | Около 60 000 записей, подсчитанных по обращениям | Могли утечь (по данным компании) |
| ORIX Life Insurance (8 окт.) | Обработка обращений с сайта | Около 26 500 записей (включая повторные обращения) | Могли утечь (по данным компании) |
| Tobu Railway (7 окт.) | Контактная форма клиентского центра | Не указано | Признаков просмотра или хищения не найдено (по данным компании) |
| au Jibun Bank (9 окт.) | FAQ и контактная форма email | Не указано | Не входит в число до пяти сред; утечек не найдено (по данным компании) |
Citizen Watch Co., Ltd. (6 октября) сообщила, что тот же подрядчик доложил о несанкционированном доступе к системе, которую компания использовала для обращений через контактные формы на своих сайтах.
- Масштаб: обращения к брендам Citizen, Bulova и Frederique Constant, около 100 000 человек
- Данные: имя, адрес, номер телефона, адрес электронной почты и др. Если клиенты указали в поле обращения данные банковского счёта или кредитной карты, они также могли утечь
- Период: около 20:33 2 октября — 08:01 3 октября (тот же, что в уведомлении Daiwa)
- Компания заявляет, что свяжется с затронутыми клиентами индивидуально; по состоянию на 6 октября вторичного ущерба не выявлено
- Контакт: выделенная форма обращений, указанная в уведомлении (contact.citizen.co.jp, на японском языке)
Sompo Japan Insurance Inc. (7 октября) сообщила об инциденте с SMILING ROAD, её подключённым сервисом видеорегистраторов для бизнеса, для которого компания использует серверы того же подрядчика в основном для FAQ и обращений сотрудников клиентских компаний.
- Количество: около 60 000 записей, подсчитанных по обращениям (несколько обращений одного человека учитываются отдельно)
- Данные: имя, номер телефона, адрес, адрес электронной почты, сведения о работодателе (компания, отдел, отрасль, название агентства и др.), идентификатор водителя, данные о предупреждениях о вождении (тип и время), сведения об устройстве (например, серийный номер видеорегистратора), номер заявки и содержание обращения (тема и текст)
- Не входит: данные банковского счёта, кредитной карты и карты My Number
- Период: около 20:33 2 октября — 08:01 3 октября (тот же, что в уведомлении Daiwa)
- Компания заявляет, что свяжется с затронутыми клиентами индивидуально и на момент уведомления не выявила случаев неправомерного использования. Выделенная линия: 0120-268-567 (по будням с 9:00 до 17:00 по японскому времени)
ORIX Life Insurance Corporation (8 октября) сообщила об инциденте с сервисом того же подрядчика, который компания использует для обработки обращений, поступивших через официальный сайт.
- Количество: около 26 500 записей (включая повторные обращения одного клиента)
- Данные: имя, дата рождения, адрес, номер телефона, адрес электронной почты, номер полиса и содержание обращений (включая медицинские сведения, которые сообщили клиенты)
- Не входит: сведения, которые могут привести к финансовым потерям, например номер My Number (национальный идентификационный номер Японии) или номера кредитных карт
- Компания заявляет, что свяжется с затронутыми клиентами индивидуально — письмом или по email, а на момент уведомления вторичного ущерба не выявила. Центр обслуживания клиентов: 0120-330-053 (с понедельника по пятницу, с 9:00 до 17:00 по японскому времени)
Другие компании, которые пользуются услугами того же подрядчика, сообщили, что влияния на их собственные данные не выявлено.
- Tobu Railway Co., Ltd. (7 октября): сообщает, что её уведомил поставщик сервиса, за которым стоит контактная форма клиентского центра, и что, по словам подрядчика, проведённое на данный момент расследование не выявило признаков того, что данные Tobu были просмотрены или похищены. В качестве меры предосторожности компания просит клиентов не открывать ссылки и вложения в подозрительных письмах
- au Jibun Bank Corporation (9 октября): сообщает, что её уведомил поставщик сервиса, за которым стоят FAQ и контактная форма email, что она не входит в число клиентских сред (до пяти), о которых объявил подрядчик, и что признаков несанкционированного доступа к данным или входа, а также утечки данных клиентов не найдено
Подрядчик указывает, что затронуто до пяти компаний. Насколько этот сайт смог проверить (по состоянию на 10 октября), четыре из них сообщили, что данные их клиентов могли утечь: Daiwa Securities, Citizen Watch, Sompo Japan и ORIX Life Insurance. Остальные клиенты не названы, и эта статья не строит предположений о том, кто они.
Iwate Bank и Shikoku Bank также разместили уведомления, в которых передают объявление Daiwa своим клиентам. Оба делают это как деловые партнёры Daiwa; ни в одном из уведомлений не говорится, что банк сам был клиентом сервиса подрядчика.
Счётчики используют разные единицы: подрядчик, Sompo Japan и ORIX Life Insurance считают каждое обращение, Daiwa Securities указывает и записи, и людей, а Citizen Watch — людей. Их нельзя просто складывать или вычитать.
Считайте, что то, что вы написали в обращении, тоже могло утечь
В уведомлении Daiwa данные перечислены как «имя, адрес электронной почты, номер счёта и так далее», и там не сказано, как обрабатывается текст обращений. Уведомление подрядчика, напротив, указывает содержание обращений в числе данных.
Если вы помните, что написали в обращении номер кредитной карты, банковского счёта или дату рождения, безопасно считать, что это тоже могло утечь (мнение этого сайта). Для карты позвоните в банк-эмитент по номеру на обороте карты и уточните, нужно ли её перевыпустить.
Для чего могут использоваться утёкшие данные
Ни один из этих пунктов сам по себе не редкость, но вместе они делают поддельные сообщения убедительными. Особенность этого случая в том, что, помимо имени и контактов, в утечку попали номера счетов и то, о чём спрашивали клиенты.
Имя + email + номер счёта
↓→
Поддельные запросы входа с верным именем и номером счёта
→ Не входите по ссылкам / используйте passkey
Имя + содержание прошлого обращения
↓→
Поддельные звонки или письма, которые начинаются словами «По вашему недавнему обращению…»
→ Никогда не сообщайте PIN-код или одноразовый пароль / перезванивайте по официальному номеру
Не найдено, по уведомлению
- Доступ к собственным системам компании
- Мошеннические сделки (по состоянию на 5 октября)
- Публикация или распространение данных (по состоянию на 5 октября)
- Доступ к счетам или торговля только с этими данными (компания заявляет, что это невозможно)
Могли утечь
- Имя
- Адрес электронной почты
- Номер счёта и другие сведения
- Содержание обращений (записи уже полученных обращений)
Как это понимать: «эти данные нельзя использовать для торговли» не означает «ничего не делать»
Компания заявляет, что возможно утёкших данных недостаточно, чтобы самостоятельно получить доступ к счетам или совершать сделки. Иначе говоря, недостаточно именно одних этих данных.
Если же вы введёте идентификатор и пароль в поддельном письме или на поддельном сайте, ситуация меняется. Агентство по финансовым услугам Японии предупреждало, что мошеннические сделки с использованием логинов и паролей, похищенных через поддельные сайты, выдающие себя за брокерские компании, стали частыми (предупреждение FSA, на японском языке). Данные для входа, вероятно, станут следующей целью, поэтому ключевые меры защиты — никогда не входить по ссылкам и использовать passkey.
Содержание обращений у каждого своё. Если вы помните, о чём спрашивали, то сможете заметить, когда в сообщении упоминается эта тема, и заподозрить использование утёкших данных.
Для компаний, которые используют внешние сервисы для обработки обращений клиентов
Данные хранились не в собственных системах компании, а на сервере подрядчика, который используется для обработки обращений. Подрядчик говорит, что всё началось с несанкционированного входа на сайт управления, но то, как это стало возможным, не раскрыто, поэтому этот раздел опирается только на положения, применимые к любой похожей схеме. О случае, когда целью вторжения стала сама система службы поддержки, рассказано в статье инцидент с DIVD. Здесь мы добавляем то, что касается именно записей обращений.
Не позволяйте формам обращений собирать номера счетов в свободном тексте
В поле сообщения формы обращения клиенты часто вводят номера счетов, даты рождения, а иногда даже пароли. Если нужна проверка личности, пусть клиенты отправляют обращения с авторизованного экрана, и не храните эти номера в записях обращений.
Первый шаг — при отправке формы находить строки, похожие на номера счетов или телефонов, и маскировать их часть перед сохранением. Некоторые сервисы управления обращениями предлагают скрытие чувствительных данных или обработку содержимого до сохранения.
Установите срок хранения закрытых обращений и удаляйте их по истечении срока
Закрытые обращения редко используются повторно, но при утечке каждая запись оказывается под угрозой. Определите, сколько хранить старые записи, и сделайте так, чтобы они удалялись автоматически по истечении срока.
Если данные хранит подрядчик, закрепите срок хранения и способ удаления в договоре и проверяйте не реже раза в год, что удаление действительно происходит. Случай, когда данные не были удалены после окончания договора, описан в записи ApplyNow в списке инцидентов 2026 года.
Составьте список подрядчиков, которые хранят данные клиентов, с объёмами и сроком уведомления
Перечислите все внешние сервисы, которые хранят данные клиентов или кандидатов: обработка обращений, рассылка email, опросы, подбор персонала и т. д. Для каждого запишите, сколько записей и какие данные он хранит, и за сколько часов он обязан сообщить вам, если обнаружит несанкционированный доступ.
Начните с подрядчиков, у которых больше всего записей: проверьте, есть ли у их административных экранов многофакторная аутентификация, ограничения по источникам и оповещения о крупных выгрузках (справочно: Аутентификация и авторизация).
Также уточните, находятся ли ваши данные на одном сервере со средами других клиентов. В этом случае пострадали среды до пяти компаний на одном сервере. Если ваши данные лежат в общей среде, выясните, может ли вторжение на стороне другого клиента добраться до ваших данных.
Источники (публичные сведения)
Факты в этой статье основаны на приведённых ниже публичных сведениях. Мы не строим предположений о нераскрытых методах или причинах.
- Daiwa Securities Co. Ltd., уведомление о возможной утечке данных клиентов из-за несанкционированного доступа к внешнему подрядчику (5 октября 2026 года, на японском языке) — раскрытие компании (PDF)
- Уведомление на сайте Daiwa Securities (индивидуальная связь через раздел сообщений, на японском языке) — daiwa.jp
- Daiwa Securities, предупреждение о фишинге (на японском языке) — daiwa.jp
- Daiwa Securities, настройки безопасности (passkey, уведомления об операциях, история операций; на японском языке) — daiwa.jp
- [Материнская компания подрядчика], извинения и уведомление об утечке персональных данных из-за несанкционированного доступа в консолидированной дочерней компании (на японском языке; 6 октября 2026 года) — уведомление материнской компании подрядчика (PDF)
- [Подрядчик], извинения и уведомление об утечке персональных данных из-за несанкционированного доступа к системе FAQ [сервис подрядчика] (на японском языке; 6 октября 2026 года) — уведомление подрядчика
- Citizen Watch Co., Ltd., уведомление о возможной утечке данных клиентов из-за несанкционированного доступа к подрядчику (на японском языке; 6 октября 2026 года) — citizen.co.jp
- Sompo Japan Insurance Inc., уведомление о возможной утечке данных клиентов из-за несанкционированного доступа к системе внешнего подрядчика, используемой для сервиса для бизнеса (на японском языке; 7 октября 2026 года) — sompo-japan.co.jp (PDF)
- ORIX Life Insurance Corporation, уведомление о возможной утечке персональных данных у подрядчика (на японском языке; 8 октября 2026 года) — orixlife.co.jp (PDF)
- Tobu Railway Co., Ltd., уведомление о несанкционированном доступе к подрядчику (на японском языке; 7 октября 2026 года) — tobu.co.jp (PDF)
- au Jibun Bank Corporation, уведомление о том, как инцидент несанкционированного доступа к системе FAQ [сервис подрядчика] затрагивает банк (9 октября 2026 года, на японском языке) — jibunbank.co.jp (PDF)
- Iwate Bank, Ltd., уведомление с передачей клиентам объявления Daiwa Securities в рамках делового альянса с Daiwa (на японском языке) — iwatebank.co.jp
- The Shikoku Bank, Ltd., уведомление с передачей клиентам объявления Daiwa Securities (5 октября 2026 года, на японском языке) — shikokubank.co.jp
- Агентство по финансовым услугам Японии, предупреждение о несанкционированном доступе и мошеннических сделках в онлайн-торговле (на японском языке) — fsa.go.jp
- Nikkei (5 октября 2026 года, на японском языке) — nikkei.com
- Kyodo News (5 октября 2026 года, через Yahoo! News Japan, на японском языке) — news.yahoo.co.jp
История обновлений
2026-10-06: первая версия на основе уведомления Daiwa Securities от 5 октября. Компания заявляет, что проверит результаты расследования основной причины у подрядчика; статья будет обновляться по мере публикации новых фактов.
2026-10-07: добавлены уведомления подрядчика (6 октября) и Citizen Watch (6 октября): новый раздел об уведомлении подрядчика и других затронутых компаниях, вопросы и ответы о других компаниях и о номерах карт, указанных в обращениях, а также обновлённое описание причины по уведомлению подрядчика.
2026-10-10: добавлены уведомления Sompo Japan (7 октября) и ORIX Life Insurance (8 октября), а также Tobu Railway (7 октября) и au Jibun Bank (9 октября), которые пользуются услугами того же подрядчика, но не выявили влияния на свои данные. В раздел об уведомлении подрядчика добавлена таблица компаний, обновлён раздел вопросов и ответов о других компаниях.
2026-10-11: в источники добавлено собственное уведомление подрядчика от 6 октября (включая запланированные меры). Добавлена выделенная форма обращений Citizen Watch. Отмечено, что уведомления Iwate Bank и Shikoku Bank передают объявление Daiwa как партнёры и не добавляют затронутых клиентских компаний.
2026-10-22: в разделе «Читайте также» указано, что показатель Commune 166 505 подсчитан по сообществам.
Читайте также
- Подготовка к последующим мошенничествам: Что такое фишинг? / Что такое passkey
- Защита входа в аккаунт: Как правильно выбирать MFA / Как проверить, не утёк ли ваш пароль
- Другие японские инциденты в этом месяце: Утечка данных из приложения Yakiniku King / Утечка данных Times Car
- Данные клиентов под угрозой на ПК подрядчика: Вредоносное ПО на ПК подрядчика Daiichikosho (около 8,72 млн записей)
- Данные участников многих компаний утекли через один сервис: Несанкционированный доступ к Commune (166 505 участников сообщества, подсчитано по сообществам)
- Другая брокерская компания в этом месяце: Утечка данных у поставщика Iwai Cosmo Securities (4 975 клиентов, непреднамеренные заказы в 7 аккаунтах)
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года