Для кого это: для тех, кто проверяет по цифрам, растёт ли число утечек данных в Японии, для тех, кто хочет ссылаться на эти данные в отчётах или обучении, и для организаций, решающих, что исправить в первую очередь. Страница основана на ежегодных отчётах и квартальных публикациях Комиссии по защите персональных данных Японии (PPC, далее «Комиссия») и на открытых данных других регуляторов.
Отчёты об утечках по финансовым годам
Это количество отчётов об утечках персональных данных по ежегодным отчётам Комиссии. Компании (операторы, обрабатывающие персональные данные) и государственные органы (государственные органы власти и местные органы власти) учитываются отдельно. Финансовый год Японии длится с апреля по следующий март.
Оранжевый = до обязательной отчётности (до FY2021) / зелёный = после / синий = только апрель–июнь 2026
| Финансовый год | Отчёты от компаний | Отчёты от государственных органов | Способ учёта |
|---|---|---|---|
| FY2020 | 4 141 | — | До обязательной отчётности. Учтены полученные отчёты, в том числе 1 992 через аккредитованные организации |
| FY2021 | 5 846 | — | До обязательной отчётности. Учтены полученные отчёты, в том числе 2 418 через аккредитованные организации |
| FY2022 | 7 685 | 114 | Первый год обязательной отчётности. Учтены поданные отчёты |
| FY2023 | 12 120 | 1 159 (государственные 162, местные 997) | Учтены обработанные отчёты |
| FY2024 | 19 056 | 1 951 (государственные 221, местные 1 730) | Учтены обработанные отчёты. Включает 2 745 отчётов об одном инциденте у одного подрядчика |
| FY2025 | 17 139 | 2 278 (государственные 248, местные 2 030) | Учтены обработанные отчёты |
| FY2026 Q1 | 5 451 | 650 (государственные 66, местные 584) | Учтены обработанные отчёты (с апреля по июнь, предварительные) |
Местные органы власти подпали под правила отчётности Закона в апреле 2023 года, поэтому число отчётов госорганов резко вырастает начиная с 2023 финансового года.
Общее число 6 101 за 1 квартал 2026 финансового года складывается из 5 451 отчёта от компаний и отчётов госорганов. Если учитывать только компании, это примерно на 9% больше, чем за тот же квартал годом ранее (5 007). Комиссия отмечает, что квартальные данные приведены на момент публикации и могут быть пересмотрены в годовом отчёте.
Что нужно сообщать и почему число выросло с 2022 года
Изменённый Закон о защите персональных данных вступил в силу 1 апреля 2022 года. С тех пор утечку (или возможную утечку), которая подпадает под любой из следующих признаков, необходимо сообщить в Комиссию и уведомить затронутых людей.
| Сообщать обязательно, если утечка | Примеры | Отчёты от компаний в 1 квартале 2026 финансового года |
|---|---|---|
| Затрагивает чувствительные персональные данные | История болезни, медицинские записи, рецепты | 3 196 (58,6%) |
| Может повлечь финансовый ущерб при неправомерном использовании | Номера банковских карт, логины и пароли для сервисов, которые могут переводить или оплачивать деньги | 1 093 (20,1%) |
| Могла быть вызвана злым умыслом | Несанкционированный доступ, вынос данных сотрудником | 1 450 (26,6%) |
| Затрагивает более 1 000 человек | Большой список клиентов | 246 (4,5%) |
Один случай может подпадать под несколько условий, поэтому доли в сумме дают больше 100%. Предварительный отчёт нужно подать примерно в течение 3–5 дней после обнаружения, а окончательный — в течение 30 дней (60 дней, если подозревается злой умысел).
Утечку чувствительных персональных данных нужно сообщать даже при одном человеке. Поэтому значительную часть отчётов составляют случаи, когда больницы и аптеки передали чужие документы (например, подробные счета за лечение) не тому человеку. Сама Комиссия связывает рост в 2022 финансовом году с обязательной отчётностью и растущей осведомлённостью о ней. Сравнивать числа до и после 2022 года и делать вывод, что «утечки удвоились», — неверное толкование.
Причины: преобладают ошибки с получателем, а несанкционированный доступ сильно меняется от года к году
В приложенных таблицах ежегодных отчётов указаны причины для отчётов, поданных напрямую в Комиссию (без учёта поданных через другие министерства). Этот сайт объединил строки по месту утечки (компания-отчитывающаяся, подрядчик или неизвестно), чтобы рассчитать доли ниже.
| Причина | FY2023 (7 075) | FY2024 (14 198) | FY2025 (13 345) |
|---|---|---|---|
| Передано не тому человеку | 62,7% | 40,0% | 48,3% |
| Отправлено не тому получателю | 18,0% | 20,8% | 26,0% |
| Утрата | 5,1% | 4,0% | 5,7% |
| Несанкционированный доступ | 6,3% | 27,3% | 9,4% |
| Ненадлежащая утилизация, кража, злоупотребления со стороны сотрудников | 1,6% | 1,3% | 1,8% |
| Прочее | 6,4% | 6,6% | 8,8% |
Доля несанкционированного доступа выросла до 27,3% в 2024 финансовом году, вероятно, потому что компания, которая вела систему социального страхования и кадрового учёта, пострадала от программы-вымогателя, и многие её клиентские компании подали отчёты. По словам Комиссии, 2 745 отчётов об этом одном инциденте включены в данные 2024 финансового года.
Без них число за 2024 финансовый год составило бы около 16 300, и показатель 2025 года (17 139) выше этого. Снижение в 2025 финансовом году в основном отражает отсутствие подобного крупного единичного инцидента; оно не показывает, что повседневные утечки сократились.
Позиция этого сайта: подсчёт отчётов и подсчёт людей дают разные приоритеты
По числу отчётов случаи, затрагивающие 1 000 человек или меньше, составляют 93,6% (2025 финансовый год), а основные причины — бумажные документы, переданные или отправленные не тому человеку. По числу людей, затронутых в инцидентах, о которых объявили компании, доминирует несанкционированный доступ (в подсчёте Tokyo Shoko Research ниже инциденты, связанные с вредоносным ПО или несанкционированным доступом, в среднем затрагивали около 560 000 человек каждый).
Поэтому организации, которые обрабатывают персональные данные за окошками обслуживания или по почте, могут сократить большую часть отчётов с помощью проверки получателя. Организации, которые хранят в системах большие базы клиентов, должны ставить на первое место защиту от несанкционированного доступа, даже если таких инцидентов меньше. Выбирайте первый шаг, исходя из того, на какую из двух групп вы похожи.
Из 1 256 отчётов о несанкционированном доступе в 2025 финансовом году 328 (около 26%) произошли у подрядчика, а в 395 источник был неизвестен. Защиты собственных систем недостаточно: подрядчики, которые хранят ваши персональные данные, входят в область ответственности.
Инциденты, о которых сообщили компании, акции которых котируются на бирже (Tokyo Shoko Research)
Кредитное исследовательское агентство Tokyo Shoko Research учитывает инциденты утечки и утраты персональных данных, о которых сообщили компании, акции которых котируются на бирже, и их дочерние компании, по календарным годам. В 2025 году их было 180 (в 158 компаниях), что уступает только рекордным 189 в 2024 году. Данные около 30,6 млн человек были утеряны или утекли, почти вдвое больше, чем годом ранее.
Заражения вредоносным ПО и несанкционированный доступ составили 116 инцидентов, более 60%. Этот подсчёт отличается от отчётов в Комиссию по охвату (учитываются только инциденты, о которых объявили компании, акции которых котируются на бирже) и по методу (календарный год, поинцидентно), поэтому два числа нельзя складывать или напрямую сравнивать.
Согласно 東京商工リサーチ TSRデータインサイト (Tokyo Shoko Research, TSR Data Insight, 7 октября 2026 года), к 5 октября 2026 года уже было 10 инцидентов с 1 миллионом записей и более, тогда как за весь 2025 год их было 6. Утечки 10 миллионов записей и более случились 3 раза за 14 лет до 2025 года и 3 раза только за период до 5 октября 2026 года; самой крупной стала утечка 12 231 954 адресов электронной почты у KDDI. Некоторые инциденты в публикации учитываются по аккаунтам или были объявлены как возможные утечки, поэтому числа не всегда означают количество людей.
Другие страны (для сравнения)
Условия отчётности и методы подсчёта различаются по странам. Приведённые ниже данные нельзя напрямую сопоставлять с японскими.
Великобритания: отчёты об утечках в ICO
- Регулятор защиты данных Великобритании (ICO) ежеквартально публикует данные об отчётах о нарушениях безопасности персональных данных, которые он получает
- По опубликованным данным (до 4 квартала 2025 года) этот сайт насчитал около 13 500 отчётов в 2025 году
- Около трёх четвертей составили не кибер-инциденты, а самым распространённым типом стали «данные отправлены по электронной почте не тому получателю» (около 2 500)
США: утечки в здравоохранении (HHS)
- Управление по гражданским правам HHS публикует каждую утечку данных о здоровье, затронувшую 500 или более человек
- Частный подсчёт (HIPAA Journal) насчитывает 710 таких утечек, о которых сообщили в 2025 году
- В списке дел, находящихся на рассмотрении по состоянию на 11 октября 2026 года, 365 из 386 утечек, о которых сообщили в 2026 году, относятся к категории «Hacking/IT Incident»
В Великобритании тоже чаще всего встречается отправка электронной почты не тому получателю, поэтому человеческая ошибка составляет значительную часть отчётов, как и в Японии. Список здравоохранения США включает только утечки от 500 человек и более, поэтому мелкие ошибочные отправки в него не попадают, и на первый план выходит несанкционированный доступ.
Что эти цифры значат для вас
Организациям: проверяйте получателя при передаче или отправке документов
Передача не тому человеку и отправка не тому получателю вместе составляют около трёх четвертей отчётов, поданных напрямую в Комиссию. У окошек подтверждайте личность двумя данными, например именем и датой рождения, прежде чем передавать документы, и пусть второй сотрудник сверяет адрес с содержимым при упаковке почты. Для электронной почты включите настройку, которая задерживает внешние письма на несколько минут для проверки, а при написании сразу многим внешним адресатам используйте систему рассылки, а не поля «Кому» или «Копия».
Организациям: шифруйте ноутбуки и накопители, которые покидают офис
Утраты составляют около 5% каждый год. Зашифрованные ноутбуки и USB-накопители гораздо труднее прочитать при потере (безопасность ноутбука в поездках).
Организациям: обновляйте устройства, доступные из интернета, и добавьте многофакторную аутентификацию
Комиссия перечисляет причины, которые она видела в случаях несанкционированного доступа: VPN-устройства и другое ПО, не обновлённое после выхода исправлений, легко угадываемые логины и пароли, и ошибки конфигурации (годовой отчёт за 2024 финансовый год). Ведите список доступных из интернета устройств с указанным ответственным за обновления (почему VPN-устройства становятся точками входа и как их защищать), и требуйте многофакторную аутентификацию для удалённого доступа и административных экранов (выбор многофакторной аутентификации).
Организациям: составьте список подрядчиков, которые хранят ваши персональные данные
Запишите, какие подрядчики хранят какие персональные данные и для скольких людей, и пропишите в договоре, как быстро они обязаны сообщать вам об инциденте. Даже если утечка произошла у подрядчика, компания, передавшая данные, также обязана сообщить о ней. Общие приоритеты описаны в базовом уровне безопасности для организаций.
Организациям: настройте порядок отчётности, который укладывается в срок 3–5 дней
Заранее решите, кому и в каком порядке должен сообщать сотрудник, заметивший утечку. Комиссия также давала рекомендации компаниям, чьи отчёты существенно задерживались.
Частным лицам: проверяйте официальный сайт, прежде чем реагировать на уведомление с извинениями
Не входите в аккаунт по ссылкам из уведомлений об утечках или из писем с «извинениями»; откройте официальный сайт самостоятельно, чтобы проверить. Если пароль мог утечь, смените его во всех сервисах, где вы его использовали (как проверить, утёк ли ваш пароль).
Как читать эти цифры
Число отчётов — это не число инцидентов
Один инцидент может породить несколько отчётов. Когда обработка персональных данных передана на аутсорсинг, обычно обязаны сообщать и компания, передавшая данные, и подрядчик, поэтому один инцидент у подрядчика может дать отчёты от многих компаний-клиентов (примером служат 2 745 отчётов в 2024 финансовом году). Отчёты также могут уходить в более чем одно министерство.
Не смешивайте финансовые и календарные годы. Комиссия считает с апреля по март, Tokyo Shoko Research — с января по декабрь. Комиссия также учитывает отчёт после того, как закончила его обработку, что может не совпадать с датой инцидента.
До 2021 финансового года отчётность не была обязательной, поэтому основа подсчёта изменилась в 2022 финансовом году. Годовые отчёты также по-разному формулируют это: «поданные отчёты» для 2022 финансового года и «обработанные отчёты» начиная с 2023 года.
Утечки данных, содержащих Мой номер (индивидуальный номер Японии), учитываются отдельно от приведённых выше цифр (в 2025 финансовом году Комиссия обработала 392 отчёта, включая случаи возможных нарушений Закона о Мой номере, из них 74 были законодательно обязательными отчётами об утечке).
Источники и использование данных
Данные на этой странице сверены с официальными документами ниже 11 октября 2026 года (данные релиза Tokyo Shoko Research от 7 октября 2026 года проверены 23 октября). Страница обновляется при каждой квартальной публикации Комиссии (следующая: 2 квартал 2026 финансового года).
- Комиссия по защите персональных данных Японии, «Обработка отчётов об утечках в 1 квартале 2026 финансового года» (2 сентября 2026 года, на японском языке) — ppc.go.jp
- Комиссия по защите персональных данных Японии, «Годовой отчёт за 2025 финансовый год» (текст и приложенные таблицы, на японском языке) — HTML / PDF
- То же, 2024 финансовый год — HTML / PDF
- То же, 2023 финансовый год — HTML / PDF
- То же, 2022, 2021 и 2020 финансовые годы — FY2022 / FY2021 / FY2020
- Комиссия по защите персональных данных Японии, «Реагирование на утечки» (когда требуется отчётность и сроки, на японском языке) — ppc.go.jp
- Tokyo Shoko Research, инциденты утечки и утраты персональных данных в компаниях, акции которых котируются на бирже, в 2025 году (30 января 2026 года, на японском языке) — tsr-net.co.jp
- 東京商工リサーチ TSRデータインサイト (Tokyo Shoko Research, TSR Data Insight): утечки персональных данных в компаниях, акции которых котируются на бирже, идут рекордными темпами, уже 10 инцидентов с 1 миллионом записей и более в 2026 году (7 октября 2026 года, на японском языке) — tsr-net.co.jp
- ICO, «Тенденции инцидентов безопасности данных» (данные: с 1 квартала 2019 по 4 квартал 2025) — ico.org.uk
- Управление по гражданским правам HHS США, «Breach Portal» — ocrportal.hhs.gov
- HIPAA Journal, «Отчёт об утечках данных в здравоохранении за 2025 год» — hipaajournal.com
Использование данных и атрибуция
Источник: сайт Комиссии по защите персональных данных Японии (https://www.ppc.go.jp/aboutus/report/ и https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf), доступ 11 октября 2026 года. Ежегодная таблица, диаграмма и доли причин на этой странице созданы этим сайтом на основе обработки ежегодных отчётов Комиссии и её публикации за 1 квартал 2026 финансового года об отчётах об утечках; они не подготовлены самой Комиссией. Материалы Комиссии используются по Открытой лицензии на государственные данные (Public Data License, версия 1.0, PDL1.0).
Данные Великобритании подсчитаны этим сайтом по опубликованным данным ICO. Содержит информацию государственного сектора, лицензированную по Open Government Licence v3.0.
История обновлений
2026-10-23: добавлены данные за 2026 год о утечках в 1 миллион и 10 миллионов записей и более (по состоянию на 5 октября) из 東京商工リサーチ TSRデータインサイト (7 октября 2026 года).
2026-10-11: первая публикация. Ежегодные показатели и другие данные сверены с документами PPC и Tokyo Shoko Research.
Читайте далее
- Крупные инциденты 2026 года: хронология утечек данных и кибератак в 2026 году
- Как злоумышленники получали доступ: точки входа в утечках в Японии в 2026 году (анализ нескольких случаев)
- Для организаций: базовый уровень безопасности для организаций / защита VPN-устройств / выбор многофакторной аутентификации
- Для частных лиц: проверка, утёк ли ваш пароль / если утекли данные вашего водительского удостоверения
- Термины: что такое программа-вымогатель / что такое фишинг