Для кого: для людей, подавших декларацию о налоге на дарение через e-Tax, для тех, кто делал подарки, для налоговых консультантов, которые готовили такие декларации, для всех, кто пользуется e-Tax MyPage, и для разработчиков веб-сервисов, где пользователи входят в систему, чтобы увидеть свои данные. Статья основана на сообщениях об объявлении Национального налогового управления Японии (NTA) и на официальных разъяснениях NTA и e-Tax. Здесь не описано, как воспроизвести ошибку.
Вы затронуты? Краткая таблица
| Подробности (по сообщениям об объявлении NTA) | |
|---|---|
| Функция | «Информация о налоге на дарение» в e-Tax MyPage |
| Когда другие пользователи могли видеть декларации | 24 сентября 2026, с 8:30 до полуночи; 25 сентября, с 4:00 до 15:58 |
| Видимые декларации | Декларации о налоге на дарение и связанные документы 79 подателей |
| Люди, чьи данные могли быть просмотрены | 203 всего (податели, доноры, указанные в декларациях, налоговые консультанты) |
| Пользователи, которые могли действительно просматривать данные | 19 |
| Информация, которая могла быть просмотрена | Имя, адрес, дата рождения, номер телефона, стоимость подарка и сумма налога на дарение, имя донора и дата его рождения, имя налогового консультанта и другие данные |
| Связь с пострадавшими | Сотрудники региональных управлений и налоговых инспекций связались с каждым лично, чтобы объяснить ситуацию и извиниться |
| Причина | Ошибка, появившаяся в результате обновления 24 сентября (не атака); исправлена |
Пострадавшими являются 79 подателей, декларации которых были видны, а также доноры и налоговые консультанты, указанные в этих декларациях. Затронуты не все пользователи e-Tax.
В проверенных нами сообщениях не сказано, был ли номер My Number (индивидуальный номер в Японии) среди видимых данных. Эта статья не утверждает ни того, ни другого.
Что делать сегодня пользователям e-Tax
Если звонят и представляются налоговой инспекцией, положите трубку и перезвоните
По сообщениям, сотрудники региональных управлений и налоговых инспекций связались с пострадавшими лично. Однако инцидент, попавший в новости, также дает мошенникам готовый повод для звонка.
NTA советует: если звонок от человека, представляющегося налоговым служащим, кажется подозрительным, не отвечайте сразу. Спросите его отдел, имя и номер телефона, положите трубку и свяжитесь с общим отделом ближайшей налоговой инспекции или координатором по работе с налогоплательщиками в региональном налоговом управлении. Используйте номер, который вы найдёте в справочнике налоговых инспекций на сайте NTA, а не тот, который назвал звонящий.
Не открывайте ссылки в сообщениях или письмах, которые выдают себя за NTA
NTA заявляет, что никогда не отправляет текстовые сообщения со ссылками, а также никогда не присылает сообщения, письма или сообщения в LINE с требованием уплатить налог или о конфискации имущества.
Если вам приходит сообщение с предложением «извинений за просмотр вашей налоговой декларации» или с просьбой «подтвердить личные данные», удалите его, не открывая ссылку (как распознать такие сообщения: Что такое фишинг?).
Знайте, как выглядят настоящие письма от e-Tax
По словам NTA, e-Tax отправляет письма только в установленных форматах с уведомлением о поступлении сообщения в ваш почтовый ящик. В них никогда не бывает вложений и, как правило, нет ссылок.
Читайте уведомление, войдя в e-Tax, который вы открыли сами через закладку или поиск, и проверив почтовый ящик там.
Никогда не работайте с банкоматом, не переводите деньги и не сообщайте реквизиты по просьбе звонящего
NTA заявляет, что никогда не просит вас работать с банкоматом, чтобы получить возврат или уплатить налог, и никогда не просит перевести налоговые платежи на указанный банковский счёт.
Даже если звонящий говорит «вам полагается компенсация» или «нужно пройти процедуру возврата», не идите к банкомату и не сообщайте номера счетов или PIN-коды.
Пользователь A входит в систему и открывает «мою информацию о налоге на дарение» в MyPage
↓
1. Аутентификация: кто это?
Вошедший пользователь A → проходит
2. Авторизация: этот документ принадлежит A?
Если эта проверка не срабатывает, показываются чужие документы
↓
Правильное поведение
Показываются только документы A
Что произошло
Декларации других подателей стали видны (79 подателей)
Исправление: войти как A, запросить документ B и убедиться, что запрос отклоняется, — при каждом изменении
Что произошло (по сообщениям об объявлении NTA)
NTA объявило об инциденте 2 октября 2026 года. По состоянию на 6 октября мы не нашли уведомления о нём в списках объявлений на сайтах NTA или e-Tax. Описание ниже основано на нескольких новостных сообщениях об объявлении и на официальных уведомлениях e-Tax.
27 мая 2026
e-Tax объявляет, что функция «информация о налоге на дарение» в MyPage будет расширена (официальное уведомление).24 сентября (чт)
Обновление добавляет в информацию о налоге на дарение в MyPage уведомления об уточнённых декларациях и решениях о налогообложении, статус выбора порядка налогообложения при наследовании и записи о декларациях, поданных на бумаге. В тот же день NTA заменило национальную налоговую систему.24 сентября, с 8:30 до полуночи
По сообщениям, другие пользователи могли видеть декларации (первый период).25 сентября, с 4:00 до 15:58
То же состояние повторилось (второй период).2 октября
NTA объявляет, что декларации 79 подателей могли просматривать другие пользователи, сообщает, что ошибка исправлена, и приносит извинения.
- Функция
- «Информация о налоге на дарение» в e-Tax MyPage
- Причина
- Ошибка, появившаяся в результате системного обновления 24 сентября, которым расширили эту функцию. Не атака извне
- Информация, которая могла быть просмотрена
- Имя, адрес, дата рождения и номер телефона подателя; стоимость подарка и сумма налога на дарение; имя и дата рождения донора; имя налогового консультанта и другие данные (в сообщениях перечень немного различается)
- Ответ пострадавшим
- Сотрудники региональных управлений и налоговых инспекций связались с подателями, донорами и налоговыми консультантами лично, чтобы объяснить ситуацию и извиниться
- Ответ пользователям, которые просматривали данные
- Всех 19 попросили сохранить информацию в тайне и удалить её. Признаков сохранения данных или вторичного вреда не обнаружено
- Следующие шаги
- NTA заявляет, что тщательно внедрит меры по предотвращению повторения
- Связь с KSK2
- По сообщениям Nikkei xTECH, не связано с новой основной системой (KSK2)
Контекст: KSK2, новая основная налоговая система NTA
NTA официально заявляет, что заменило национальную налоговую систему 24 сентября 2026 года. По сообщениям Nikkei xTECH, из-за проблем с новой системой (KSK2) NTA велело сотрудникам готовить справки об уплате налогов в старой системе и проверять их содержание перед выдачей, что вызывает задержки.
e-Tax также публиковал уведомления о таких проблемах, как невозможность оплатить сбор за справку через интернет-банкинг; позднее эти проблемы отмечены как решённые. NTA заявляет, что инцидент с декларациями о налоге на дарение не связан с KSK2.
Уроки для разработчиков: проверяйте авторизацию даже при «удобных» обновлениях
Это не было вторжением извне. Речь идёт о случае, когда данные другого пользователя появились на экране корректно вошедшего пользователя. С точки зрения безопасности это сбой контроля доступа (правил, определяющих, кто может получать доступ к каким данным).
Близкий по сути паттерн — IDOR (небезопасная прямая ссылка на объект): достаточно изменить число или идентификатор в запросе, чтобы получить доступ к чужим данным. Разница между проверкой того, кто вы (аутентификация), и проверкой того, можете ли вы получить доступ к этим данным (авторизация), описана в статье Аутентификация и авторизация.
Ошибка WebFiling в UK Companies House в марте 2026 года была похожим случаем: ошибка, появившаяся в результате обновления системы, позволила вошедшим пользователям видеть непубличные сведения о других компаниях. Этот инцидент добавляет два момента.
Позиция этого сайта: именно при обновлениях, добавляющих функции, пропускают проверки авторизации
Это обновление увеличило число видов информации, которые показывает MyPage. Каждый новый фрагмент данных требует собственной проверки того, что он принадлежит вошедшему человеку. Обновления, делающие страницу удобнее, редко рассматривают как изменения в безопасности, поэтому такую проверку легко упустить.
- Включайте тесты авторизации в тот же набор, что и функциональные тесты, и запускайте их автоматически при каждом изменении. Создайте тестовых пользователей A и B. Войдя как A, запросите списки, карточки, загрузки и каждый экран и каждый запрос данных, добавленные обновлением, и убедитесь, что каждый из них отклоняется или возвращает только данные A. Функциональные тесты проверяют, что то, что должно работать, работает; эти тесты проверяют, что то, что не должно работать, не работает.
- Записывайте и «владельца документа», и «кто его отобразил», и настройте оповещения о несовпадениях. Здесь NTA опубликовало число видимых деклараций (79 подателей) отдельно от числа людей, которые могли их просматривать (19). Вообще для таких данных нужен журнал того, кто отображал чьи документы. Если оповещение срабатывает всякий раз, когда просматривающий и владелец различаются, оно может помочь заметить проблему сразу после выпуска. Заранее исключите законные доверенные отношения, например просмотр клиентских документов налоговым консультантом.
О других случаях утечки личных данных из государственных органов и о том, что могут сделать граждане, рассказано в статье Четыре утечки данных госорганов в 2026 году.
Источники (открытые данные)
Факты в этой статье основаны на следующей открытой информации. По состоянию на 6 октября 2026 года мы не нашли самого объявления NTA на сайтах NTA или e-Tax, поэтому ссылаемся на новостные сообщения о нём. Подробный механизм ошибки не опубликован, и мы не строим на этот счёт предположений.
- Nikkei xTECH, «Декларации 79 человек могли быть просмотрены другими в e-Tax NTA; ошибка, не связанная с KSK2» (по-японски, 5 октября 2026) — xtech.nikkei.com
- Nikkei, «79 деклараций о налоге на дарение могли быть показаны; ошибка обновления e-Tax» (по-японски, 2 октября 2026) — nikkei.com
- TV Asahi (ANN), «Чужая информация о налоге на дарение временно была доступна в e-Tax» (по-японски, 2 октября 2026) — news.yahoo.co.jp
- Zei no Shirube, «NTA раскрыло, что информация о декларациях о налоге на дарение была доступна другим в MyPage e-Tax» (по-японски, 2 октября 2026) — shirube.zaikyo.or.jp
- e-Tax, уведомление о расширенной функции «информация о налоге на дарение» в MyPage (по-японски, 27 мая 2026, обновлено 24 сентября) — e-tax.nta.go.jp
- Национальное налоговое управление, «О замене национальной налоговой системы» (по-японски) — nta.go.jp
- e-Tax, «[Решено] Сборы за справки нельзя было оплатить через интернет-банкинг» (по-японски, 29 сентября 2026, обновлено 5 октября) — e-tax.nta.go.jp
- Национальное налоговое управление, «Остерегайтесь подозрительных писем и телефонных звонков» (по-японски) — nta.go.jp
История обновлений
2026-10-06: первая версия, основанная на сообщениях об объявлении NTA от 2 октября (Nikkei xTECH, Nikkei, TV Asahi, Zei no Shirube) и официальных разъяснениях NTA и e-Tax. Мы обновим статью, если NTA опубликует объявление на своём сайте или официально перечислит, какие данные были видны.
Читайте далее
- Защита от поддельных сообщений: Что такое фишинг?
- Похожий тип инцидента: Ошибка WebFiling в Companies House (Великобритания)
- Термины и понятия: Что такое IDOR? / Аутентификация и авторизация
- Инциденты в госорганах: Четыре утечки данных госорганов в 2026 году
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и мир)