Для кого: для всех, кто зарегистрирован как участник Furusato Choice, японского сайта для furusato nozei (пожертвований в пользу малой родины), и для тех, кто управляет сайтом с участниками. Эта статья основана на официальных уведомлениях Trustbank, Inc. и не описывает техники атак или мошенничества.
Ситуация развивается: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 25 октября 2026 годаПока неизвестно
- Причина
- Число людей, которым соответствует количество записей
- Когда возобновится работа сервиса
- Затрагиваются ли документы для пожертвований (упрощённая процедура, налоговые декларации)
- Выводы расследования внешних экспертов
В уведомлении от 20 октября компания сообщила, что оперативно объявит об утёкших данных и их количестве, мерах по предотвращению повторения и других выводах, как только они будут подтверждены. 23 октября она опубликовала второй отчёт. Дата возобновления работы пока не определена и будет объявлена после подтверждения безопасности.
Что нужно сделать сегодня участникам Furusato Choice
Смените пароль на других сервисах, где вы его повторно используете
В утёкших данных есть хешированные пароли. Хеширование преобразует пароль так, что он не хранится в исходном виде. Однако короткие или легко угадываемые пароли в целом можно подобрать при достаточном времени (см. Что такое хеширование паролей?).
Компания просит тех, кто использует на других сервисах ту же комбинацию адреса электронной почты и пароля, что и на Furusato Choice, сменить пароль на этих сервисах. Начните с сервисов, связанных с деньгами или персональными данными: интернет-магазины, программы баллов и электронная почта. Там, где это возможно, включите двухшаговую проверку (Какой метод 2FA самый надёжный?).
Не открывайте ссылки в письмах или текстовых сообщениях, якобы отправленных от Furusato Choice или муниципалитета
Имя, адрес, номер телефона и адрес электронной почты вместе позволяют составить убедительное поддельное сообщение, которое обращается к вам по имени. Доноры не удивятся сообщениям о доставке подарков в ответ на пожертвование или о документах по пожертвованиям, поэтому поддельные сообщения на эти темы труднее распознать.
Компания просит остерегаться подозрительных писем, текстовых сообщений, телефонных звонков и писем, выдающих себя за неё или связанные с ней стороны, и не открывать незнакомые адреса и вложения. Чтобы что-либо проверить, пользуйтесь официальным сайтом или официальной страницей муниципалитета, которые вы открываете сами (см. Что такое фишинг?).
Не сообщайте персональные данные, данные карты или пароли по телефону и почте
Компания просит не вводить персональные данные или пароли на подозрительных сайтах. В уведомлениях ничего не сказано о том, что из-за этого инцидента у пользователей будут запрашивать номера карт, банковские реквизиты или пароли.
Если звонок или письмо под предлогом извинений, возврата средств или повторной отправки подарка требует такие данные, не отвечайте: положите трубку и проверьте информацию через официальные контакты.
Сверяйте индивидуальные письма от компании с её официальными уведомлениями
Компания сообщает, что с 21 октября последовательно направляет участникам индивидуальные письма о том, утекли ли их персональные данные и какие именно пункты подтверждены.
Подлинные уведомления и подделки, имитирующие их, могут прийти одновременно. Если вы получили такое письмо, не входите в аккаунт и не предпринимайте действий по его ссылкам; сверьте его с уведомлениями в новостном разделе Trustbank. Контакт, указанный в уведомлениях, — адрес электронной почты toiawase@trustbank.co.jp.
По документам для пожертвований ждите официальных разъяснений
По состоянию на 25 октября уведомления компании ничего не говорят о влиянии на заявления по упрощённой процедуре, налоговые декларации или квитанции о пожертвованиях. Сервисы приостановлены с 19 октября, и пожертвования через Furusato Choice не принимаются (по сообщениям муниципалитетов, например города Идзумиоцу). Для разъяснений проверьте официальные страницы компании и муниципалитета, которому вы делаете пожертвования.
О пяти донорах с дополнительными данными во втором отчёте
Согласно второму отчёту компании от 23 октября, у пяти доноров утекли дополнительные данные, помимо тех, что указаны в первом уведомлении: история баллов (5), история пожертвований (2), дата рождения (2), адрес доставки (1) и другие. У двоих из них посторонняя сторона получила доступ к экрану «Моя страница» с сохранёнными данными карты (последние четыре цифры, имя владельца, срок действия). Компания говорит, что связалась с этими пятью участниками индивидуально.
По словам компании, данные карты каждый раз запрашиваются у платёжного процессора при показе этого экрана, в её системах не хранятся и сами по себе не позволяют провести платёж по карте. Если с вами связались, проверьте выписки по карте, а если увидите списание, которое не узнаёте, позвоните в банк-эмитент по номеру на обороте карты.
Что произошло (по уведомлениям Trustbank)
Trustbank, Inc. управляет Furusato Choice, сайтом для японской системы налоговых пожертвований в пользу малой родины. На своём официальном сайте в новостном разделе компания опубликовала уведомление о приостановке сервиса 19 октября, первый отчёт 20 октября и второй отчёт 23 октября. Всё ниже взято из уведомлений компании.
17 октября 2026 (сб)
Посторонняя сторона осуществила несанкционированный доступ (выявлено при проверке 19 октября).19 октября (пн)
Заметив необычную активность доступа, компания провела проверку и установила факт несанкционированного доступа и утечки персональных данных участников.19 октября, 15:50
Чтобы предотвратить дальнейший ущерб, компания отключила связанные сервисы Furusato Choice. В тот же день было опубликовано уведомление о временной приостановке из-за предполагаемого несанкционированного доступа.20 октября (вт)
Опубликован первый отчёт. Компания сообщила, что уже направила отчёт в Комиссию по защите персональных данных и планирует 21 октября подать заявление о преступлении в местную полицию.С 21 октября
Участникам по отдельности, последовательно направлены письма о том, утекли ли их данные и какие пункты подтверждены.23 октября
Опубликован второй отчёт: у пяти доноров утекли дополнительные данные.
- Охват
- Данные участников Furusato Choice
- Количество
- 4 454 097 записей. Может измениться по мере продолжения расследования (компания)
- Пункты
- Имя, адрес электронной почты, почтовый адрес, номер телефона, хешированный пароль, расчётная сумма налогового вычета
- Дополнительные данные (5 доноров)
- История баллов (5), история пожертвований (2), данные карты (последние четыре цифры, имя, срок действия) (2), дата рождения (2), адрес доставки (1). В список также входит «удаление части адреса (название префектуры): 1» (пересекается; всего 5 доноров)
- Данные карты
- Не хранятся в системах компании; запрашиваются у платёжного процессора при каждом показе экрана. Подтверждён посторонний доступ к этому экрану для 2 участников. Сами по себе не позволяют провести платёж по карте (компания)
- Причина
- Не опубликована. Ведётся подробное расследование выявленной уязвимости с привлечением внешних экспертов
- Отчёты
- Сообщено в Комиссию по защите персональных данных 20 октября. Планировалось подать заявление о преступлении в местную полицию 21 октября (по состоянию на уведомление от 20 октября)
- Сервис
- Связанные сервисы приостановлены с 15:50 19 октября. Дата возобновления не определена
- Контакт (доноры)
- Электронная почта: toiawase@trustbank.co.jp
Данные участников: 4 454 097 записей
Имя, электронная почта, адрес, телефон, хешированный пароль, расчётный налоговый вычет
Дополнительные данные для 5 доноров
История баллов и пожертвований, дата рождения, адрес доставки и другое. Экран с данными карты (последние четыре цифры и т. д.) для 2 доноров
↓ Что может произойти (в общем случае)
Попытки входа с повторно используемыми паролями
→ Смените пароли на других сервисах
Сообщения, якобы от Furusato Choice или муниципалитета
→ Проверяйте на официальных страницах, а не по ссылкам
Что известно, а что нет
Основано на уведомлениях компании по состоянию на 25 октября 2026 года (уведомление от 19 октября, первый отчёт от 20 октября и второй отчёт от 23 октября). Столбец статуса будет обновляться по мере появления новых сведений.
| Пункт | Что сказано в уведомлениях | Статус |
|---|---|---|
| Имя, электронная почта, адрес, номер телефона | Утечка подтверждена для 4 454 097 записей участников | Утечка подтверждена (компания) |
| Пароль | Утечка подтверждена в хешированном виде | Утечка подтверждена (компания) |
| Расчётная сумма налогового вычета | Утечка подтверждена. Что именно входит в этот пункт, не объяснено | Утечка подтверждена (компания) |
| История баллов, история пожертвований, дата рождения, адрес доставки | Дополнительная утечка подтверждена для 5 доноров (от 1 до 5 по каждому пункту) | Утечка подтверждена (компания) |
| «Удаление части адреса (название префектуры)» | Указано для 1 донора во втором отчёте. Не объяснено | Утечка подтверждена (компания) |
| Данные карты (последние четыре цифры, имя, срок действия) | Подтверждён посторонний доступ к экрану отображения для 2 доноров | Утечка подтверждена (компания) |
| Полный номер карты, код безопасности | В этом уведомлении не упоминаются (в отдельном уведомлении от 5 октября по другому вопросу сказано, что номера карт и коды безопасности в системах компании не хранятся) | Не указано |
| Число людей, которым соответствует количество записей | Опубликовано как количество записей; число людей не указано | Не указано |
| Дата доступа и время отключения | Доступ 17 октября; связанные сервисы отключены в 15:50 19 октября | Подтверждено (компания) |
| Причина | Расследуется с привлечением внешних экспертов | Расследуется |
| Индивидуальные уведомления | Участникам письма направляются последовательно с 21 октября | Подтверждено (компания) |
| Заявление в полицию | Планировалось на 21 октября (по состоянию на 20 октября). Более поздних уведомлений нет | Запланировано (компания) |
| Возобновление работы сервиса | Не определено | Расследуется |
| Влияние на упрощённую процедуру one-stop или налоговые декларации | В уведомлениях не упоминается | Не указано |
Отдельно от инцидента, объявленного 5 октября
5 октября 2026 года компания объявила о самостоятельном случае (254 записи): из-за ошибки в системе пожертвований через Amazon Pay данные заявки одного пользователя могли отображаться на экране другого пользователя. Это была ошибка в собственной системе компании и отдельное объявление, не связанное с описанным здесь несанкционированным доступом. Компания не описывала никакой связи между этими двумя случаями.
Муниципалитеты, принимающие пожертвования через Furusato Choice, также публиковали предупреждения. Например, город Идзумиоцу в префектуре Осака 20 октября опубликовал уведомление, в котором кратко изложено объявление компании, сказано, что оператор расследует влияние на доноров города, и что пожертвования через Furusato Choice не принимаются, пока сервис приостановлен.
Что может произойти, когда вместе утекают имя, адрес, телефон и пароль
В общем случае может произойти следующее (в этом инциденте не объявлено, что что-либо из этого уже произошло).
Что может произойти в общем случае
- Попытки входа на другие сервисы с той же комбинацией адреса электронной почты и пароля (если пароль будет подобран)
- Поддельные электронные письма, текстовые сообщения или почтовые отправления от имени Furusato Choice или муниципалитета с использованием вашего имени и адреса
- Сообщения о «подтверждении доставки подарка», «проблеме с документами по пожертвованию» или «возврате средств в качестве извинения», ведущие на другой сайт
- Телефонные звонки от людей, которые представляются сотрудниками оператора или муниципалитета
Что можно сделать
- Смените повторно используемые пароли и включите двухшаговую проверку
- Проверяйте пожертвования и доставки на официальном сайте или официальной странице муниципалитета
- Игнорируйте любые обращения, которые требуют данные карты или банковские реквизиты под предлогом извинений или возврата средств
- Положите трубку и перезвоните по номеру с официального сайта
Компания не объяснила, что входит в пункт «расчётная сумма налогового вычета». В общем случае расчёты вычетов на сайтах furusato nozei основаны на доходах и семейных данных, которые вводит пользователь. Имейте в виду, что поддельные сообщения могут использовать темы налогов и вычетов.
Ещё одна утечка, в которой были хешированные пароли, описана в статье Утечка данных участников Comic Cmoa. Чтобы проверить, утёк ли ваш пароль, см. Как проверить, утёк ли ваш пароль.
Для тех, кто управляет сайтами с участниками
Подробная причина не опубликована, поэтому этот раздел охватывает только то, что следует из опубликованных фактов. Здесь нет предположений о типе уязвимости и нет утверждения, что исправление одной проблемы предотвратило бы этот инцидент.
Если вы сами не храните данные карт, утечка ограничена
По словам компании, сохранённые данные карт запрашивались у платёжного процессора при каждом показе экрана «Моя страница» и в её системах не хранились. Отображались только последние четыре цифры, имя владельца и срок действия. На сайте с участниками, который работает с картами, схема, при которой вы сами не храните номера карт (используя хранение у платёжного процессора), ограничивает ущерб, если вторжение нельзя предотвратить.
Хешируйте пароли и своевременно сообщайте пользователям о необходимости сменить повторно используемые пароли
Утёкшие пароли были хешированы. Насколько стойким было хеширование (использовалась ли соль, медленный ли алгоритм), не опубликовано. В общем случае солёный медленный алгоритм (bcrypt, scrypt, Argon2 и аналогичные) значительно увеличивает время, нужное для восстановления исходных паролей (Как безопасно хранить пароли). В первом отчёте компания просила пользователей сменить пароли, которые они использовали на других сервисах.
Замечайте необычный доступ и заранее определяйте, кто может отключить сервис
Компания заметила необычную активность доступа, проверила её и 19 октября, через два дня после несанкционированного доступа, отключила сервис. Отслеживание ежедневного объёма и частоты обращений к записям участников с оповещением при отклонении от нормы, а также заранее определённый круг людей, которые принимают решение об отключении сервиса, сокращают время от обнаружения до остановки.
Пересматривайте данные, которые не нужны, например расчётные результаты
В утёкших данных был расчётный налоговый вычет. В общем случае решение о том, нужно ли хранить расчётные результаты и историю, сохранённые для удобства пользователей, и как долго, а также отказ от хранения ненужного, уменьшает объём возможной утечки (как компания хранила этот пункт, не опубликовано).
Источники (открытые данные)
Факты в этой статье основаны на следующей открытой информации. Нераскрытые подробности вторжения и количество затронутых людей не домысливаются.
- Trustbank, Inc., уведомление о временной приостановке сервиса из-за предполагаемого несанкционированного доступа (19 октября 2026 года, на японском языке) — trustbank.co.jp
- Trustbank, Inc., извинения и уведомление об утечке данных доноров из-за несанкционированного доступа (20 октября 2026 года, на японском языке) — trustbank.co.jp
- Trustbank, Inc., извинения и уведомление об утечке данных доноров из-за несанкционированного доступа, второй отчёт (23 октября 2026 года, на японском языке) — trustbank.co.jp
- Trustbank, Inc., извинения и уведомление об утечке персональных данных на Furusato Choice (5 октября 2026 года, отдельный случай, на японском языке) — trustbank.co.jp
- Город Идзумиоцу, уведомление об утечке персональных данных и предупреждение о несанкционированном доступе к Furusato Choice (20 октября 2026 года, на японском языке) — city.izumiotsu.lg.jp
История обновлений
2026-10-25: первая версия, основана на уведомлении Trustbank от 19 октября, первом отчёте от 20 октября и втором отчёте от 23 октября. Будет обновляться, когда появятся новые сведения о причине, возобновлении работы сервиса или влиянии на документы для пожертвований.
Читайте также
- Проверка повторно используемых паролей: Как проверить, утёк ли ваш пароль
- Другая утечка с хешированными паролями: Утечка данных участников Comic Cmoa
- Подготовка к поддельным сообщениям: Что такое фишинг?
- Другие инциденты 2026 года: Список утечек данных и кибератак