Для кого: для всех, кто зарегистрировался в IDARE, японском приложении безналичных платежей, до 27 сентября 2026 года (включая тех, кто закрыл учётные записи), и для всех, кто управляет сервисом, использующим внешнее программное обеспечение для поддержки клиентов. Эта статья основана на официальном уведомлении оператора и не описывает методы атак или мошенничества.
Ситуация развивается: статья будет обновляться по мере публикации новых сведений организацией
По состоянию на 22 октября 2026 года (второй отчёт от 21 октября)Пока не известно
- Когда и как компания обнаружила инцидент
- Результаты независимого расследования (ожидаются с конца ноября по начало декабря)
- Сколько пострадавших имеют утёкшие номера ID и другие частичные данные
- Какие типы документов, удостоверяющих личность, относятся к номерам
- Адрес отправителя индивидуальных писем и когда рассылка будет завершена
Компания объявила об инциденте 13 октября и сообщает, что свяжется с пострадавшими индивидуально по электронной почте. Во втором отчёте от 21 октября говорится, что на эту дату мошеннических операций не подтверждено, и изложены меры профилактики со сроками. Независимое расследование, проводимое внешней специализированной организацией, ожидается к концу ноября — началу декабря, и компания заявляет, что опубликует отчёт по его завершении.
Что пользователям IDARE нужно сделать сегодня
Проверьте, затронуты ли вы и какие данные утекли
Затронуты все, кто зарегистрировался в IDARE до 27 сентября 2026 года, включая тех, кто закрыл учётные записи. Какие именно данные утекли, зависит от того, как каждый пользовался сервисом, и компания сообщает, что уведомит каждого по электронной почте.
Не действуйте по ссылкам из этого письма. Откройте приложение IDARE сами или зайдите на официальный сайт через закладку или поиск. Обращения направляются через раздел «Контакты» в приложении или через форму обратной связи на сайте.
Никогда не сообщайте пароль, PIN-код или код аутентификации тому, кто выдаёт себя за IDARE
Компания предупреждает, что могут поступать подозрительные письма, текстовые сообщения и звонки, выдающие себя за компанию или IDARE. Она сообщает, что никогда не запрашивает пароли, PIN-коды, коды безопасности или коды многофакторной аутентификации по электронной почте, SMS или телефону.
Поскольку утекли остатки и история операций, поддельное сообщение может назвать ваш реальный остаток или недавние покупки. Верные данные не доказывают, что сообщение подлинное. Не открывайте ссылки и вложения в неожиданных сообщениях и не вводите личные данные (как распознать подделку: Что такое фишинг?).
По словам компании, для входа требуется многофакторная аутентификация тем способом, который вы зарегистрировали (второй проверочный шаг помимо пароля). Передача этого кода другому человеку отключает эту защиту.
Проверяйте сообщения от карточной компании или банка через контакт, который вы нашли сами
У части людей также утекли первые 6 и последние 4 цифры кредитной карты, привязанной для пополнения, и последние 3 цифры привязанного банковского счёта. Первые 6 цифр номера карты обычно показывают, какая компания выпустила карту и к какому бренду она относится.
Поэтому возможны правдоподобные сообщения, например «На вашей карте, оканчивающейся на ××××, зафиксировано подозрительное использование». Не используйте номер телефона или ссылку из сообщения. Свяжитесь с компанией по номеру на обороте карты, в банковской книжке или через официальное приложение вашего банка или карточной компании. Компания сообщает, что не хранит полные номера, сроки действия, коды безопасности или PIN-коды, поэтому они не могли быть получены.
Проверьте историю операций в приложении и заблокируйте карту, если что-то вызывает сомнения
Компания сообщила, что по состоянию на 13 октября мошеннических операций не подтверждено и остатки защищены; во втором отчёте от 21 октября сказано то же самое на эту дату. Она заявляет, что любой ущерб, например несанкционированное использование остатка, будет компенсирован в рамках политики компенсации, а пополнение и платежи работают как обычно. Тем не менее стоит один раз просмотреть историю операций в приложении на предмет платежей, которых вы не узнаёте.
На странице справочного центра IDARE о политике компенсации сказано, что при обнаружении мошеннического использования сначала нужно заблокировать карту в приложении, затем выбрать «операция, которую я не узнаю» в разделе «Контакты» в приложении и указать дату и время, сумму и получателя. Компенсация распространяется только на убытки, заявленные компании и в полицейский участок в течение 30 дней с даты их возникновения.
На той же странице сказано, что операции, совершённые пользователем, в том числе под принуждением третьих лиц, не покрываются. Не переводите деньги и не совершайте платежи самостоятельно только потому, что вам так велит звонящий или сообщение.
Если утёк номер документа, удостоверяющего личность, рассмотрите оповещение в бюро кредитных историй
У части людей утекли имя, адрес, пол и цель использования, указанные для верификации личности, а также номер документа, удостоверяющего личность. В уведомлении не сказано, из каких документов (например, водительских прав) взяты номера. Изображения документов и лиц, а также Мой номер (японский индивидуальный номер) не утекли, сообщает компания.
Даже без изображений номер документа вместе с именем, адресом и датой рождения может быть использован при подаче заявок от чужого имени. В качестве меры предосторожности рассмотрите возможность подать заявление о самостоятельном оповещении в японских бюро кредитных историй (CIC, JICC и информационный центр Японской ассоциации банкиров). Стоимость, срок действия оповещения и способы проверки собственной кредитной истории описаны в статье Если ваши данные водительского удостоверения Японии были украдены: что делать.
Кроме того, с апреля 2027 года онлайн-проверки личности при открытии банковских счетов и аналогичных услуг, как правило, перестанут принимать фотографии документов и перейдут на считывание чипа IC, для которого нужны физическая карта и её PIN-код (Онлайн-проверка личности в Японии переходит на считывание IC-чипа).
Если вы указывали доход или данные работодателя для LADDER, не отвечайте на предложения о займах
Среди тех, кто зарегистрировался до октября 2021 года, у людей, которые указывали годовой доход, работодателя и подобные данные для использования LADDER, сервиса кредитования, закрытого в октябре 2021 года, утекли и эти данные.
Не отвечайте на предложения займов или финансовой помощи, основанные на знании вашего дохода или работодателя. Отдельно от этого инцидента Fivot 7 апреля 2026 года предупредила в объявлении о поддельных предложениях займов от людей, использующих имена её сотрудников или сервисов. В нём компания заявляет, что никогда не отправляет клиентам устройства с просьбой ввести и вернуть личные или банковские данные, и указывает fivot.co.jp, idare.jp и flex-capital.jp как свои официальные сайты.
Если вы заплатили деньги или передали данные, сразу обратитесь за помощью
Если вы отправили деньги, сообщили код аутентификации или PIN-код либо ввели данные карты в ответ на подозрительное сообщение, заблокируйте карту в приложении IDARE и также обратитесь в карточную компанию или банк.
В Японии также можно позвонить на линию консультации полиции (#9110) или в горячую линию по защите потребителей (188). Если вы ввели пароль на поддельной странице, немедленно измените его, а также пароли во всех других сервисах, где использовали тот же пароль (Как выбрать менеджер паролей).
Что произошло (по уведомлению Fivot)
IDARE — приложение, которым управляет Fivot Inc. и которое компания продвигает как «приложение безналичных платежей, помогающее копить»; компания описывает его как своё бизнес-направление предоплаченных карт для частных лиц. 13 октября 2026 года компания опубликовала на сайте IDARE уведомление об утечке персональных данных, вызванной несанкционированным доступом к IDARE. Всё, что изложено ниже, взято из уведомления компании.
10 августа – 27 сентября 2026
На компанию был совершён несанкционированный доступ с использованием уязвимости во внешнем программном обеспечении, которое она внедрила для поддержки клиентов и других задач; данные в её базе были получены третьим лицом несколько раз.После обнаружения (дата не указана)
Компания заблокировала путь доступа, прекратила использование ПО и завершила замену связанных учётных данных. Она сообщает, что с тех пор новых случаев несанкционированного доступа не выявлено.13 октября
Объявлено на официальном сайте. Компания сообщает, что подаёт отчёты, требуемые законом, и проводит расследование с участием третьих сторон, в том числе юристов, и что свяжется с пострадавшими индивидуально по электронной почте.21 октября
Опубликован второй отчёт. На эту дату мошеннических операций не подтверждено. Компания перечислила меры профилактики, уже введённые, и другие, со сроками (до 30 октября и 30 ноября). Независимое расследование, проводимое внешней специализированной организацией, ожидается к концу ноября — началу декабря; отчёт будет опубликован по завершении.
- У всех
- Данные регистрации, такие как номер телефона, адрес электронной почты, дата рождения, идентификатор пользователя и отображаемое имя; настройки и статус учётной записи; информация об остатке и история операций; имя и срок действия на карте IDARE
- У части: проверка личности
- Данные, предоставленные для верификации личности, такие как имя, адрес, пол, цель использования и номер документа, удостоверяющего личность
- У части: карты и счета
- Последние 4 цифры номера карты IDARE; первые 6 и последние 4 цифры кредитной карты, привязанной для пополнения; последние 3 цифры банковского счёта, привязанного для пополнения
- У части: прочее
- Код активации физической карты (компания сообщает, что его нельзя использовать из чужого аккаунта); такие атрибуты, как годовой доход и работодатель, для тех, кто зарегистрировался до октября 2021 года и указывал их для сервиса кредитования LADDER
- Не утекло
- Изображения документов и лиц, Мой номер, пароли для входа, полные номера карт IDARE, коды безопасности и PIN-коды; полные номера, коды безопасности, сроки действия и PIN-коды привязанных кредитных карт; полные номера банковских счетов и PIN-коды
- Меры реагирования
- Путь доступа заблокирован, внешнее ПО прекращено к использованию, учётные данные заменены; отчёты, требуемые законом; расследование с участием третьих сторон, в том числе юристов. Во втором отчёте (21 октября) сказано, что независимое расследование, проводимое внешней специализированной организацией, продолжается, ожидается к концу ноября — началу декабря; отчёт будет опубликован по завершении
- Профилактика (выполнено, по второму отчёту)
- Для доступных из интернета сред, таких как ПО, используемое для административной работы, теперь требуются ограничения источников и дополнительная аутентификация на основе сертификатов. Доступ к данным клиентов ограничен минимумом, необходимым для каждой задачи, права регулярно проверяются
- Профилактика (со сроками, по второму отчёту)
- Автоматический мониторинг опубликованных сведений об уязвимостях для всего внешнего ПО с исправлением в установленный срок (до 30 октября). Мониторинг, выявляющий массовый или необычный доступ к данным клиентов, с немедленным оповещением (до 30 октября). Сроки хранения для каждого элемента, который не обязан храниться по закону, например адресов электронной почты и номеров телефонов, с регулярным удалением после закрытия учётной записи (до 30 ноября)
- Контакты
- Раздел «Контакты» в приложении IDARE или форма обратной связи на сайте
Что известно, а что нет
Основано на уведомлении компании от 13 октября и её втором отчёте от 21 октября (проверено 22 октября 2026 года). Колонка статуса будет обновляться по мере появления новых сведений.
| Пункт | Что сообщает уведомление | Статус |
|---|---|---|
| Период несанкционированного доступа | 10 августа – 27 сентября 2026 года, несколько раз | Подтверждено |
| Причина | Использование уязвимости во внешнем ПО, применявшемся для поддержки клиентов и других задач | Подтверждено (название ПО и подробности не указаны) |
| Количество людей | 129 659, зарегистрированных к 27 сентября, включая закрытые учётные записи | Подтверждено |
| Данные регистрации, остаток, история операций, имя и срок действия карты | Утекли у всех | Утечка подтверждена (компания) |
| Номер документа, удостоверяющего личность, имя, адрес и т. д. | Утекли у части | Утечка подтверждена (компания) |
| Частичные номера карт и счетов | Утекли у части (IDARE: последние 4; кредитная карта для пополнения: первые 6 и последние 4; счёт: последние 3) | Утечка подтверждена (компания) |
| Доход LADDER, работодатель и т. д. | Утекли у тех, кто зарегистрировался до октября 2021 года и указывал их для LADDER | Утечка подтверждена (компания) |
| Сколько человек в группе «у части» | Не указано | Не указано |
| Типы документов, удостоверяющих личность | Не указано | Не указано |
| Название банка счёта для пополнения | Нет в списке утёкших данных | Не указано |
| Пароль для входа | Не могли быть получены | Не входит (компания) |
| Изображения документов и лиц, Мой номер | Не утекли | Не входит (компания) |
| Полные номера карт и счетов, коды безопасности, PIN-коды | Не хранятся компанией или не читаемы | Не входит (компания) |
| Когда и как обнаружен инцидент | Не указано | Не указано |
| Независимое расследование | Проводится внешней специализированной организацией; результаты ожидаются с конца ноября по начало декабря, отчёт будет опубликован (второй отчёт) | На расследовании |
| Меры профилактики | Ограничения источников, аутентификация на основе сертификатов и минимальные права доступа введены; автоматический мониторинг уязвимостей и оповещения о необычном доступе до 30 октября; регулярное удаление данных после закрытия учётной записи до 30 ноября (второй отчёт) | В процессе (компания) |
| Мошеннические операции | Не подтверждено по состоянию на 21 октября (второй отчёт) | Подтверждено (на эту дату) |
| Индивидуальные уведомления | Отправляются индивидуально по электронной почте (адрес отправителя не указан) | В процессе |
Для чего могут и не могут использоваться утёкшие данные
Для каждого утёкшего элемента таблица показывает, что он не позволяет использовать сам по себе, что обычно становится возможным и что делать. Это то, что в целом может происходить при такой комбинации утёкших данных; это не означает, что это произошло в данном инциденте.
| Утёкший элемент | Сам по себе не позволяет | Что обычно может происходить | Что делать |
|---|---|---|---|
| Номер телефона, электронная почта, отображаемое имя | Войти (нужны пароль и многофакторная аутентификация) | Письма, SMS и звонки, выдающие себя за IDARE | Не открывайте ссылки; откройте приложение сами |
| Остаток, история операций | Снять деньги или заплатить | Сообщения, завоёвывающие доверие, называя реальные суммы или покупки | Не действуйте по ним, даже если данные верны |
| Имя на карте IDARE, срок действия, последние 4 | Платить картой (нужны полный номер и код безопасности) | Сообщения «по вашей карте совершена мошенническая операция» | Проверьте карту в приложении |
| Первые 6 и последние 4 цифры кредитной карты для пополнения | Платить картой | Правдоподобные сообщения от имени эмитента | Позвоните по номеру на обороте карты сами |
| Последние 3 цифры счёта для пополнения | Снять деньги со счёта | Материал для сообщений от имени вашего банка | Никогда не сообщайте PIN-код или данные для входа |
| Номер документа + имя, адрес, дата рождения | Пройти проверки, использующие изображения документов (изображения не утекли) | Заявки, поданные от вашего имени | Подключите оповещение в бюро кредитных историй |
| Доход и работодатель LADDER | — | Предложения, выдающие себя за займы или финансовую помощь | Не отвечайте; проверьте официальные сайты |
Для чего могут использоваться утёкшие данные
- Письма, SMS и звонки, сделанные так, чтобы выглядеть подлинными, со ссылкой на ваш остаток или недавние покупки
- Сообщения с просьбой назвать код аутентификации или PIN-код «чтобы остановить мошенничество» или «чтобы оформить возврат»
- Звонки, убеждающие вас самостоятельно перевести деньги или совершить платёж
- Заявки, поданные от вашего имени, с использованием имени, адреса, даты рождения и номера документа
Что утёкшие данные сами по себе не позволяют
- Войти в аккаунт IDARE без пароля и многофакторной аутентификации (по словам компании)
- Совершать платежи, требующие полного номера карты или кода безопасности (компания их не хранит)
- Пройти проверки личности, использующие изображения документов или лиц (изображения не утекли)
- Использовать код активации физической карты из чужого аккаунта (по словам компании)
Телефон, электронная почта + остаток и история операций
↓→
Сообщения от имени IDARE с реальными суммами или покупками
→ Не открывайте ссылки; откройте приложение сами для проверки
Карта: первые 6 и последние 4 + счёт: последние 3
↓→
Правдоподобные сообщения от имени карточной компании или банка
→ Свяжитесь через номер на карте или официальное приложение
Имя, адрес, дата рождения + номер документа, удостоверяющего личность
↓→
Заявки, поданные от вашего имени
→ Оповещение в бюро кредитных историй и проверка своей кредитной истории
Что отличает утечку из приложения безналичных платежей, так это то, что наряду с именами и адресами электронной почты в ней есть суммы и операции, которые известны только вам. Поддельное сообщение может точно написать «ваш остаток — ¥X» или «вчерашний платёж в Y», поэтому совпадение данных ничего не говорит о подлинности сообщения. Судите по каналу, а не по содержанию. Заранее решите, что будете проверять, открыв приложение сами или позвонив по номеру на обороте карты.
Для операторов: когда ПО поддержки клиентов может обращаться к вашей базе клиентов
Компания сообщает, что была использована уязвимость во внешнем ПО, которое она применяла для поддержки клиентов и других задач, и что данные из её базы были получены. Она не назвала ни ПО, ни тип уязвимости, поэтому этот раздел опирается только на то, что подтверждает опубликованное заявление.
Составьте список того, что может читать каждый инструмент поддержки клиентов
Инструменты поддержки, такие как системы тикетов и чатов, часто подключены к экранам участников и операций, чтобы сотрудники видели ситуацию клиента. Начните с того, чтобы для каждого внешнего инструмента составить список полей, которые он может читать, и учётных данных, которые он использует (API-ключи или учётные записи базы данных).
Для данных, которые повседневная поддержка не должна читать массово, например номеров документов или истории операций, либо запретите инструменту их чтение, либо ограничьте доступ поиском по одной записи за раз.
Опирайтесь на то, что отдельно хранимые данные были защищены
Компания сообщает, что изображения документов и лиц, пароли для входа и подобные данные не могли быть получены, поскольку управлялись так, что скомпрометированная система не могла их прочитать, либо вообще не хранились.
Хранение чувствительных данных в отдельном хранилище с отдельными правами ограничивает то, что может быть похищено при взломе одной системы. Самая надёжная защита — не хранить данные, которые не нужны, например полные номера карт.
Решите, что делать с данными закрытых сервисов
Этот инцидент затронул годовой доход и данные работодателя, указанные для сервиса кредитования, закрытого в октябре 2021 года. В уведомлении не сказано, почему эти данные всё ещё хранились, а записи о кредитовании могут подпадать под требования законодательства о хранении. Во втором отчёте от 21 октября компания сообщает, что до 30 ноября установит сроки хранения для каждого элемента, который не обязан храниться по закону, например адресов электронной почты и номеров телефонов, и будет регулярно удалять их после закрытия учётной записи.
В общем случае разделите данные закрытых сервисов на те, которые закон требует хранить, и те, которые не требует; удаляйте ненужное, а то, что храните, переносите туда, куда повседневные системы не могут обращаться.
Настройте оповещения о массовом чтении с учётных данных внешних инструментов
В уведомлении сказано, что несанкционированный доступ происходил несколько раз в период с 10 августа по 27 сентября. Профилактические меры компании включают постоянный мониторинг сведений об уязвимостях программного обеспечения и мониторинг журналов доступа с оповещениями; во втором отчёте от 21 октября сказано, что до 30 октября будет введён мониторинг, выявляющий массовый или необычный доступ к данным клиентов, с немедленным оповещением.
Простой первый шаг: для каждой учётной записи базы данных или API-ключа, используемого внешним инструментом, установить ограничение на количество записей, читаемых в час, и оповещать сотрудников, когда чтение превышает обычный уровень в несколько раз. Следите за сведениями об уязвимостях внешних инструментов, которые вы используете, подписавшись на объявления и уведомления о безопасности их поставщиков.
Источники (публичные данные)
Факты в этой статье взяты из следующей публичной информации. Мы не делали предположений о нераскрытой разбивке данных или подробностях причины.
- Fivot Inc. (IDARE), уведомление об утечке персональных данных, вызванной несанкционированным доступом к IDARE (13 октября 2026 года, на японском языке) — idare.jp
- Fivot Inc., второй отчёт о текущем состоянии и мерах профилактики в связи с утечкой персональных данных (21 октября 2026 года, на японском языке) — idare.jp
- Справочный центр IDARE, «IDARE不正利用に対する補償制度について» (политика компенсации за мошенническое использование; редакция от 8 мая 2025 года, на японском языке) — idare.zendesk.com
- Fivot Inc., предупреждение о поддельных предложениях займов от имени компании (7 апреля 2026 года, на японском языке; отдельное объявление, не относящееся к этому инциденту) — fivot.co.jp
История обновлений
2026-10-22: Добавлен второй отчёт Fivot от 21 октября: на эту дату мошеннических операций не подтверждено, компенсация по политике компании, меры профилактики, уже введённые, и те, что со сроками, а также ожидаемые сроки (конец ноября — начало декабря) и план публикации независимого расследования, проводимого внешней специализированной организацией.
2026-10-14: Первая версия, основанная на уведомлении Fivot от 13 октября. В тот же день мы проверили список объявлений компании и не нашли продолжения.
Читайте далее
- Если утёк номер документа, удостоверяющего личность: Если ваши данные водительского удостоверения Японии были украдены: что делать
- Как меняются проверки личности: Онлайн-проверка личности в Японии переходит на считывание IC-чипа (апрель 2027)
- Утечка, связанная с номерами документов и банковскими данными: Утечка данных Lashinbang
- Утечка данных участников приложения: Несанкционированный доступ к Lawson ID
- Защита от последующего мошенничества: Что такое фишинг? / Выбор многофакторной аутентификации
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году