Для кого: участники Joshin (ранее Joshin Denki), пользователи подписочного сервиса Joshin и люди, загружавшие фотографии для ремонта жилья через Joshin. Статья основана на официальных уведомлениях Joshin Corporation и не описывает методы атак.
В развитии: статья будет обновляться по мере публикации новых данных организацией
По состоянию на 28 октября 2026 годаПока неизвестно
- Подтверждена ли утечка и сколько записей
- Как числа записей соотносятся с числом людей (пересечения)
- Причина и путь проникновения
- Какие услуги приостановлены и когда возобновятся
- Свяжутся ли индивидуально с пользователями базы данных участников и подписки
- Будет ли компенсация
Во втором сообщении от 26 октября компания говорит, что оперативно объявит о новых фактах, которые следует обнародовать, на официальном сайте и по другим каналам. Сроков она не называет. 28 октября мы проверили список новостей компании и убедились, что третьего сообщения не публиковалось.
Что участникам Joshin и пользователям подписки нужно сделать сегодня
Определите, можете ли вы быть затронуты
Во втором сообщении сказано, что могла утечь информация из этих трёх систем:
- Сервер базы данных участников: до примерно 6 млн записей (имя, адрес, телефон, номер участника)
- Подписочный сервис Joshin: до примерно 230 000 записей (номер участника, логин и начальный пароль, история счетов и другое)
- Система загрузки фотографий ремонта: до примерно 800 записей (фотографии ремонтных работ и небольшое число изображений водительских удостоверений, данных карт My Number и номеров банковских счетов)
В уведомлении не сказано, к какому сервису для участников относится сервер базы данных участников и какие участники затронуты. Если вы когда-либо были участником Joshin, исходите из того, что можете быть затронуты, и переходите к следующим шагам.
Не используйте ссылки и номера из писем, SMS и звонков якобы от Joshin
Компания предупреждает, что могут поступать подозрительные письма, SMS и звонки от её имени. Поскольку среди данных есть имена, адреса, телефоны и номера участников, поддельное сообщение может указать их верно.
Если вас просят «подтвердить данные участника», сообщают, что «баллы скоро сгорят» или что вам положен «возврат в качестве извинения», не используйте ссылки и номера телефонов из сообщения. Проверьте на официальном сайте, открытом самостоятельно, или позвоните в клиентскую службу из уведомления (06-6631-1323, с 9:30 до 18:30 по японскому времени).
Пользователи подписки Joshin: смените начальный пароль, если ещё не меняли
Для подписочного сервиса Joshin логины и начальные пароли входят в число данных, которые могли утечь. В уведомлении компания не просит менять пароль, но этот сайт рекомендует всем, кто всё ещё использует начальный пароль, сменить его. Если этот сервис среди приостановленных, сделайте это на официальном сайте после возобновления работы.
Если тот же пароль используется на других сервисах, смените его и там (как проверить, не утёк ли ваш пароль / как выбрать менеджер паролей). Включите двухэтапную проверку, где это возможно.
Проверьте счета по подписке на неожиданные изменения
История счетов и номера договоров также входят в число данных, которые могли утечь. Убедитесь, что договор и начисления верны, на официальном сайте, открытом самостоятельно, или в документах договора, а не через полученное сообщение. Поскольку компания говорит, что не хранит данные карт, особенно подозрительно относитесь к любому сообщению с просьбой указать номер карты.
Если затронуты удостоверение, карта My Number или номер банковского счёта: подтвердите контакт по указанному номеру
В системе загрузки фотографий ремонта могли утечь 2 изображения водительских удостоверений, 1 карта My Number и 5 номеров банковских счетов, и компания говорит, что связывается с этими людьми индивидуально. Если с вами связались, сначала убедитесь в подлинности, самостоятельно позвонив по номеру из уведомления.
- Изображение водительского удостоверения: см. если утекли данные вашего японского водительского удостоверения
- My Number: обычно не меняется, но согласно пункту 2 статьи 7 Закона о My Number глава муниципалитета может назначить новый номер, если признано, что номер утёк и может быть использован злонамеренно. При необходимости обратитесь в муниципалитет, где вы зарегистрированы по месту жительства
- Номер банковского счёта: не отвечайте тем, кто спрашивает PIN-код или пароль, и обращайтесь в банк или полицию, если что-то кажется странным (общие рекомендации Японской ассоциации банкиров и Национального полицейского агентства, а не рекомендации по этому инциденту)
1. Письмо / SMS / звонок якобы от Joshin
Имя, адрес и номер участника верны → не принимайте решение здесь
↓
2. Не используйте его ссылки и номера: откройте официальный сайт сами или сами позвоните по указанному контакту
Клиентская служба 06-6631-1323 (с 9:30 до 18:30 по японскому времени)
↓
3a. Запрос, который нельзя подтвердить
Номер карты, PIN, пароль или фото удостоверения → не отвечайте
3b. Контакт даёт те же указания
Следуйте указаниям официального сайта или контакта
Что произошло (по данным Joshin)
Далее изложено на основе того, что Joshin Corporation опубликовала на официальном сайте 17 октября 2026 года (раскрыто на Токийской фондовой бирже 19 октября), и второго сообщения, раскрытого 26 октября. 1 апреля 2026 года компания сменила название с Joshin Denki Co., Ltd. на Joshin Corporation (код ценной бумаги 8173). Числа приведены по системам, поэтому этот сайт их не суммировал.
16 окт. 2026 (пт)
В сети компании обнаружена аномалия. Расследование выявило признаки несанкционированного доступа к части сети. Компания приняла меры, в том числе отключила от сети серверы с такими признаками, и поручила расследование сторонним специалистам. В результате часть услуг стала недоступна.С 16 окт.
Компания проконсультировалась с Комиссией по защите персональной информации и полицией и уведомила их (во втором сообщении сказано, что это сделано сразу после подтверждения инцидента).17 окт. (сб)
Первое уведомление опубликовано на официальном сайте. Была ли утечка информации, ещё проверялось.19 окт. (пн)
То же уведомление раскрыто на Токийской фондовой бирже.26 окт.
Раскрыто второе сообщение со списком данных и числом записей, которые могли утечь.
- Сервер базы данных участников
- До примерно 6 млн записей. Имя, адрес, телефон, номер участника
- Подписочный сервис Joshin
- До примерно 230 000 записей. Номер участника, телефон + рукописная подпись (двоичные данные), логин и начальный пароль, история счетов, номер договора и идентификатор устройства, код активации
- Система загрузки фотографий ремонта
- До примерно 800 записей. 2 изображения водительских удостоверений, 1 карта My Number и 5 номеров банковских счетов (с этими людьми связываются индивидуально), а также фотографии ремонтных работ в процессе
- Что означают числа
- Общее число записей, которые могли утечь, а не подтверждённое число утечки персональных данных (по данным компании)
- Данные банковских карт
- Компания не хранит платёжные данные и не хранит данные банковских карт (по данным компании)
- Контакт
- Клиентская служба Joshin Corporation: телефон 06-6631-1323 (с 9:30 до 18:30 по японскому времени) и адрес электронной почты, указанный в уведомлении
В первом уведомлении (17 октября) компания сообщила, что ещё проверяет, была ли утечка, и что направила предварительное сообщение в Комиссию по защите персональной информации, поскольку утечку персональных данных нельзя исключить. Во втором сообщении впервые были приведены данные и числа записей по системам. Компания говорит, что полный масштаб ущерба ещё расследуется.
Что известно и чего пока нет
Состояние на 28 октября 2026 года. Мы обновим таблицу, когда компания опубликует новые данные.
| Пункт | Что сказано в уведомлении | Статус |
|---|---|---|
| Факт несанкционированного доступа | Подтверждены признаки несанкционированного доступа к части сети | Подтверждено (компания) |
| Имя, адрес, телефон, номер участника (сервер базы данных участников) | До примерно 6 млн записей | Возможно (компания) |
| Подписка Joshin: номер участника, телефон + рукописная подпись, логин, начальный пароль, история счетов, номер договора, идентификатор устройства, код активации | До примерно 230 000 записей | Возможно (компания) |
| Изображения водительских удостоверений, карта My Number, номера банковских счетов | 2, 1 и 5 соответственно (в пределах до примерно 800 записей системы загрузки фотографий ремонта) | Возможно (компания) |
| Фотографии ремонтных работ в процессе | Система загрузки фотографий ремонта | Возможно (компания) |
| Данные банковских карт | Не хранятся | Не затронуты (компания) |
| Подтверждена ли утечка | Указано, что числа не являются подтверждёнными числами утечки; расследование продолжается | Расследуется |
| Как числа соотносятся с числом людей | Указаны в записях; пересечения внутри систем и между ними не указаны | Не указано |
| Какие участники затронуты (сервис, дата регистрации) | Не указано | Не указано |
| Причина и путь проникновения | Не указано | Не указано |
| Приостановленные услуги и сроки возобновления | Часть услуг недоступна; какие именно и когда возобновятся, не указано | Не указано |
| Индивидуальный контакт (люди, чьи удостоверение, карта My Number или номер счёта затронуты) | Связываются индивидуально | Подтверждено (компания) |
| Индивидуальный контакт (пользователи базы данных участников и подписки) | Не указано | Не указано |
| Злоупотребления или вторичный ущерб | Не указано; компания предупреждает о возможных подозрительных контактах | Не указано |
| Компенсация | Не указано | Не указано |
Обратите внимание: это числа записей, которые могли утечь, а не числа людей
Компания говорит, что числа означают общее количество записей, которые могли утечь, а не подтверждённое число утечки персональных данных. Все числа приведены в записях; если один человек зарегистрирован в нескольких системах, людей может быть меньше, но пересечения не указаны. Этот сайт не пишет, что информация «утекла», а только что она «могла утечь».
Для чего может использоваться комбинация данных, которые могли утечь
Далее описано, что в целом может происходить с такой комбинацией данных. Компания не объявляла, что что-либо из этого произошло в этом инциденте.
- Имя + адрес + телефон + номер участника: SMS, звонки или письма от имени Joshin, в которых номер участника упоминается, чтобы это выглядело как проверка личности
- Номер договора подписки и история счетов: поддельные сообщения о «подтверждении оплаты» или «продлении договора» с реальными данными договора
- Логин + начальный пароль: могут использоваться для входа в аккаунты, где всё ещё стоит начальный пароль, или в другие сервисы, где повторно используется тот же пароль
- Изображения водительских удостоверений, данные карт My Number и номера банковских счетов: могут использоваться для оформления услуг на чужое имя или для сообщений от имени банка (небольшое число людей, с которыми компания связывается индивидуально)
Большую часть этого можно предотвратить, если не использовать ссылки и номера из сообщения и проверять на официальном сайте, открытом самостоятельно, или через контакт из уведомления.
Что стоит проверить операторам
Причина не раскрыта, поэтому в этом разделе говорится только о том, что можно сказать на основе опубликованной информации.
- Данные, которые вы не храните, не могут утечь: компания использует схему, при которой она не хранит платёжные данные, и в уведомлении прямо сказано, что данные банковских карт она не хранит. Если не хранить номера карт у себя, при вторжении под угрозой оказывается меньше данных.
- Проверьте, что попадает в каждую узкоспециализированную систему: в системе для загрузки фотографий ремонта среди информации, которая могла утечь, также указаны небольшое число изображений водительских удостоверений, данных карт My Number и номеров банковских счетов. В целом любая система, принимающая загрузку файлов, может получить документы, которых никто не ожидал. Убедитесь, что загруженные файлы хранятся только столько, сколько нужно, и видны только тем, кому они нужны.
Источники (публичные материалы)
Факты в этой статье основаны на публичной информации ниже. Мы не строили догадок о причине, числе людей и масштабе, которые не объявлены.
- Joshin Corporation, «Уведомление и извинения в связи со сбоем систем, вызванным несанкционированным доступом (второе сообщение)» (на японском языке, 26 октября 2026) — joshin.co.jp (PDF)
- Joshin Corporation, «Уведомление и извинения в связи со сбоем систем, вызванным несанкционированным доступом» (на японском языке, опубликовано на официальном сайте 17 октября 2026) — joshin.co.jp (PDF)
- То же уведомление (на японском языке, раскрыто на Токийской фондовой бирже 19 октября 2026) — joshin.co.jp (PDF)
- Joshin Corporation, «Обращение руководства» (о смене названия, на японском языке) — joshin.co.jp
- Закон об использовании номеров для идентификации конкретного лица в административных процедурах (Закон о My Number), статья 7 — поиск законов e-Gov
- Японская ассоциация банкиров (общие рекомендации) — zenginkyo.or.jp / Национальное полицейское агентство (общие рекомендации) — npa.go.jp
История обновлений
2026-10-28: первая версия на основе уведомления Joshin Corporation от 17 октября (раскрыто 19 октября) и второго сообщения от 26 октября (список новостей проверен 28 октября; третьего сообщения нет). Обновим, когда будут объявлены причина, подтверждённые числа или компенсация.
Читайте далее
- Если утекло изображение удостоверения: Если утекли данные вашего японского водительского удостоверения: что делать
- Случай с документами, удостоверяющими личность, и банковскими данными: Несанкционированный доступ в Lashinbang
- Японский розничный случай того же периода: MrMax (имена, адреса электронной почты и телефоны участников)
- Последующее мошенничество: Что такое фишинг?
- Защита аккаунтов: Как выбрать менеджер паролей / Как выбрать многофакторную аутентификацию
- Другие инциденты 2026 года: Утечки данных и кибератаки в 2026 году (Япония и мир)