Для кого эта статья: медсестры, медицинский персонал, преподаватели и студенты, которые пользовались книгами, журналами, семинарами или цифровыми сервисами Medica Shuppan в Японии; авторы и лекторы, работавшие с компанией; сотрудники больниц, учреждений и организаций, которые передавали ей работу на аутсорсинг; а также небольшие издательства и интернет-магазины, которые ведут списки клиентов.
Эта статья основана на официальных уведомлениях Medica Shuppan Co., Ltd. и не описывает методы атак.
Что делать пострадавшим прямо сейчас
Проверьте, затронуты ли вы: уведомление получат не все
Компания говорит, что связывается с людьми, которые были или могли быть затронуты, индивидуально и поэтапно. Там, где прямое уведомление затруднено, его заменяет публикация на сайте компании.
Пользователи Medica ID, покупатели её книг и журналов, участники семинаров, авторы и лекторы, люди из больниц, учреждений и организаций, передававших ей работу, а также её сотрудники и соискатели могут попадать в зону риска даже без уведомления. Чтобы проверить, свяжитесь с клиентским центром Medica Shuppan (в Японии 0120-276-115 или 06-6398-5008, 9:00–17:00, выходные и праздники — нерабочие дни). Используйте номер с официального сайта компании, а не номер из письма.
Не открывайте ссылки в письмах о «уведомлении об утечке» или «сбросе пароля»
1 мая компания предупредила, что видели письма, выдающие себя за неё. В них говорится, например, «был несанкционированный доступ», «ваши персональные данные могли утечь» или «вам нужно сбросить пароль», и они ведут на страницу, где нужно ввести личные данные.
Компания заявляет, что никогда не просит вводить или подтверждать персональные или конфиденциальные данные по электронной почте и что личные данные можно вводить только на её официальном сайте. Даже когда в поле отправителя указан адрес на домене самой компании, компания утверждает, что письма отправлены не ею. Поле отправителя ничего не доказывает (см. Что такое фишинг?).
Сверьте утёкшие данные, указанные в письме, с официальными уведомлениями
Образец поддельного письма, опубликованный компанией, в числе возможно утёкших данных называл пароли для входа и часть данных банковских карт. Настоящие уведомления говорят об обратном: пароли Medica ID хранятся отдельно и утечь не могли, а система онлайн-продаж не хранит данные банковских карт.
Письмо, которое перечисляет утёкшие данные, противоречащие официальным уведомлениям, и торопит вас с выполнением какой-либо процедуры, уже повод для подозрений.
Проверяйте сообщения об учебных материалах, семинарах, обществах или зачётах у организатора
Когда под угрозой находится список медицинских специалистов, поддельные сообщения необязательно будут «уведомлениями об утечке». Для медицинских работников правдоподобны обычные поводы (оценка этого сайта):
- продление подписки
- приглашения на онлайн-семинары
- регистрация в профессиональном обществе или процедуры начисления зачётных баллов
- счета за учебные материалы
И в этих случаях не переходите по ссылке и не звоните по номеру из сообщения; проверьте информацию на официальном сайте организатора, который вы открываете сами, или через соответствующее подразделение на вашем месте работы. Если сообщение пришло на рабочий адрес, передайте его IT-специалистам больницы или учреждения, чтобы коллеги, получившие такое же поддельное письмо, с меньшей вероятностью на него поддались.
Авторы и лекторы: остерегайтесь сообщений, которые используют ваш номер счёта, чтобы выманить ПИН-код, и включите уведомления о транзакциях
Данные авторов и подрядчиков включают номера банковских счетов. Один из крупных японских банков предупреждает: если третье лицо узнает ваш ПИН-код вдобавок к номеру счёта, это может привести к несанкционированным снятиям через интернет-банк; банк заявляет, что никогда не запрашивает ПИН-код по телефону и не просит ввести его через автоматическую голосовую подсказку. Японская ассоциация банкиров также заявляет, что никогда не запрашивает ПИН-коды или пароли.
Не отвечайте на сообщения, которые под предлогом «подтверждения счёта для выплаты гонорара за рукопись» или «обработки вашего вознаграждения» просят ПИН-код, ID и пароль интернет-банка или одноразовый пароль. Включите уведомления о транзакциях в интернет-банке или приложении банка и обратитесь в банк, если увидите операцию, которой не узнаёте.
Если вы зарегистрировали My Number, можно обратиться в муниципалитет
Номера My Number включены только для авторов и подрядчиков, которые их зарегистрировали. Номер My Number обычно не меняется, однако согласно статье 7(2) Закона о My Number, если установлено, что номер утёк и может использоваться неправильно, мэр может присвоить новый, например по вашему заявлению. Сначала уточните в службе компании, попадают ли ваши данные в зону риска, а затем при необходимости обратитесь в муниципалитет по месту регистрации.
Прекратите повторное использование паролей и знайте, куда обращаться за помощью
Говорится, что пароли Medica ID не находятся под угрозой, но компания рекомендует менять их регулярно. Если вы используете тот же пароль где-то ещё, смените его (см. как выбрать менеджер паролей). В Японии помочь могут следующие государственные и общественные службы:
- Поддельные письма: пересылайте их в Совет по борьбе с фишингом Японии (Council of Anti-Phishing Japan)
- Технические опасения, например если вы ввели данные или не уверены в безопасности устройства: Консультационный центр по информационной безопасности IPA (03-5978-7509, 10:00–17:00, кроме выходных, праздников и новогодних каникул)
- Мошенничество или подозрения на него: полицейская линия консультаций #9110
Что произошло (по уведомлениям Medica Shuppan)
Компания опубликовала несколько уведомлений в период с 13 марта по 13 мая 2026 года. Всё ниже приведено так, как указано в официальных уведомлениях компании. Цифры и статус в этой статье соответствуют последнему отчёту от 13 мая.
13 мар 2026
Ранним утром обнаружен сбой системы, затронутые серверы физически отключены от внутренней сети. В тот же день компания опубликовала уведомления о внутренней проблеме системы и приостановке приёма заказов, отгрузки и обработки запросов.До 14 мар
Уведомлена и проконсультирована полиция, в Комиссию по защите персональных данных направлен отчёт.17 мар
Компания объявила, что причиной стала атака программы-вымогателя. В сообщении говорилось, что часть персональных данных клиентов, деловых партнёров, соискателей и сотрудников, а также часть деловой информации «была подтверждена как утёкшая наружу», и что компания публикует это первой, поскольку не может даже получить доступ к своему списку контактов. Сообщалось, что данные карт не утекли, так как их система не хранит такие данные.25 мар (2-й отчёт)
Затронутые серверы изолированы, устройства, признанные безопасными, поочерёдно восстановлены. Все веб-сайты и цифровые продукты подтверждены как безопасные. Количество утёкших записей ещё не определено.9 апр (3-й отчёт)
По состоянию на 15:00 8 апреля персональные данные, которые могли утечь, оценены в 772 000 записей всего (возможно двойной учёт), с перечнем категорий данных. Многие сервисы возобновили работу.1 мая
Компания предупредила о поддельных письмах, выдающих себя за неё.13 мая
Внешнее судебно-экспертное расследование завершено, итоговый отчёт направлен в Комиссию по защите персональных данных 11 мая. Компания считает данные около 641 000 человек (возможны дубликаты) подверженными риску утечки.19 мая
Задержки с выпуском периодических изданий устранены.
- Пользователи Medica ID
- Medica ID, имя, адрес электронной почты. Если указано: префектура, адрес, номер телефона
- Обычные клиенты
- Имя, контактные данные (адрес места работы или дома, номера телефона и факса)
- Авторы и внешние подрядчики
- Имя, контактные данные, должность, адрес электронной почты, номер банковского счёта, изображения, предоставленные как рукописи, и др. Если зарегистрирован: My Number
- Данные, переданные компаниями-клиентами, учреждениями и организациями
- Имя, контактные данные, должность, адрес электронной почты, ID, пароли, паспорта, виды на жительство, результаты медицинских осмотров, банковские счета и др.
- Сотрудники и соискатели
- Сотрудники: имя, дата рождения, адрес, подразделение, результаты аттестаций, содержание резюме и др. Соискатели: документы заявителей, содержание резюме и др.
- Категории (13 мая)
- Клиенты, включая пользователей Medica ID; сотрудники больниц и медицинских учреждений; люди из школ и других образовательных учреждений; сотрудники секретариатов профессиональных обществ и других организаций; авторы, лекторы и другие внешние сотрудники; зарегистрированные в её кадровом бизнесе и подобных направлениях; контакты деловых партнёров; сотрудники и соискатели
- Не утекли по данным компании
- Данные банковских карт (не хранятся). Пароли Medica ID (хранятся отдельно)
- Результат расследования
- Явных доказательств вывода данных не найдено; возможность полностью не исключена на основании нескольких признаков, поэтому данные считаются «под риском утечки»
- Отправная точка по данным компании
- Третье лицо проникло во внутреннюю сеть с помощью легитимных учётных данных. Как утекли учётные данные, не установлено
Как читать: «подтверждена утечка» 17 марта и «под риском утечки» 13 мая
В уведомлении от 17 марта говорилось, что часть персональных данных «была подтверждена как утёкшая наружу». В отчёте от 13 мая, выпущенном после завершения судебно-экспертного расследования, сказано, что явных доказательств вывода данных не найдено, но поскольку возможность этого полностью не исключена, данные считаются «под риском утечки».
Эта статья следует последней формулировке от 13 мая. С точки зрения пострадавших, что делать, одинаково в любом случае.
Особенность случая: список клиентов специализированного издательства — это список медицинских специалистов
Список клиентов обычного интернет-магазина говорит о том, что «эти люди покупали в этом магазине». В медицинском и сестринском издательстве статус клиента указывает на профессию и сферу деятельности.
В категориях от 13 мая значатся сотрудники больниц и медицинских учреждений, люди из образовательных учреждений, сотрудники секретариатов профессиональных обществ и других организаций, а также зарегистрированные в кадровом бизнесе. В третьем отчёте сказано, что контактные данные обычных клиентов включают место работы. На схеме ниже показаны поддельные сообщения, которые может породить такой список, и действия, которые помогут их распознать (анализ этого сайта).
Под риском: имя, место работы, контактные данные, электронная почта (и номера банковских счетов у авторов)
+ факт того, что человек — клиент медицинского и сестринского издательства → список того, кто где работает в здравоохранении
↓
«Уведомление об утечке», «сбросьте пароль»
Тип поддельного письма, который подтвердила компания
↓→
Сверьте утёкшие данные с официальными уведомлениями. Вводите данные только на официальном сайте, который открыли сами
Продление подписки, семинары, общества, зачётные баллы
Естественные поводы для медицинских работников
↓→
Проверьте на официальном сайте организатора или на рабочем месте. Передайте IT-специалистам
«Подтвердите счёт для выплаты гонорара за рукопись»
Использует известный номер счёта, чтобы выглядеть достоверным
↓→
Никогда не сообщайте ПИН-код или данные интернет-банка. Включите уведомления о транзакциях
Несколько слов о номерах счетов. Номер счёта также сообщают людям, чтобы они могли вам платить, например издательство выплачивает гонорар за рукопись. Банки предупреждают именно о номере счёта в сочетании с ПИН-кодом.
В 2020 году информация о счетах, полученная незаконным путём, использовалась для открытия счетов платёжных сервисов на имя вкладчиков, их привязки к банковским счетам и вывода денег. В ответ Японская ассоциация банкиров попросила банки-члены усилить аутентификацию. Поэтому авторам нужно защищать не столько сам номер счёта, сколько ПИН-код или данные интернет-банка, которые злоумышленники попытаются получить следующими.
Мнение этого сайта: важнее, чей это список, а не сколько в нём людей
Публикации об утечках обычно сравнивают количество записей, но для людей из списка опасность зависит от того, что по нему можно вывести. Списки, которые ведут специализированные издательства, профессиональные общества, организаторы сертификационных экзаменов и отраслевые объединения, раскрывают профессию, место работы и область интересов даже по одному имени и адресу электронной почты. Поддельные сообщения людям из таких списков используют предлоги, соответствующие их повседневной работе, поэтому их труднее распознать.
Для сотрудников больниц риск не ограничивается личным вредом: рабочую учётную запись электронной почты могут взять под контроль и использовать как отправную точку для атаки на учреждение. В другом японском случае этого года, утечке CAMPFIRE, также были затронуты банковские реквизиты спонсоров и владельцев проектов, и там главный совет тоже состоял в том, чтобы остерегаться сообщений о «возврате средств» или «подтверждении счёта для выплат».
Уроки для небольших издательств и интернет-магазинов
Из уведомлений компании можно извлечь три вещи, которые небольшие организации, хранящие списки клиентов, могут проверить у себя. Ни одна из них не означает, что компания что-то упустила; это меры предосторожности, выведенные из фактов, указанных в уведомлениях.
Храните копию списка контактов клиентов и партнёров вне рабочих систем
В уведомлении от 17 марта говорилось, что компания публикует информацию первой, поскольку не может даже получить доступ к своему списку контактов. Когда программа-вымогатель блокирует рабочие системы, именно тот список, который нужен для индивидуального уведомления пострадавших, может стать недоступным.
Храните контакты партнёров, авторов и ключевых клиентов в резервной копии, отделённой от рабочей сети (офлайн или под отдельным управлением), и регулярно проверяйте, что её действительно можно восстановить (см. основы резервного копирования (правило 3-2-1)).
Включите многофакторную аутентификацию для каждого входа во внутреннюю сеть извне
Компания говорит, что отправной точкой стало проникновение третьего лица во внутреннюю сеть с помощью легитимных учётных данных. Если хотя бы одна точка входа — VPN (для подключения к внутренней сети извне), удалённый рабочий стол, административная консоль облачного сервиса — принимает только пароль, она становится слабым местом для всего остального.
Первый шаг — составить перечень всех точек входа, доступных извне, и проверить, что для каждой включена многофакторная аутентификация. Компания также указывает среди принятых мер усиление аутентификации и безопасности, а среди запланированных — усиление платформы аутентификации для предотвращения несанкционированных входов. Случаи такого же типа собраны в материале утечки 2026 года, совершённые с использованием легитимных учётных данных.
Не храните номера счетов и My Number авторов рядом со списком читателей
Перечень данных в третьем отчёте показывает, что контактные данные читателей, номера счетов авторов и My Number, переданные результаты медицинских осмотров и оценки сотрудников попали в зону одной и той же атаки.
Храните номера My Number, необходимые для налоговой отчётности, и номера счетов, используемые для платежей, в отдельном месте с раздельным доступом, а данные удаляйте, когда платежи выполнены и они больше не нужны. Если данные разнесены, взлом одного места раскрывает меньше видов информации.
Также, как защиту от поддельных писем с использованием вашего домена, рассмотрите SPF, DKIM и DMARC: они помогают объяснить клиентам, как распознать ваши настоящие письма.
О том, как работает программа-вымогатель и как организации готовятся к атакам, рассказано в статье Что такое программа-вымогатель?.
Источники (открытые данные)
Факты в этой статье взяты из следующих открытых источников. Методы атак и сведения о системах, которые компания не раскрывает, не обсуждаются.
- Medica Shuppan Co., Ltd., уведомление о внутренней проблеме системы и уведомление о сбое системы (13 марта 2026 года, на японском языке) — проблема системы / сбой
- Medica Shuppan Co., Ltd., извинения и отчёт о сбое системы и утечке информации, вызванных несанкционированным доступом (программой-вымогателем) (17 марта 2026 года, на японском языке) — medica.co.jp / пресс-релиз (PDF)
- Medica Shuppan Co., Ltd., отчёт об ущербе от программы-вымогателя и текущем состоянии, 2-й отчёт (25 марта 2026 года, на японском языке) — medica.co.jp
- То же, 3-й отчёт (9 апреля 2026 года, на японском языке) — medica.co.jp
- Medica Shuppan Co., Ltd., предупреждение о подозрительных письмах, выдающих себя за компанию (1 мая 2026 года, на японском языке) — medica.co.jp
- Medica Shuppan Co., Ltd., отчёт о результатах расследования и мерах по предотвращению повторения (13 мая 2026 года, на японском языке) — medica.co.jp
- Medica Shuppan Co., Ltd., уведомление о задержке периодических изданий (13 апреля 2026 года) и уведомление об устранении (19 мая 2026 года, на японском языке) — 13 апреля / 19 мая
- Sumitomo Mitsui Banking Corporation, предупреждение о звонках от лиц, выдающих себя за чиновников или сотрудников банка и пытающихся получить номера счетов и ПИН-коды (на японском языке) — smbc.co.jp
- Японская ассоциация банкиров, ответ на несанкционированные снятия через платёжные сервисы поставщиков услуг денежных переводов (14 сентября 2020 года, на японском языке) — zenginkyo.or.jp / предупреждение о поддельных сайтах Японской ассоциации банкиров (на японском языке) — zenginkyo.or.jp
- Закон об использовании номеров для идентификации конкретного лица в административных процедурах (Закон о My Number), статья 7 (на японском языке) — e-Gov Law Search
- Совет по борьбе с фишингом Японии, сообщения о фишинге (на японском языке) — antiphishing.jp / Консультационный центр по информационной безопасности IPA (на японском языке) — ipa.go.jp / Правительство Японии, полицейская линия консультаций #9110 (на японском языке) — gov-online.go.jp
История обновлений
2026-09-30: первая версия, основанная на уведомлениях Medica Shuppan с 13 марта по отчёт о расследовании от 13 мая. Количество соответствует отчёту от 13 мая (около 641 000 человек, возможны дубликаты); 772 000 записей из третьего отчёта от 9 апреля указаны как часть хронологии событий.
Что читать дальше
- Мошенничество после утечки: Что такое фишинг? / как выбрать менеджер паролей
- Программа-вымогатель: Что такое программа-вымогатель? / основы резервного копирования (правило 3-2-1)
- Для бизнеса: остановка подложных писем с использованием вашего домена / утечки, совершённые с использованием легитимных учётных данных
- Другой японский случай с банковскими данными: утечка данных CAMPFIRE
- Другие инциденты 2026 года: утечки данных и кибератаки в 2026 году (Япония и мир)