Для кого: нынешних и бывших пользователей каршеринга Meitetsu Kyosho Cariteco в Японии, а также сотрудников компаний, имеющих корпоративные договоры Cariteco. Статья основана на официальных уведомлениях Meitetsu Kyosho Co., Ltd. и не описывает методы атак.
Что сделать участникам сегодня
Проверьте, затронуты ли вы: бывшие участники тоже входят в круг, а письмо могло не дойти
Затронуты нынешние и бывшие участники Cariteco. Компания отправила индивидуальные уведомления почтой или аналогичным способом индивидуальным участникам 10 и 23 июля, корпоративным участникам — 20 августа. Но часть уведомлений не удалось доставить, например из-за устаревших адресов, поэтому компания также опубликовала уведомление онлайн.
Если вы переехали после регистрации или ушли несколько лет назад, уведомление могло до вас не дойти. Если сомневаетесь, позвоните в клиентскую службу Meitetsu Kyosho (линия по вопросам персональных данных) по номеру 0120-353-276 (по будням с 9:00 до 17:00, Япония).
Не отвечайте на звонки, письма и сообщения, которые выдают себя за компанию или эмитента карты
Данные в зоне риска включают имя, адрес, номер телефона и адрес электронной почты, которые могут быть использованы, чтобы сделать поддельные сообщения похожими на настоящие, в том числе бумажные письма.
Компания просит участников с осторожностью относиться к подозрительным звонкам, письмам и почте и не выполнять без проверки просьбы ввести или сообщить персональные данные, данные для аутентификации или сведения о карте. Если нужно что-то уточнить, свяжитесь с официальным номером, который вы нашли сами (см. Что такое фишинг?).
Если вы регистрировали карту, проверьте выписки
Компания говорит, что сведения о карте могут быть включены для некоторых участников, но не уточняет, для каких участников и какие данные. Если вы регистрировали (или могли регистрировать) карту в Cariteco, проверьте выписки на наличие незнакомых списаний, а при их обнаружении позвоните по номеру на обороте карты. Если вы по-прежнему беспокоитесь, можно объяснить ситуацию эмитенту и спросить о перевыпуске карты.
Зарегистрируйте предупреждение о мошенничестве (самодекларация) в трёх японских бюро кредитных историй
Эта возможность доступна, если ваше имя может быть использовано без вашего ведома из-за утраты, кражи или утечки удостоверяющего документа. После регистрации кредиторы и эмитенты карт видят пометку при проверке вашей истории и более тщательно рассматривают заявки.
У CIC, JICC и центра кредитной информации Японской ассоциации банков разные компании-участники, поэтому регистрируйтесь во всех трёх. Различия между бюро и сроки действия предупреждений описаны в статье о Times Car.
Запросите кредитную историю и проверьте счета, которые вы не открывали
Предупреждение о мошенничестве не блокирует заявки. Запросите собственную кредитную историю в каждом бюро — сейчас и ещё раз через несколько месяцев — и ищите карты или кредиты, на оформление которых вы не подавали заявку. Если пришло незнакомое соглашение или уведомление о взыскании, свяжитесь с этой организацией и с местным отделением полиции.
Если вы бывший участник, потребуйте удалить ваши данные
Закон Японии о защите персональных данных позволяет вам требовать, чтобы компания прекратила использование или удалила ваши данные в следующих случаях (статья 35, пункт 5):
- произошла утечка, подлежащая уведомлению
- компания больше не нуждается в данных
Бывшие участники могут спросить в службе, сохраняются ли данные их заявлений и можно ли их удалить. Некоторые записи могут храниться по закону, но получить ответ о том, что остаётся и до какого срока, всё равно полезно.
Сотрудники, ответственные за корпоративные счета: предупредите коллег о сообщениях, в которых говорится, что платёжный счёт изменился
Согласно уведомлению от 3 сентября, в зоне риска находятся название компании, адрес, контактные данные корпоративных клиентов, сведения о руководителе и банковские реквизиты, а также сведения о водительских удостоверениях сотрудников, зарегистрированных для использования Cariteco.
Установите правило: письма или сообщения с утверждением «наш платёжный счёт изменился» проверяются по другому каналу, например по телефону. Расскажите и зарегистрированным сотрудникам о возможности оформить предупреждение о мошенничестве.
Что произошло (по уведомлениям Meitetsu Kyosho)
Всё ниже приведено так, как указано в официальных уведомлениях компании и Cariteco.
23 июня 2026
Компания обнаружила подозрительный доступ к своим серверам. Часть серверов остановилась, и компания сразу изолировала системы и отключила сетевые соединения.29 июня
Cariteco объявила, что из-за сбоя приостановлены новые регистрации, изменения имени, адреса и номера телефона у действующих участников, а также новые регистрации корпоративных клиентов.2 июля
Компания раскрыла сбой, вызванный несанкционированным доступом. Она сообщила, что внешнее расследование «подтвердило следы несанкционированного доступа со стороны программы-вымогателя 19 июня». На тот момент утечка информации за пределы компании не была подтверждена; компания проконсультировалась с полицией и уведомила соответствующие органы.6 июля
Открыт клиентский колл-центр.10 и 23 июля
Индивидуальные уведомления о возможной утечке были отправлены индивидуальным участникам Cariteco.22 июля
Cariteco возобновила новые регистрации и процедуры изменения договоров.28 июля
Компания сообщила, что расследование выявило атаки на несколько серверов и что она не может исключить утечку клиентской информации.4 августа
Cariteco опубликовала на своём сайте уведомление о возможной утечке данных участников, пояснив, что часть индивидуальных уведомлений не удалось доставить, и публикация призвана восполнить этот пробел.20 августа
Индивидуальные уведомления были отправлены корпоративным клиентам Cariteco (также опубликованы на сайте 3 сентября).
- Индивидуальные участники
- Указанное в заявлении на членство: имя, адрес, дата рождения, номер телефона, адрес электронной почты, сведения о водительском удостоверении
- Данные карт
- Могут быть включены для части участников (какие именно участники и какие данные не раскрыто)
- Корпоративные клиенты
- Название компании, адрес, контактные данные, сведения о руководителе, банковские реквизиты, предоставленные при начале отношений, и сведения о водительских удостоверениях сотрудников, зарегистрированных для использования Cariteco
- Охват
- Нынешние и бывшие участники. Количество не раскрыто
- Заявленная причина
- Несанкционированный доступ со стороны программы-вымогателя; подтверждены атаки на несколько серверов. Путь проникновения и другие детали не раскрыты
- Вторичный ущерб
- Компания говорит, что утечка или злоупотребление персональными данными не подтверждены
- Другие сервисы
- Помимо Cariteco, компания направила индивидуальные уведомления пользователям нескольких других сервисов, например клиентам ежемесячной парковки и участникам бонусной карты
- Контакт
- Клиентская служба Meitetsu Kyosho (линия по вопросам персональных данных) 0120-353-276 (по будням с 9:00 до 17:00, Япония)
Как это понимать: что означает «сведения о водительском удостоверении», не указано
В случае с Times Car оператор прямо заявил, что изображения водительских удостоверений были включены. В уведомлении Cariteco сказано только «сведения о водительском удостоверении», поэтому неясно, имеются ли в виду данные, напечатанные на удостоверении, например номер и срок действия, или также изображения.
В любом случае номер водительского удостоверения в сочетании с именем, адресом и датой рождения нельзя изменить, поэтому шаги в этой статье одинаковы. Мы обновим материал, если будут опубликованы подробности.
Что характерно для этого случая: при атаке программы-вымогателя восстановление сервиса и обнаружение возможной утечки происходят в разное время
23 июня: сбой
Серверы остановлены и изолированы; регистрации приостановлены
↓→
2 июля: раскрытие
Следы программы-вымогателя; утечка «не подтверждена»
↓→
22 июля: возобновление
Регистрации и изменения в Cariteco
С 28 июля: «не можем исключить утечку» / индивидуальные уведомления (часть не доставлена)
→ Возобновление работы сервиса не означает, что данные были в безопасности. Меры предосторожности для участников начинаются на этом этапе
Атака программы-вымогателя сначала проявляется в виде остановки сервисов: не работают бронирования, прекращаются регистрации, сайты недоступны. Именно это пользователи замечают в первую очередь. Были ли похищены данные, становится ясно только после проверки остановленных серверов один за другим.
В случае Meitetsu Kyosho 2 июля компания говорила, что «утечка информации за пределы компании не подтверждена», а заявила, что утечку нельзя исключить, 28 июля — уже после того, как Cariteco возобновила регистрации.
Вывод для пользователей: когда появляется уведомление о сбое, вспомните, какие данные вы доверили этому сервису. Особенно рискованны сервисы, которыми вы перестали пользоваться, потому что ваши контактные данные там могут быть устаревшими и уведомление об утечке может так и не дойти до вас. О том, как работает программа-вымогатель и как организации к ней готовятся, рассказано в статье Что такое программа-вымогатель?.
Два случая каршеринга рядом
В 2026 году в Японии были раскрыты два случая каршеринга, связанные с данными водительских удостоверений. Если сравнить их, рекомендации участникам одинаковы; различия — в степени подтверждения утечки и в способе уведомления людей.
| Параметр | Times Car | Cariteco (Meitetsu Kyosho) |
|---|---|---|
| Исходная точка | Несанкционированный доступ к веб-сайту | Сбой системы из-за программы-вымогателя |
| Статус утечки | Подтверждено получение третьей стороной | Утечку нельзя исключить |
| Количество | около 6,6 млн учётных записей (около 1,6 млн с изображениями документов) | Не раскрыто |
| Водительское удостоверение | Включены изображения | «Сведения о водительском удостоверении» (изображения не уточнены) |
| Данные карт | Подтверждено, что не утекли | Могут быть включены для части участников |
| Бывшие участники | Включены | Включены |
| Индивидуальное уведомление | По электронной почте | Почтой или аналогичным способом (часть не доставлена) |
Для операторов каршеринга: данные, необходимые для проверки при регистрации, не обязательно хранить вечно
Компания не объяснила, почему хранились данные заявлений бывших участников. У сервиса каршеринга есть собственные деловые причины, например проверка действительности водительского удостоверения перед каждой арендой. Тем не менее ниже перечислено, что операторы могут пересмотреть, исходя из общих черт двух случаев.
Установите срок удаления данных заявлений бывших участников
Проверка водительского удостоверения при регистрации необходима. Но данные заявлений бывших участников бизнесом не используются, при этом они всё равно попадают в зону риска при утечке. Закон Японии о персональных данных обязывает компании прилагать усилия, чтобы удалять персональные данные без промедления, когда они больше не нужны (статья 22, обязанность прилагать усилия).
Если есть установленный законом срок хранения, сохраняйте данные в его пределах. В остальных случаях задайте короткий срок и настройте автоматическое удаление по его истечении.
Если данные нельзя удалить, убедитесь, что с человеком можно связаться: проверяйте актуальность контактных данных
Компания говорит, что часть индивидуальных уведомлений не удалось доставить. Для любого сервиса, который хранит данные участников годами, типична ситуация, когда контактные данные устаревают, а остальная запись остаётся.
Взгляд этого сайта на операторов в целом: удостоверяющие данные людей, с которыми вы больше не можете связаться и которые вы не обязаны хранить, — это данные, хранение которых следует пересмотреть. Для данных, которые нужно хранить, предлагайте людям обновить контактные данные; данные людей, с которыми невозможно связаться и которые не нужно хранить, удаляйте. Решайте оба вопроса в одной и той же описи данных.
Обеспечьте возможность восстановить системы, если они остановились, и ограничьте ущерб, если данные похищены
Подготовка к атаке программы-вымогателя состоит из двух частей:
- возможность восстановить систему из резервных копий
- разделение серверов, на которых хранятся данные клиентов, и общей корпоративной сети
Первая часть описана в статье Основы резервного копирования (правило 3-2-1), а минимальные требования для всей организации — в статье Минимальный базовый уровень безопасности для организаций.
Источники (открытые данные)
Факты в этой статье взяты из следующих открытых источников. Нераскрытые пути проникновения и методы не обсуждаются.
- Meitetsu Kyosho Co., Ltd., уведомление о сбое системы, вызванном несанкционированным доступом (2 июля 2026, на японском языке) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., открытие клиентского колл-центра в связи со сбоем (6 июля 2026, на японском языке) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., уведомление о возможной утечке клиентских данных в результате несанкционированного доступа (28 июля 2026, на японском языке) — mkyosho.co.jp
- Meitetsu Kyosho Co., Ltd., статус индивидуальных уведомлений о возможной утечке (по состоянию на 6 августа, 12 августа и 3 сентября 2026, на японском языке) — 6 авг. / 12 авг. / 3 сент.
- Cariteco, извинения и уведомление о возможной утечке персональных данных в результате несанкционированного доступа (4 августа 2026: индивидуальные участники, на японском языке) — cariteco.com / то же (3 сентября 2026: корпоративные клиенты) — cariteco.com
- Cariteco, уведомление о сбое системы (29 июня) и возобновление регистраций и заявок после восстановления (22 июля, на японском языке) — 29 июня / 22 июля
- Самодекларация в бюро кредитных историй (на японском языке): CIC / JICC / центр кредитной информации Японской ассоциации банков
- Закон о защите персональной информации, статьи 22 и 35 (на японском языке) — e-Gov Law Search
- Данные Times Car взяты из уведомлений Times Mobility Co., Ltd. от 28 и 29 сентября 2026 года (подробности и источники в статье о Times Car)
История обновлений
2026-09-30: первая версия, основанная на уведомлениях Meitetsu Kyosho со 2 июля по 3 сентября и уведомлениях Cariteco от 4 августа и 3 сентября. Компания сообщила, что опубликует новые факты, в том числе о том, произошла ли утечка; статья будет обновлена, когда это произойдёт.
Читайте далее
- Если утекли данные вашего водительского удостоверения: Что делать, если утекли данные водительского удостоверения
- Похожая схема: Утечка данных Times Car (утекли изображения водительских удостоверений)
- Другой японский случай этого сезона: APORITO Online Store: возможная утечка данных карт
- Другой сервис, связанный с автомобилями: Утечка данных Carsensor.net и C-MATCH (имена и адреса людей, обращавшихся к дилерам)
- Мошенничество после утечек: Что такое фишинг?
- Программа-вымогатель: Что такое программа-вымогатель? / Основы резервного копирования
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций
Исправление
2026-10-16: в части о Times Car уточнено, что около 1,6 млн — это число учётных записей с изображениями документов, а не число изображений.