Для: тех, кто зарегистрировался как участник SourceNext, и тех, кто управляет сервисом, в котором хранятся данные участников. Эта статья основана на официальном уведомлении и FAQ SOURCENEXT CORPORATION, японской компании-разработчика программного обеспечения, и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новых данных организацией
Официальный FAQ проверен 22 октября; отчёт с интервью проверен 21 октябряПока неизвестно
- Число людей (в уведомлении указано только количество записей)
- Подробности уязвимости и результаты стороннего расследования с участием внешних специалистов (начато 16 октября, согласно FAQ)
- Использовались ли утёкшие данные незаконно
Компания говорит, что расследует причины и масштаб случившегося вместе с внешними специалистами и оперативно сообщит о новых фактах на своём сайте и в других каналах. 16 октября она добавила обновление о сбросе паролей. В FAQ сказано, что компания устранила уязвимость в системе, из-за которой произошла утечка, и завершила отключение паролей, попавших в утечку, а также что она начала проверку на наличие других уязвимостей (проверено 19 октября). Какой была уязвимость, не раскрыто. В FAQ, проверенном 22 октября, сказано, что 16 октября компания попросила независимого внешнего специалиста по безопасности начать стороннее расследование.
Что участникам SourceNext нужно сделать сегодня
Проверьте, затронуты ли вы (регистрация до 13:36 13 октября)
По словам компании из FAQ, охват включает людей, зарегистрированных как участники к 13:36 13 октября 2026 года. С 15 октября людям, которые могут быть затронуты, поэтапно отправляют письма на зарегистрированный адрес. Людям без зарегистрированного адреса эл. почты сообщают письмом по почте.
Если вы когда-либо регистрировались в SourceNext, выполните шаги ниже, даже если уведомление не пришло.
Сначала смените пароль в других сервисах, где он используется
И адреса эл. почты, и пароли входят в позиции, которые могли утечь. Компания предупреждает, что третье лицо может опробовать эту пару для входа в другие сервисы, и просит участников сменить пароль во всех других сервисах, где используется та же комбинация.
В отчёте от 19 октября шифрованное хранение и подтверждённое раскрытие в расшифрованном виде приписываются пресс-секретарю компании. Компания отключила старые пароли SourceNext, но в других сервисах они по-прежнему работают. Начните с почты, интернет-магазинов и финансовых сервисов. Менеджер паролей — практичный способ перестать повторно использовать пароли, а двухфакторная аутентификация делает известный пароль гораздо менее полезным для злоумышленника.
Установите новый пароль SourceNext через официальный сайт, который откроете сами
В обновлении от 16 октября компания сообщила, что пароли всех участников уже отключены, а старые пароли больше не работают. При входе экран проведёт вас через установку нового пароля.
Сайт сброса пароля перегружен и труден для доступа, и компания просит попробовать снова через некоторое время. Делайте это через официальный сайт, который вы открываете из закладки или поиска, а не по ссылке из письма или SMS. Не используйте пароль из другого сервиса.
Остерегайтесь писем, SMS, звонков и писем по почте, которые выдают себя за SourceNext
Компания предупреждает, что данные могут быть использованы для подозрительных писем (фишинговых писем), SMS, звонков и писем по почте от имени компании или её партнёров. Компания просит участников не открывать ссылки и вложения в неожиданных письмах и SMS и не вводить персональные данные или пароли на подозрительных сайтах.
Название компании, должность и отдел также входят в позиции. Если вы регистрировались с рабочим адресом, будьте осторожны и с сообщениями на работу о «обновлениях программ» или «проверке лицензий».
Программы безопасности и 1Password можно оставить как есть
По словам компании из FAQ, Super Security и Virus Security можно использовать как раньше. Пароли и другие данные, сохранённые в 1Password, компания не хранит, и они не входят в эту утечку. Удалять или переустанавливать продукты не нужно. Если сообщение требует переустановить продукт или повторно подтвердить лицензию, не открывайте его ссылки; проверьте на официальном сайте, который вы открываете сами.
По вопросам используйте выделенный контакт, указанный в официальном уведомлении
В уведомлении указана выделенная линия для этого инцидента: 0120-035-116 (бесплатный звонок по Японии, с 10:00 до 18:00, включая выходные и праздники), а также форма обращения, ссылка на которую есть на странице уведомления. Согласно FAQ, запросы на закрытие учётной записи также обрабатываются там. Проверьте номер в официальном уведомлении на сайте, который вы открываете сами; не используйте номера или ссылки из полученных сообщений.
Что произошло (по словам SourceNext)
Ниже изложено на основе уведомления компании от 15 октября 2026 года (включая обновление от 16 октября) и её FAQ (проверено 17 октября).
9 октября 2026 (пт), около 10:00
Третье лицо начало несанкционированный доступ и злоупотребляло API для получения данных участников, чтобы получить данные участников (выяснено в ходе последующего расследования).13 октября (вт), около 9:00
Подтверждён несанкционированный доступ к системе, которая управляет данными участников. Были приняты экстренные меры, включая блокировку несанкционированного внешнего трафика.13 октября (вт), до 13:36
Локализация завершена. Мониторинг продолжается; по словам компании, с тех пор несанкционированный доступ не обнаруживался.15 октября (чт)
Сообщено в Комиссию по защите персональной информации Японии, опубликовано уведомление. Поэтапная отправка писем затронутым участникам началась.16 октября (пт)
Добавлено обновление о перегруженном сайте сброса и о том, что все пароли отключены. В уведомлении говорилось, что в тот же день будет подано сообщение о ущербе в местную полицию (в FAQ сказано, что компания консультировалась с местной полицией в тот же день). Согласно FAQ, в тот же день компания попросила независимого внешнего специалиста по безопасности начать стороннее расследование.
- Затронутая система
- Система компании для управления данными участников
- Количество
- 22 519 960 записей. В уведомлении указаны записи, а не число людей
- Охват
- Люди, зарегистрированные как участники к 13:36 13 октября 2026 года (FAQ)
- Позиции
- Адрес эл. почты, пароль, имя, имя катаканой, адрес, пол, номер телефона, номер факса, дата рождения, название компании, должность, отдел, системные идентификаторы (подключённые услуги, дата регистрации, дата входа и т. д.). Не каждая позиция у каждого участника; набор зависит от регистрации
- Пароли
- Шифрованное хранение и раскрытие в расшифрованном виде: приписывается пресс-секретарю компании в отчёте от 19 октября. По словам компании, все пароли отключены
- Не входят
- Данные кредитных карт (не хранятся в затронутой системе). По словам компании, при регистрации она не собирает документы, удостоверяющие личность
- Путь
- Третье лицо злоупотребляло API для получения данных участников. Уязвимость, из-за которой это произошло, устранена (FAQ); подробности не раскрыты
- Уведомления
- Комиссия по защите персональной информации, 15 октября. Местная полиция, 16 октября (в уведомлении сказано, что планировалось сообщение о ущербе; в FAQ сказано, что компания консультировалась с полицией)
- Стороннее расследование
- Начато 16 октября независимым внешним специалистом по безопасности по просьбе компании (FAQ)
- Влияние на продукты
- Super Security и Virus Security можно использовать как раньше. Данные, сохранённые в 1Password, компания не хранит, и они не входят в утечку (FAQ)
Эл. почта + пароль
Смените пароли в других сервисах, где используется та же пара; сбросьте пароль SourceNext через официальный сайт
Имя, адрес, телефон, дата рождения
Не используйте ссылки и номера из писем, SMS, звонков или писем по почте, которые выдают себя за компанию
Компания, должность, отдел
Если вы регистрировались с рабочим адресом, остерегайтесь поддельных сообщений на работу
Что известно и что нет
Состояние на 19 октября 2026 года. Когда компания опубликует новые данные, колонка статуса будет обновлена.
| Позиция | Что говорится в уведомлении | Статус |
|---|---|---|
| Утечка данных за пределы компании | Персональные данные участников были выявлены как вышедшие за пределы компании (в FAQ сказано, что утечка «вероятна») | Утечка подтверждена (компания) |
| Количество | 22 519 960 записей (число людей не указано) | Возможно (компания) |
| Охват | Люди, зарегистрированные к 13:36 13 октября | Подтверждено (компания) |
| Позиции | Эл. почта, пароль, имя, имя катаканой, адрес, пол, телефон, факс, дата рождения, компания, должность, отдел, идентификаторы (различаются у участников) | Возможно (компания) |
| Хранение паролей | Шифрованное хранение и раскрытие в расшифрованном виде, по словам пресс-секретаря, на которого ссылаются 19 октября | Сообщение со ссылкой на источник |
| Данные кредитных карт | Не хранятся в затронутой системе | Не входят (компания) |
| Период доступа | С около 10:00 9 октября до локализации к 13:36 13 октября | Установлено (компания) |
| Путь и причина | Злоупотребление API для получения данных участников; уязвимость устранена; подробности не раскрыты | Расследуется |
| Доступ после локализации | После локализации не обнаружен | Не обнаружен (компания) |
| Незаконное использование утёкших данных | В уведомлении не упоминается | Не указано |
| Пароли | Все отключены; старые пароли больше не работают (обновление от 16 октября; уведомление и FAQ, проверенные 19 октября, говорят «отключены») | Отключены (компания) |
| Уязвимость | В FAQ сказано, что компания устранила уязвимость в системе, из-за которой произошла утечка, сразу после обнаружения. Что это было, не раскрыто | Устранена (компания) |
| Стороннее расследование | Начато 16 октября независимым внешним специалистом по безопасности (FAQ) | Расследуется (компания) |
| Программы безопасности и 1Password | Super Security и Virus Security можно использовать как раньше; данные 1Password компания не хранит, и они не входят в утечку (FAQ) | Не затронуты (компания) |
| Индивидуальные уведомления | Письма поэтапно с 15 октября; письма по почте планируются для людей без эл. почты | В процессе (компания) |
Пояснение: записи — не люди
В уведомлении указано количество записей, а не число людей. Например, если у одного человека несколько регистраций, эти цифры будут различаться. Эта статья будет обновлена, если будет опубликовано число людей. Также данные кредитных карт — единственная позиция, о которой уведомление прямо сообщает, что она не входит в утечку. Не считайте позиции, которых нет в списке, «не утёкшими».
Для чего может использоваться сочетание утёкших позиций
В общем случае такие сочетания позволяют заниматься следующими видами злоупотреблений. Это не значит, что в данном случае это произошло.
- Эл. почта + пароль: опробование в других сервисах, где используется та же пара (известно как credential stuffing, подбор учётных данных)
- Имя + адрес + телефон + эл. почта: убедительные сообщения «с извинениями» или «сбросьте пароль» с правильным именем и адресом, в том числе поддельные письма по почте
- Компания + должность + отдел: материал для поддельных рабочих сообщений от имени поставщика или подрядчика
- Дата рождения + идентификаторы, такие как дата регистрации: материал для выдачи себя за вас по телефону. Знание этих данных не является доказательством личности
Чтобы проверить, утёк ли ваш пароль, см. Как проверить, утёк ли ваш пароль; чтобы найти незнакомые входы, см. Как проверить, получал ли кто-то доступ к вашей учётной записи.
В прошлом случае, утечке данных участников Bookoff в октябре 2026 года, указанные в первом отчёте «до примерно 6,43 млн записей (номеров участников)» были уточнены во втором отчёте как число людей (6 383 279). Здесь может произойти так же, а может и нет.
Позиция этого сайта: отключение старых паролей не защищает другие места, где вы их повторно использовали
Поскольку компания говорит, что отключила пароли всех участников, утёкшие пароли гораздо менее полезны для входа в сам SourceNext. Другие сервисы, где используется тот же пароль, эта мера не затрагивает. Даже пока сайт сброса труднодоступен, вы можете сегодня сменить повторно используемые пароли в других местах. Делайте это в таком порядке: сначала другие сервисы.
Для операторов сервисов, которые хранят данные участников: следите за объёмом данных, которые возвращают ваши API
Компания не раскрыла подробности уязвимости, поэтому этот раздел не описывает, как предотвратить проникновение. По опубликованной последовательности событий можно сказать две вещи: использовалась функция для получения данных участников (API), и примерно четыре дня (расчёт этого сайта по времени из уведомления) прошли между началом доступа (около 10:00 9 октября) и его подтверждением (около 9:00 13 октября). Приведённые ниже шаги ограничиваются тем, что вы можете заранее решить для своего сервиса. Этот раздел не является оценкой ответных действий компании.
Установите почасовой лимит и оповещение для каждого API, который возвращает персональные данные
В общем случае, с аутентификацией или без неё, API данных участников редко должен возвращать большое количество участников одному пользователю или одному источнику за короткое время. Установите лимит на количество участников, которое каждый API может вернуть за час, и подавайте сигнал кому-то при достижении 80% от него, чтобы необычную выборку было легче заметить на ранней стадии.
Измерять можно в трёх местах: внутри приложения (журналировать количество возвращённых записей), перед приложением (ограничения частоты на обратном прокси или CDN) и в журналах аудита облака (оповещения). Практические настройки описаны в Ограничение частоты запросов и контроль злоупотреблений.
Подготовьте путь сброса до того, как отключите всем пароли
Отключение паролей всех участников после утечки за короткое время направляет поток людей на экран сброса; здесь тоже компания объявила, что её сайт сброса был перегружен. Вы можете заранее решить масштабировать экран сброса отдельно от основного сервиса и подготовить формулировки на периоды высокой нагрузки («попробуйте позже», «сначала смените пароли в других сервисах»).
Также проверьте, что пароли хранятся медленным методом, специально предназначенным для паролей (bcrypt, Argon2 и аналогичные), с солью. Способ хранения определяет, что вам придётся требовать от пользователей после утечки (Что такое хеширование паролей?).
Источники (открытые данные)
Факты в этой статье основаны на следующих открытых источниках. Мы не делали предположений о нераскрытой уязвимости или методах. Сообщений об этом инциденте в системе своевременного раскрытия информации Токийской фондовой биржи (TDnet) за 13–17 октября 2026 года не найдено (проверено 17 октября).
-
SOURCENEXT CORPORATION, «Извинения и уведомление об утечке данных клиентов в результате несанкционированного доступа к нашему сайту» (15 октября 2026 года, обновлено 16 октября) — sourcenext.com
-
Та же компания, «Часто задаваемые вопросы об утечке данных» (FAQ; без даты, проверено 22 октября 2026 года) — sourcenext.com
-
Отчёт с интервью, цитирующий пресс-секретаря компании (19 октября 2026 года), отделён от официального уведомления и FAQ — сообщённая ответная реакция компании
История обновлений
2026-10-22: Добавлены новые ответы из FAQ: стороннее расследование, начатое 16 октября независимым внешним специалистом по безопасности; Super Security и Virus Security можно использовать как раньше; данные 1Password компания не хранит, и они не входят в утечку. Удалено утверждение о продуктах и услугах в целом, которое не отображается на официальной странице, и приведён в соответствие ответ, что использование 1Password не затронуто. Количество, позиции и обращение с паролями не изменились.
21 октября 2026: Проверен ранее имевшийся отчёт от 19 октября, в котором обновление паролей приписывается пресс-секретарю. Количество и масштаб аннулирования паролей не изменились.
2026-10-19: Добавлены ответы из FAQ (завершено отключение паролей, входящих в утечку; начата проверка на наличие других уязвимостей). Для паролей слово «изменены» заменено на «отключены» в соответствии с формулировкой компании.
2026-10-17: Первая версия на основе уведомления компании от 15 октября (включая обновление от 16 октября) и её FAQ (проверено 17 октября). Число людей, подробности уязвимости и формат хранения паролей не раскрыты; статья будет обновлена, когда это станет известно.
Читайте дальше
- Случаи утечки данных участников за тот же период: утечка данных участников Bookoff / утечка Gyazo
- Пароли: Как проверить, утёк ли ваш пароль / Выбор и использование менеджера паролей
- Мошенничество после утечки: Что такое фишинг?
- Другие инциденты 2026 года: Список утечек данных и кибератак (Япония и мир)
- Связанное раскрытие информации: NIFTY и проверка для затронутых участников