Для кого эта статья: для людей, которые получают оповещения о катастрофах, предупреждения о преступности и подобные сообщения, отправляемые через SpeeCAN RAIDEN (в основном от японских муниципалитетов), для людей, зарегистрированных в NET119 (сервисе для вызова экстренной службы 119 без голосового разговора), а также для муниципалитетов и организаций, которые используют внешний сервис для массовых рассылок. Статья основана на официальных объявлениях Arcadia Inc. и муниципалитетов, которые сообщили о затронутых данных. Методы атаки в ней не рассматриваются.
Ситуация развивается: статья будет обновляться по мере новых публикаций организации
Обновления до 22-го включительно (17:55, 23 октября) проверены 24 октября; даты по муниципалитетам указаны в соответствующих строкахПока неизвестно
- Числа по каждому муниципалитету или организации (числа Arcadia — оценки, расследование продолжается)
- Количество записей, которые могли утечь (Arcadia всё ещё расследует по всем сервисам)
- Результаты детального расследования сторонней организацией по безопасности
- Почему число по NET119 изменилось с «около 13000» (4-е обновление) на данные, «связанные с 9 020 адресами электронной почты» (11-е обновление)
- Результаты исследования даркнета сторонней организацией (будут сообщены позже)
В двенадцатом обновлении от 19 октября объяснены причина и число несанкционированных писем — 1 423 428; это не число пострадавших людей. В 17-м обновлении от 21 октября говорится, что это были фишинговые письма, отправленные с 1:17 до 7:16 13 октября, и что не менее 869 575 из них ушли не на адреса электронной почты, которые есть у компании. Масштаб утечки всё ещё выясняется, сторонняя организация проведёт исследование даркнета. В отчёте, опубликованном вместе с 21-м обновлением 23 октября, говорится, что все сервисы входят в круг возможной утечки, а количество всё ещё выясняется (из них 9 020 — по NET119).
Что подписчикам оповещений о катастрофах нужно сделать сегодня
Не блокируйте отправителя оповещений о катастрофах и не помечайте его как спам
По словам города Сидзуока, адрес отправителя в подтверждённых им поддельных письмах — «〇〇@raiden.ktaiwork.jp». Это часть настоящего адреса отправителя, который использует рассылка оповещений о катастрофах города Сидзуока.
Город предупреждает: если вы установите для отправителя подозрительного письма «блокировать» или «спам», вы перестанете получать и информацию города о катастрофах. Просто удаляйте поддельные письма и не меняйте настройки приёма.
Не открывайте ссылки и вложения в письмах, якобы от карточной компании или муниципалитета
Поддельное письмо, подтверждённое городом Сидзуока, имело тему «＜重要＞ご利用確認のお願い» (Важно: просьба подтвердить использование), выдавало себя за настоящую компанию-эмитента кредитных карт и просило получателя подтвердить операции по карте. Город говорит, что это лишь один пример, и просит остерегаться подозрительных писем с другими темами и от других отправителей.
Город Сидзуока сообщает, что с @raiden.ktaiwork.jp он отправляет только информацию о катастрофах. Если письмо от отправителя оповещений о катастрофах просит ввести данные карты, банка, пароль, имя или адрес, считайте его поддельным и удалите. Проверяйте операции по карте в официальном приложении эмитента или на сайте, который вы открываете сами (как распознавать подделки: Что такое фишинг).
Посмотрите уведомление своего муниципалитета, чтобы узнать, затронуты ли вы
В объявлении Arcadia затронутые муниципалитеты не названы и числа по каждому из них не приведены. Смотрите уведомления на официальном сайте каждого муниципалитета, на оповещения которого вы подписаны (о катастрофах, о предупреждении преступности, о пожарах и так далее). В таблице ниже перечислены муниципалитеты, официальные страницы которых мы открыли и проверили. Некоторые муниципалитеты сообщают, что пока их сервис приостановлен, они будут публиковать информацию на своём сайте, в социальных сетях и через наружные громкоговорители системы оповещения о катастрофах.
Пользователи NET119: продолжайте пользоваться им для экстренных вызовов
В 11-м обновлении от 16 октября Arcadia сообщила, что по NET119 (net119.speecan.jp и net119fd.speecan.jp) могли утечь имена пользователей, даты рождения, пол, адреса, номера телефонов, адреса электронной почты, номера факсов и информация, введённая при регистрации в других сервисах, связанные с 9 020 адресами электронной почты. Компания заявляет, что подтвердила: особо охраняемые персональные данные не утекли, а видеосообщения в настоящее время под угрозой не находятся.
Компания сообщает, что путь проникновения заблокирован и вредоносных программ в системе не обнаружено, что приостанавливать сервис пока не планируется и им можно пользоваться как обычно. Она планирует индивидуально сообщить каждой пожарной службе, какие адреса электронной почты могли утечь.
В экстренной ситуации продолжайте пользоваться сервисом. Не отвечайте на письма и звонки, якобы от пожарной службы или муниципалитета, с просьбой сообщить регистрационные данные, пароль или банковские данные; проверяйте через контакт, указанный на официальной странице пожарной службы или муниципалитета, где вы зарегистрированы.
С вопросами обращайтесь по контактам из объявления
Согласно объявлению Arcadia, её линия по вопросам персональной информации — телефон 050-5830-0750 и электронная почта info@arcadia.co.jp (с 9:00 до 17:00 по японскому времени, кроме выходных, государственных праздников и новогодних каникул). 15 октября компания сообщила, что её телефонные линии перегружены, и попросила тех, кто не может дозвониться, написать по электронной почте. По вопросам о вашей собственной регистрации или о том, когда оповещения возобновятся, обращайтесь в ответственный отдел своего муниципалитета.
В пояснительном документе от 23 октября Arcadia говорит, что не пишет жителям напрямую, поскольку это было бы использованием персональных данных за пределами цели по японскому закону о защите персональной информации. Смотрите в уведомлениях своего муниципалитета рекомендации для зарегистрированных.
Настоящее оповещение о катастрофе
…@raiden.ktaiwork.jp
Отправляет только информацию о катастрофах (город Сидзуока)
Замеченное поддельное письмо
〇〇@raiden.ktaiwork.jp
«Важно: просьба подтвердить использование». Выдаёт себя за карточную компанию и просит подтвердить операции по карте
↓ Блокировка отправителя останавливает оба
Что делать: не трогайте настройки и удаляйте всё, что не является информацией о катастрофах (просьбы подтвердить, ввести данные или перейти по ссылке)
Проверьте, затронуты ли вы (уведомления муниципалитетов)
Это уведомления, которые мы открыли и проверили на официальном сайте каждого муниципалитета (по состоянию на 14 октября 2026 года). Другие муниципалитеты и организации тоже сделали заявления. Если вашего муниципалитета нет в таблице, это не значит, что вы не затронуты.
Числа — собственные данные каждого муниципалитета. Они подсчитаны по-разному (люди, чьи данные точно утекли, записи, которые могли утечь, число регистраций), поэтому их нельзя складывать. В столбце статуса использованы формулировки самих муниципалитетов.
| Муниципалитет | Сервис | Число (данные муниципалитета) | Основные данные (уведомление муниципалитета) | Статус (формулировка муниципалитета) | Состояние сервиса | Дата |
|---|---|---|---|---|---|---|
| Город Сидзуока | Рассылка оповещений о катастрофах города Сидзуока | 34 336 жителей / 6 915 сотрудников города | Жители: адрес электронной почты / сотрудники: имя, табельный номер, отдел | Установлено, что утекло | Доступен как обычно после временных мер. Город сообщает, что аналогичный инцидент произошёл в его сервисе рассылки для наблюдения за людьми с деменцией | 14 окт. |
| Город Йокосука | Оповещения о катастрофах по электронной почте / факсу / телефону; рассылка по предупреждению преступности | 47 065 / 996 / 11 / 10 848 человек | Адреса электронной почты (сервисы факса и телефона: имена, номера телефонов и факсов и т. д.) | Риск утечки (числа и масштаб пока не определены) | Все четыре сервиса приостановлены. Уже подтверждён подозрительный спам | 13 окт. |
| Город Сайтама | Рассылка системы оповещения по радио / телефонный сервис информации о катастрофах | 34 783 / 73 записи | Адреса электронной почты / имена и номера телефонов | Возможно, утекло (по состоянию на 13 окт.) | Зарегистрированным сообщено и даны предупреждения через сервис | 13 окт. (первое сообщение) |
| Префектура Миядзаки | Рассылка по катастрофам и предупреждению преступности | 38 959 регистраций | Адреса электронной почты зарегистрированных и др. | Возможная утечка (проверяется, утекли ли данные пользователей префектуры и в какой степени) | Не указано | 13 окт. |
| Город Имабари | Оповещения о пожарах по электронной почте / вызов сотрудников по электронной почте / вызов добровольной пожарной дружины по электронной почте | Не указано | Электронная почта, район проживания (в городе или за его пределами), возрастная группа / имя и электронная почта сотрудника / имя и электронная почта | Возможная утечка (злоупотреблений не подтверждено) | Оповещения о пожарах по электронной почте приостановлены (дата возобновления не определена) | 13 окт. (данные дополнены 14 окт., 16:00) |
Arcadia говорит «возможно», город Сидзуока говорит «установлено»
Формулировки различаются в зависимости от того, кто сделал заявление. Arcadia говорит, что данные по сервису «могли утечь», а город Сидзуока говорит, что «установил», что данные подписчиков его оповещений о катастрофах утекли. В этой статье каждое утверждение приписано организации, которая его сделала. Надёжный способ узнать, что произошло с вашей регистрацией, — уведомление вашего муниципалитета.
Что произошло (по данным Arcadia)
Ниже изложено на основе объявления Arcadia от 13 октября 2026 года, её обновлений на той же странице до 22-го обновления в 17:55 23 октября, её уведомления об аварийном отключении, PDF двенадцатого обновления от 19 октября, а также пояснительного документа и отчёта, опубликованных вместе с 21-м обновлением 23 октября. Время — японское.
11 октября 2026, 6:26 (отчёт)
Согласно отчёту Arcadia, злоумышленник начинает обращаться к системе. В 16:39 через уязвимость медиасервера, публикующего вложения, получен файл конфигурации. Согласно отчёту, в 23:40 внутренний мониторинг системы заметил аномальную нагрузку на базу данных и обнаружил несанкционированный доступ.11 октября 2026, 16:30
В SpeeCAN RAIDEN замечена подозрительная активность, указывающая на несанкционированный доступ (объявление от 13 октября).11 октября, 23:40 (двенадцатое обновление)
Время, когда, по словам провайдера, доступ был обнаружен; отличается от времени подозрительной активности в более раннем сообщении.12 октября, около 3:00
Временная мера блокирует путь проникновения, начинается расследование масштаба. Согласно отчёту, в 9:30 изменён пароль базы данных (это нарушило интеграцию с пожарной информацией и телефонные вызовы; телефонные вызовы исправлены в 13:58), в 15:20 в Комиссию по защите персональной информации направлено предварительное сообщение, а в 17:05 обнаружено, что в административную веб-систему добавлен несанкционированный плагин.13 октября, с 1:17 до 7:16 (17-е обновление)
Вредоносная программа рассылает из системы компании 1 423 428 фишинговых писем. Согласно отчёту, они были отправлены через установленный бэкдор; это заметили в 4:10, рассылка остановлена в 7:16.13 октября
В 10:20 Arcadia объявляет в своём официальном блоге, что персональные данные могли утечь (время — по отчёту; по данным города Сайтама, около 10:30). В 11:00 она отключает сервисы, через которые произошло проникновение (raiden3.ktaiwork.jp для SpeeCAN RAIDEN и s2.ktaiwork.jp для Raiden School), и блокирует доступ с IP-адресов источника. Компания сообщает, что проверка не отключённых сервисов не выявила установленных вредоносных программ. Согласно отчёту, с 11:40 она консультируется с местной полицией и JPCERT/CC (японским координационным центром по инцидентам безопасности), в 17:00 блокирует IP-адреса источника, а в 18:00 обнаруживает следы несанкционированного доступа в базе данных NET119.13 октября
Города Йокосука, Сайтама, префектура Миядзаки, город Имабари и другие публикуют собственные уведомления.14 октября, 10:40
Arcadia публикует образец текста предупреждения для администраторов (муниципалитетов и других пользователей сервиса), чтобы они отправили его своим зарегистрированным.14 октября
Город Сидзуока объявляет, что установил утечку данных подписчиков своих оповещений о катастрофах, и предупреждает о замеченных поддельных письмах.14 октября, с 15:00 до 17:12
Arcadia добавляет, что были следы несанкционированного доступа к NET119 и 119RAIDEN и что персональные данные могли утечь. В 16:00 она уточняет, что некоторые URL 119RAIDEN (fs119.speecan.jp и 119r.speecan.jp) не затронуты. В 17:12 сообщает, что видеосообщения NET119 в настоящее время под угрозой не находятся. Теперь расследование охватывает все сервисы. (Согласно 11-му обновлению, следы по NET119 и 119RAIDEN были найдены в 8:30 14 октября при расследовании инцидента 11 октября. В отчёте сказано, что тогда следы нашли в базах данных прежнего 119RAIDEN, NET119 и внутренней подсистемы учёта, а в 22:50 в базе raiden3 нашли несколько изменённых записей. Согласно отчёту, в 11:30 обнаружили, что автоматические ответы остановились из-за смены пароля базы данных, и восстановили их в 19:50.)15 октября, 10:12
Arcadia сообщает, что направила сообщение в Комиссию по защите персональной информации и проконсультировалась или уведомила полицию, секретариаты ISMS и PrivacyMark, Бюро телекоммуникаций Кинки (Министерство внутренних дел и коммуникаций), Бюро экономики, торговли и промышленности Кинки и другие органы (7-е обновление).15 октября, около 15:00
Согласно отчёту, изменённые данные raiden3 были исправлены вручную в 9:30, а в 13:30 подтверждено, что исходный код не изменялся. raiden3 и s2 восстановлены (9-е обновление; в отчёте — 15:10, после отключения примерно на 52 часа). Arcadia сообщает, что все сервисы полностью восстановлены, путь проникновения заблокирован, вредоносных программ в системе не найдено. Компания говорит, что также устраняет уязвимости по мере необходимости и всё ещё выясняет масштаб утечки. В качестве меры предосторожности она просит всех клиентов сменить пароли для входа.16 октября, 15:30
Arcadia сообщает, что после консультации с Комиссией по защите персональной информации готовится подать от имени клиентов уведомления в Комиссию, которые каждый клиент обычно подавал бы сам (10-е обновление). Нужно согласие клиентов, компания напишет им, когда всё будет готово.16 октября, 18:10
11-е обновление повторно приводит URL, данные и числа по NET119 и 119RAIDEN и пересматривает число по NET119 (см. список ниже). Сообщается, что приостанавливать сервисы пока не планируется.19 октября, 15:58
Arcadia пишет клиентам SpeeCAN RAIDEN, NET119 и 119RAIDEN об уведомлениях в Комиссию по защите персональной информации, которые она подаст от их имени, и просит проверить и ввести данные (13-е обновление, 20 октября).20 октября, 16:47
Arcadia пишет реселлерам своих сервисов об уведомлениях в Министерство внутренних дел и коммуникаций, которые она подаст от их имени (14-е обновление, 21 октября).21 октября, 15:00
Клиентов, использующих интеграции с LINE, X или Facebook, просят настроить их заново (15-е обновление).21 октября, с 17:00 до 19:30
Функции факса, интеграции с трансляцией и вложения файлов временно ограничены для расследования и тестирования (16-е обновление). В 17:20 в 17-м обновлении указан период отправки несанкционированных писем, сообщается, что не менее 869 575 из них ушли не на адреса, которые есть у компании, и что сторонняя организация проведёт исследование даркнета. В 19:30 ограничения сняты после завершения расследования и тестирования (18-е обновление).22 октября, 10:40
Функция API-интеграции с внешними системами остановлена для расследования и тестирования (19-е обновление). Она охватывает шесть хостов: raiden.ktaiwork.jp, raiden2.ktaiwork.jp, raiden3.ktaiwork.jp, raiden2.speecan.jp, s.ktaiwork.jp и s2.ktaiwork.jp. Поскольку внешние системы подключиться не могут, сообщения приходится отправлять вручную из SpeeCAN RAIDEN.22 октября, 16:05
В рамках предотвращения повторения и усиления безопасности клиентам сообщают, что они должны использовать «двухэтапную аутентификацию при входе» (20-е обновление). Помимо имени пользователя и пароля используется код подтверждения, отправляемый на адрес электронной почты и действительный только 15 минут после отправки. Она охватывает raiden.ktaiwork.jp, raiden2.ktaiwork.jp и raiden3.ktaiwork.jp, опубликован PDF с процедурой настройки.23 октября, 17:35
21-е обновление публикует пояснительный документ и отчёт об установленных фактах, масштабе, мерах и дальнейшей политике. В основном они повторяют 2-е, 12-е и 17-е обновления; новое — число договоров по сервисам компании и заявление о том, что она не пишет жителям напрямую.23 октября, 17:55
Клиентам Raiden School (s.ktaiwork.jp и s2.ktaiwork.jp) тоже сообщают, что они должны использовать «двухэтапную аутентификацию при входе» (22-е обновление). Она работает так же, как в 20-м обновлении.
- Сервисы в охвате (13 окт.)
- raiden.ktaiwork.jp, raiden2.ktaiwork.jp, raiden3.ktaiwork.jp, raiden2.speecan.jp, s.ktaiwork.jp, s2.ktaiwork.jp
- Данные (13 окт.)
- Имена контактов, адреса электронной почты, номера телефонов и факсов / сведения о сотрудниках и договорах / содержание текстов сообщений, хранящихся в истории
- Максимальные числа (13 окт.)
- Около 3 136 000 адресов электронной почты, около 105 000 номеров телефонов, около 15 000 номеров факсов. Названы «лишь оценками», расследование продолжается
- NET119 (11-е обновление, 16 окт.)
- URL в охвате: net119.speecan.jp и net119fd.speecan.jp. Имена пользователей, даты рождения, пол, адреса, номера телефонов, адреса электронной почты, номера факсов и информация, введённая при регистрации в других сервисах: «указанные выше персональные данные, связанные с 9 020 адресами электронной почты». Arcadia подтвердила, что особо охраняемые персональные данные не утекли. Она планирует индивидуально сообщить каждой пожарной службе, какие адреса электронной почты могли утечь
- 119RAIDEN (11-е обновление, 16 окт.)
- URL в охвате: только fs119.ktaiwork.jp. Имена контактов, адреса электронной почты, номера телефонов и факсов, сведения о сотрудниках и договорах. Около 97000 адресов электронной почты, около 17000 номеров телефонов, около 400 номеров факсов
- Не входят
- Данные кредитных карт и другие платёжные данные (не обрабатываются). Видеосообщения NET119 (в настоящее время под угрозой не находятся)
- Причина (12-е обновление, повторена в отчёте от 23 окт.)
- Файл конфигурации получен через обход каталогов (уязвимость, позволяющая читать файлы, которые не должны быть видны) на медиасервере, публикующем вложения, и утёк секретный ключ, используемый для входа между сервисами. Злоумышленник вошёл, перебирая идентификаторы учётных записей, и получил внутреннюю информацию. Несанкционированные письма отправлены через установленный бэкдор
- Масштаб (отчёт)
- Все сервисы входят в круг возможной утечки. Следы найдены также в базах данных NET119, 119RAIDEN и внутренней подсистемы учёта. Часть данных в базе raiden3 была изменена и исправлена 15 октября. Количество записей, которые могли утечь, всё ещё выясняется; из них 9 020 — по NET119 (только персональные данные, связанные с адресами электронной почты, без медицинской истории и подобного)
- Проверки безопасности (отчёт, внутреннее расследование)
- Arcadia сообщает, что подтвердила: уязвимость устранена, вредоносного исходного кода нет, базы данных в порядке, проблем в файлах конфигурации и запланированных заданиях нет, и на этом основании возобновляет работу сервисов. Детальное расследование заказано у сторонней организации по безопасности
- Меры по предотвращению повторения (отчёт)
- Выполнено: оценка уязвимостей и обзор кода всех сервисов с помощью LLM (большой языковой модели), используемой только внутри компании; пересмотр способа внутреннего доступа к базе данных, отдельный пароль для каждого сервиса; усиление автоматического мониторинга (в процессе). Запланировано: оценка уязвимостей внешней компанией, усиление контроля, например двухэтапная аутентификация для доступа к базе данных, рассмотрение SOC (центра управления безопасностью), поочерёдный пересмотр файлов конфигурации интеграций с социальными сетями, приложением оповещений о катастрофах и областной рассылкой и тестирование систем оповещения по радио вместе с их производителями, дальнейшее расследование несанкционированных писем и подача заявления об ущербе в полицию на основе журналов доступа
- Договоры (пояснительный документ от 23 октября)
- По состоянию на конец сентября 2026 года: государственные органы 875 (в качестве разбивки указаны муниципалитеты 715, пожарные службы 312 и полицейские участки 22; сумма отличается от 875), компании и другие 242, школы 584. Это договоры по всем сервисам компании; не указано, что это число затронутых договоров
- Сервисы
- raiden3 и s2 отключены с 11:00 13 октября и восстановлены около 15:00 15 октября. Всех клиентов в качестве меры предосторожности попросили сменить пароли для входа. NET119 и 119RAIDEN: приостанавливать не планируется; можно пользоваться как обычно
- Несанкционированные письма (17-е обновление, 21 октября)
- Отправлены из системы компании вредоносной программой с 1:17 до 7:16 13 октября. Фишинговое содержание, всего 1 423 428, из них не менее 869 575 ушли не на адреса электронной почты, которые есть у компании. Сторонняя организация проведёт исследование даркнета, результаты будут сообщены позже
- Уведомления
- Сообщение направлено в Комиссию по защите персональной информации, проведены консультации или направлены уведомления в полицию и другие органы. 19 октября клиентам отправлено письмо о подаче уведомления в Комиссию от их имени, 20 октября реселлерам — о подаче уведомления в Министерство внутренних дел и коммуникаций от их имени
- Интеграции с внешними сервисами (15-е обновление, 21 октября)
- Клиентам, использующим интеграции с LINE (все друзья, сегментная рассылка), X или Facebook, нужно настроить их заново. Для LINE информация, используемая для интеграции (секрет канала), выдаётся заново и снова сохраняется в RAIDEN. Клиентам, которые передают данные интеграции другим поставщикам, нужно передать новые данные
- Ограничения функций (21 октября)
- Факс, интеграция с трансляцией и вложения файлов ограничены с 17:00 для расследования и тестирования; сняты в 19:30
- Двухэтапная аутентификация при входе (20-е обновление, 22 окт.)
- Клиентам raiden.ktaiwork.jp, raiden2.ktaiwork.jp и raiden3.ktaiwork.jp сообщено, что они должны её использовать. Помимо имени пользователя и пароля используется код подтверждения, отправляемый на адрес электронной почты и действительный только 15 минут после отправки
Число по NET119: «около 13000» в 4-м обновлении стало данными, «связанными с 9 020 адресами электронной почты» в 11-м
В 4-м обновлении Arcadia от 14 октября в таблице с отдельным столбцом для каждого сервиса «максимальное число записей персональных данных, которые могли утечь» было указано как «около 13000» для NET119, а для 119RAIDEN — «адреса электронной почты: около 97000», «номера телефонов: около 17000» и «номера факсов: около 400».
В 11-м обновлении от 16 октября NET119 описан как персональные данные, «связанные с 9 020 адресами электронной почты». Числа по 119RAIDEN такие же, как в 4-м обновлении. Arcadia не объяснила, почему изменилась цифра по NET119 и как подсчитывались две цифры. Мы не пересматривали ни одно из чисел и приводим их так, как они опубликованы.
Что известно и что неизвестно
Приведённые здесь заявления провайдера охватывают период до 22-го обновления (17:55) 23 октября. Информация по отдельным муниципалитетам актуальна только на дату проверки, указанную в каждой строке; мы не проверяли, что каждый муниципалитет возобновил работу сервиса.
| Пункт | Что объявлено | Статус |
|---|---|---|
| Адреса электронной почты | До примерно 3,136 млн (оценка) | Возможно (Arcadia) |
| Номера телефонов и факсов | До примерно 105 000 / около 15 000 (оценки) | Возможно (Arcadia) |
| Имена контактов, сведения о сотрудниках и договорах | Указаны как данные в охвате. Число не названо | Возможно (Arcadia) |
| Тексты сообщений, хранящиеся в истории | Указаны как данные в охвате | Возможно (Arcadia) |
| Данные пользователей NET119 (имя, дата рождения, пол, адрес и т. д.) | Персональные данные, связанные с 9 020 адресами электронной почты (11-е обновление, 16 октября) | Возможно (Arcadia) |
| Особо охраняемые персональные данные NET119 | Подтверждено, что не утекли | Не входят (Arcadia) |
| Контакты, сведения о сотрудниках и договорах 119RAIDEN | Около 97000 адресов электронной почты, около 17000 номеров телефонов, около 400 номеров факсов (11-е обновление, 16 октября) | Возможно (Arcadia) |
| Изменение числа по NET119 | 4-е обновление: до около 13000; 11-е обновление: персональные данные, связанные с 9 020 адресами электронной почты. Изменение не объяснено | Не указано |
| Видеосообщения NET119 | В настоящее время под угрозой не находятся | Не входят (Arcadia) |
| Данные кредитных карт и другие платёжные данные | Не обрабатываются, поэтому не входят в утечку | Не входят (Arcadia) |
| Пароли | В объявлении не упоминаются | Не указано |
| Данные подписчиков оповещений о катастрофах города Сидзуока | Адреса электронной почты 34 336 жителей; имена, табельные номера и отделы 6 915 сотрудников города | Утечка подтверждена (город Сидзуока) |
| Числа по муниципалитетам или организациям | Arcadia не приводит. Каждый муниципалитет публикует свои | Выясняется |
| Причина | Файл конфигурации получен через уязвимость медиасервера, публикующего вложения, утёк секретный ключ для входа между сервисами, идентификаторы учётных записей перебирались (12-е обновление, отчёт от 23 октября) | Раскрыто (Arcadia) |
| Масштаб утечки | Все сервисы входят в круг возможной утечки; количество всё ещё выясняется (отчёт от 23 октября) | Выясняется |
| Изменённые данные | Часть данных в базе raiden3 изменена и исправлена 15 октября; исходный код не изменялся (отчёт) | Подтверждено (Arcadia) |
| Детальное расследование третьей стороной | Заказано у сторонней организации по безопасности (отчёт) | Выясняется |
| Прямая связь с жителями | Arcadia не пишет жителям напрямую, так как это было бы использованием за пределами цели по закону о защите персональной информации (пояснительный документ от 23 октября) | Подтверждено (Arcadia) |
| Возобновление | raiden3 и s2 восстановлены около 15:00 15 октября. Arcadia сообщает, что все сервисы полностью восстановлены | Подтверждено (Arcadia) |
| Куда ушли несанкционированные письма | Из 1 423 428 не менее 869 575 ушли не на адреса электронной почты, которые есть у компании (17-е обновление) | Раскрыто (Arcadia) |
| Исследование даркнета | Будет проведено сторонней организацией, результаты будут сообщены позже (17-е обновление) | Запланировано (Arcadia) |
| Уведомление в Комиссию по защите персональной информации | Arcadia сообщила. 19 октября клиентам отправлено письмо о подаче от их имени с просьбой проверить и ввести данные | В процессе (Arcadia) |
| Уведомление в Министерство внутренних дел и коммуникаций | 20 октября реселлерам отправлено письмо о подаче от их имени | В процессе (Arcadia) |
| Интеграции с LINE, X и Facebook | Использующим их клиентам нужно настроить их заново (15-е обновление) | Требуются действия клиентов |
| Двухэтапная аутентификация при входе | Клиенты raiden, raiden2 и raiden3 (20-е обновление) и Raiden School s и s2 (22-е обновление) должны её настроить | Требуются действия клиентов |
Для чего можно использовать утёкшие данные
В целом следующие сочетания данных могут быть использованы во вред так, как описано ниже. Это не означает, что так произошло в данном случае (поддельные письма, которые действительно были замечены, описаны выше).
- Адрес электронной почты плюс тип оповещений, на которые человек подписан: знание того, что человек подписан на оповещения о катастрофах, облегчает отправку поддельных писем от имени муниципалитета или о катастрофах, например о поддельных выплатах помощи или уведомлениях об убежищах
- Имя плюс номер телефона или факса: поддельные звонки или факсы от имени муниципалитета или пожарной службы
- Тексты сообщений, хранящиеся в истории: копирование формулировок настоящих уведомлений для создания убедительных подделок
- Имя плюс дата рождения плюс адрес (пользователи NET119): материал для обращений, которые под видом проверки личности пытаются выманить дополнительные сведения
Письма, выглядящие как от настоящего отправителя, — не уникальная особенность этого случая. Почему показанный отправитель не доказывает подлинность, объясняется в статье Спам с вашего собственного адреса электронной почты.
Наш взгляд: оповещения о катастрофах нельзя отключить, поэтому оценивайте их по содержанию, а не по отправителю
Обычная защита от поддельных писем — отклонять подозрительных отправителей, но для оповещений о катастрофах это не работает, потому что отклонение останавливает и сообщения, которые нужны вам при катастрофе.
Работает другое — правило, названное городом Сидзуока: с этого адреса отправляется только информация о катастрофах. Информацию о катастрофах просто читают; она никогда не требует подтверждать данные карты или вводить сведения на странице по ссылке. Если отправитель оповещений о катастрофах просит что-то подтвердить или ввести, это подделка, даже если отправитель выглядит точно так же.
Что должны пересмотреть муниципалитеты и организации, передающие массовые рассылки внешнему сервису
12-е обновление и отчёт от 23 октября объясняют причину; в этом разделе безопасность провайдера не оценивается. Здесь изложено, что организации, использующие внешний сервис для массовой рассылки сообщений жителям, как рассылка оповещений о катастрофах, могут проверить на своей стороне, исходя из опубликованной последовательности событий и затронутых данных. Как составить перечень данных, которые вы передаёте почтовому провайдеру, описано в статье об утечке адресов электронной почты JR East, View Card и JR Kyushu, поэтому этот раздел посвящён пунктам, специфичным для данного случая.
Определите, как выглядят настоящие сообщения, в форме, о которой можно сообщить жителям
Город Сидзуока объясняет, что в поддельных письмах использовался тот же домен, что и в настоящих. Когда отправитель не позволяет жителям понять, какое сообщение настоящее, их защищает чёткое правило о том, что содержат настоящие сообщения.
Город Сидзуока сообщил жителям, что отправляет с @raiden.ktaiwork.jp только информацию о катастрофах. Если вы заранее решите, что оповещения о катастрофах никогда не просят подтверждать карты или банковские счета и вводить данные на странице по ссылке, и укажете это в руководстве по регистрации, то в день инцидента сможете выпустить такое же предупреждение.
Смените пароль администратора и настройте двухэтапную аутентификацию при входе (муниципалитеты, организации и школы, использующие SpeeCAN RAIDEN или Raiden School)
15 октября, когда были восстановлены приостановленные серверы, Arcadia в качестве меры предосторожности попросила всех клиентов сменить пароли для входа перед использованием сервиса. Компания сообщает: войдите в RAIDEN, откройте экран администратора, перейдите в «Настройки», затем «Учётные записи для входа», выберите учётную запись и смените пароль.
В 20-м обновлении 22 октября в рамках предотвращения повторения и усиления безопасности компания сообщает, что клиенты должны использовать «двухэтапную аутентификацию при входе». Помимо имени пользователя и пароля используется код подтверждения, отправляемый на адрес электронной почты и действительный только 15 минут после отправки. Согласно руководству по настройке, и администраторы, и обычные пользователи входят в систему, переходят в «Учётная запись > Настройки адреса электронной почты», регистрируют адрес, на который будет приходить код, подтверждают его кодом, а затем включают «использовать двухэтапную аутентификацию с этим адресом при входе». URL входа в охвате: raiden.ktaiwork.jp, raiden2.ktaiwork.jp и raiden3.ktaiwork.jp. В 22-м обновлении 23 октября компания сообщила клиентам Raiden School (s.ktaiwork.jp и s2.ktaiwork.jp), что они тоже должны использовать такую же «двухэтапную аутентификацию при входе». Настройка выполняется по PDF компании с процедурой настройки.
Зарегистрируйте адрес, на который сотрудник по-прежнему сможет получать почту на работе. Если одной учётной записью администратора пользуются несколько сотрудников, также проверьте, кто ею пользуется и кто получает код.
Если вы используете интеграции с LINE, X или Facebook, настройте их заново (муниципалитеты и организации, использующие сервис)
В 15-м обновлении 21 октября Arcadia попросила клиентов, использующих интеграции с LINE (все друзья, сегментная рассылка), X или Facebook, настроить их заново. Для LINE заново выпустите информацию, используемую для интеграции (секрет канала), в административной консоли LINE и снова сохраните её в разделе «Расширенные настройки» на экране администратора RAIDEN. Для X и Facebook повторите привязку на том же экране «Расширенные настройки».
Согласно PDF-руководству компании, если на вкладке LINE в разделе «Расширенные настройки» два поля ввода, следуйте шагам для «всех друзей»; если пять — шагам для «сегментной рассылки»; если вкладки LINE нет, ничего делать не нужно. Если вы передаёте данные интеграции другому поставщику, интеграция этого поставщика перестанет работать, поэтому нужно будет передать ему новые данные. Полные шаги смотрите в официальном блоге компании.
Проверьте письма о подаче уведомлений от вашего имени и заполните данные (клиенты и реселлеры)
Arcadia сообщает, что после консультации с Комиссией по защите персональной информации подаст уведомления, которые каждый клиент обычно подавал бы сам. Компания говорит, что 19 октября написала клиентам, а 20 октября реселлерам — об уведомлении в Министерство внутренних дел и коммуникаций, и попросила проверить данные и ввести необходимую информацию. Если вы не получили письмо или не уверены, смотрите инструкции и контакт в официальном блоге компании.
Всегда включайте в предупреждение «не блокируйте отправителя»
В общих советах о поддельных письмах часто говорится «блокируйте подозрительных отправителей», но если жители сделают это с оповещениями о катастрофах, настоящая информация о катастрофах тоже перестанет приходить. Предупреждение города Сидзуока прямо об этом говорит. 14 октября Arcadia опубликовала образец текста предупреждения, который администраторы могут отправить зарегистрированным. Если вы используете такой шаблон, проверьте, нужно ли для ваших оповещений добавить «пожалуйста, не блокируйте этого отправителя».
Заранее сообщите зарегистрированным, как вы свяжетесь с ними, если оповещения прекратятся
Город Йокосука приостановил четыре сервиса оповещений и сообщает, что в это время будет публиковать информацию на своём сайте, в официальных социальных сетях (X, LINE и других) и через наружные громкоговорители системы оповещения о катастрофах. Город Имабари указывает телефонную линию пожарной информации, пока приостановлена рассылка оповещений о пожарах. Связь при катастрофах не может просто прекратиться, поэтому заранее сообщайте зарегистрированным, какие запасные каналы существуют.
Не включайте персональные данные в текст сообщений и задайте срок хранения истории
Arcadia относит «содержание текстов сообщений, хранящихся в истории» к данным, которые могли утечь. Если текст отправляемых вами сообщений остаётся у провайдера, то имена или номера телефонов в сообщениях для вызова сотрудников или в индивидуальных уведомлениях тоже могут утечь. Проверьте два момента: не включайте в текст сообщений данные, позволяющие установить личность, и задайте в договоре срок хранения истории у провайдера.
Рассматривайте вопросы жителей как ранний сигнал
По словам города Сайтама, житель обратился с вопросом о подозрительном письме в 12:50 13 октября, а через две минуты город связался с провайдером и узнал о несанкционированном доступе. Город Йокосука тоже сообщает, что проверил ситуацию после обращений зарегистрированных по поводу подозрительных писем. Убедитесь, что служба, принимающая звонок «я получил странное письмо», может быстро связать его с отделом, отвечающим за оповещения, и с провайдером.
О том, как клиентам подготовиться к инциденту у их провайдера, рассказано в статье Когда взломан ваш веб-хостинг-провайдер, а ещё один случай, когда взлом одного сервиса затронул множество организаций-клиентов, — несанкционированный доступ к Commune.
Источники (общедоступные сведения)
Факты в этой статье основаны на приведённой ниже общедоступной информации. Мы не строим предположений о способах несанкционированного доступа, которые не были раскрыты. Перечислены только муниципальные уведомления, которые мы открыли и проверили на официальных страницах.
-
Arcadia Inc., «不正アクセスに伴う一連の対応について、他» (Наши действия в связи с несанкционированным доступом и другие уведомления), обновлено 22 октября 2026 года (переименовано из уведомления от 13 октября «SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について»; подробности на странице ниже) — arcadia.co.jp
-
Arcadia Inc., подробная страница «弊社サービスへの不正アクセスに伴う一連の対応について» (Наши действия в связи с несанкционированным доступом к нашим сервисам; опубликована 13 октября 2026 года, обновлена до 22-го обновления в 17:55 23 октября; первоначальное название «SpeeCAN RAIDENへの不正アクセスによる個人情報漏洩の可能性について») — raiden.site.ktaiwork.jp
-
Arcadia Inc., процедура настройки двухэтапной аутентификации при входе (приложена к 20-му обновлению, на японском) — официальный PDF
-
Arcadia Inc., руководство по проверке интеграций LINE «все друзья» и сегментной рассылки (21 октября 2026 года, приложено к 15-му обновлению, на японском) — официальный PDF
-
Arcadia Inc., «不正アクセスに伴う一部サービスの緊急停止について» (Об аварийном отключении некоторых сервисов из-за несанкционированного доступа), 13 октября 2026 года (прежний URL источника при проверке 20 октября 2026 года вернул HTTP 404)
-
Город Сидзуока, «【不審なメールにご注意ください】災害時の情報収集への備え» (Остерегайтесь подозрительных писем: подготовка к получению информации при катастрофе), обновлено 14 октября 2026 года — city.shizuoka.lg.jp
-
Город Йокосука, уведомление о риске утечки персональных данных в его рассылках информации о катастрофах и предупреждения преступности, 13 октября 2026 года — city.yokosuka.kanagawa.jp
-
Город Сайтама, уведомление о возможной утечке персональных данных из-за несанкционированного доступа к его системе информации о катастрофах (первое сообщение), 13 октября 2026 года — city.saitama.lg.jp
-
Префектура Миядзаки, уведомление о возможной утечке адресов электронной почты в её рассылке по катастрофам и предупреждению преступности, 13 октября 2026 года — pref.miyazaki.lg.jp
-
Город Имабари, уведомление о возможной утечке персональных данных из-за несанкционированного доступа к оператору его системы рассылки информации, 13 октября 2026 года (данные дополнены 14 октября) — city.imabari.ehime.jp
-
Провайдер, «Отчёт о несанкционированном доступе и наших действиях» (19 октября 2026 года, двенадцатое обновление) — официальный PDF
-
Arcadia Inc., пояснительный документ «【説明資料】不正アクセスによる個人情報漏えいの可能性に関して» (О возможной утечке персональных данных из-за несанкционированного доступа; 23 октября 2026 года, приложен к 21-му обновлению, на японском) — официальный PDF
-
Arcadia Inc., отчёт «【報告書】不正アクセスによる個人情報漏えいの可能性に関して» (23 октября 2026 года, приложен к 21-му обновлению, на японском) — официальный PDF
История обновлений
2026-10-24: Учтены пояснительный документ и отчёт из 21-го обновления Arcadia (17:35 23 октября) и её 22-е обновление (17:55 того же дня). Из отчёта добавлены причина (файл конфигурации, полученный через уязвимость медиасервера, утёкший секретный ключ для входа между сервисами и перебор идентификаторов учётных записей), то, что все сервисы входят в круг возможной утечки, изменённые данные и их исправление, внутренние проверки безопасности, заказ расследования у третьей стороны, меры по предотвращению повторения, число договоров по сервисам компании и заявление о том, что она не пишет жителям напрямую, а также дополнены времена в хронологии. В шаги для операторов добавлено, что клиенты Raiden School (s и s2) тоже должны использовать двухэтапную аутентификацию при входе. Число (до примерно 3,136 млн, оценка) и формулировка «могли утечь» не изменились, поэтому заголовок и вывод остались прежними. Подробности маршрута атаки, такие как имена файлов и пути, не приводятся. Даты проверки по муниципалитетам не изменились.
2026-10-23: Учтено 20-е обновление Arcadia (16:05 22 октября). В хронологию, шаги для операторов и источники добавлено, что клиенты должны использовать двухэтапную аутентификацию при входе (код действителен 15 минут; охватывает raiden, raiden2 и raiden3). Уведомление компании от 22 октября об уязвимостях PHP не связано с этим инцидентом, поэтому не включено, а запланированное отключение для обновления сервера, впервые объявленное 28 сентября (21 октября перенесено на 13:30–14:30 4 ноября, для raiden.ktaiwork.jp), — уведомление о плановых работах, поэтому тоже не включено. Даты проверки по муниципалитетам не изменились.
2026-10-22: Учтены 13-е–18-е обновления Arcadia (20–21 октября). Добавлены период отправки 1 423 428 несанкционированных писем (с 1:17 до 7:16 13 октября), вывод о том, что не менее 869 575 ушли не на адреса, которые есть у компании, запланированное сторонней организацией исследование даркнета, письма о подаче уведомлений от имени клиентов в Комиссию по защите персональной информации и в Министерство внутренних дел и коммуникаций, просьба заново настроить интеграции с LINE, X и Facebook, а также временные ограничения функций 21 октября и их снятие. Названия источников обновлены в соответствии с переименованием компании. Затем учтено 19-е обновление (10:40 22 октября) и добавлена остановка функции API-интеграции с внешними системами. Даты проверки по муниципалитетам не изменились.
21 октября 2026 года: Проверен ранее имевшийся PDF двенадцатого обновления. Добавлены его объяснение причины, время обнаружения, число писем и запланированное независимое расследование без шагов атаки. Даты проверки по муниципалитетам не изменились.
2026-10-17: Учтены 7-е–11-е обновления Arcadia (15–16 октября). Разделены охват и числа по NET119 (персональные данные, связанные с 9 020 адресами электронной почты; особо охраняемые персональные данные не утекли) и 119RAIDEN (около 97000 адресов электронной почты и другое), добавлены восстановление raiden3 и s2 15 октября, просьба к клиентам сменить пароли, сообщения в органы власти и запланированная подача уведомления в Комиссию по защите персональной информации от имени клиентов. Исправление: в первой версии таблица из обновления от 14 октября была прочитана неверно и утверждалось, что совокупный максимум «около 13000» для NET119 и 119RAIDEN противоречит «около 97000» адресов электронной почты. В действительности в таблице «около 13000» — число по NET119, а «около 97000» и остальные числа относятся к 119RAIDEN, так что противоречия не было. Предупреждающий блок теперь объясняет, что число по NET119 изменилось в 11-м обновлении. Обновлены названия источников, которые изменила Arcadia. Муниципальная таблица по-прежнему отражает проверку 14 октября.
2026-10-14: Первая версия. Основана на объявлении Arcadia от 13 октября и её обновлениях на той же странице до 17:12 14 октября, а также на пяти муниципальных уведомлениях. Мы обновим статью, когда будут объявлены числа по муниципалитетам, причина или возобновление приостановленных сервисов.
Читайте также
- Другой инцидент у провайдера рассылки электронной почты: Несанкционированный доступ к сервису рассылки электронной почты blastmail
- Как распознавать поддельные сообщения: Что такое фишинг / Спам с вашего собственного адреса электронной почты
- Похожие случаи: Утечка адресов электронной почты JR East, View Card и JR Kyushu / Несанкционированный доступ к Commune / Несанкционированный доступ к сервису рассылки электронной почты Cuenote FC компании Ymirlink
- Другие инциденты 2026 года: Список утечек данных и кибератак