Kebocoran Data Berpotensi di Jepun Melebihi 165 Juta Rekod Ketika Syarikat Mendedahkan Pencerobohan Lebih Meluas

Jutaan rekod terdedah merentas perkhidmatan harian

Maklumat peribadi yang berpotensi bocor akibat akses tanpa kebenaran di Jepun sepanjang 2026 melebihi 165 juta rekod, menurut kiraan syarikat keselamatan Macnica. Pendedahan itu merangkumi perkhidmatan perjalanan kereta api, beli-belah, karaoke, perisian, penghantaran bungkusan dan perkongsian kereta, termasuk maklumat milik mereka yang telah menutup akaun.

Sourcenext sahaja mengumumkan pada 15 Oktober bahawa 22,519,960 rekod pelanggan mungkin telah bocor. Adventure, yang mengendalikan laman tempahan pelancongan Skyticket, mendedahkan kemungkinan pencerobohan yang melibatkan kira-kira 14.64 juta rekod. Yamato Transport kemudian mengenal pasti 5.31 juta rekod terjejas yang dikaitkan dengan perkhidmatan bayaran tertangguhnya.

Angka 165 juta itu mengira jumlah maklumat peribadi merentas insiden. Oleh itu, seseorang yang maklumatnya terdapat dalam beberapa perkhidmatan terjejas mungkin dikira lebih daripada sekali. Jumlah itu juga merangkumi kemungkinan kebocoran, selain pendedahan yang syarikat telah mengenal pasti maklumat terjejas.

Siasatan Macnica yang lebih terperinci terhadap corak tertentu pencerobohan laman web mendapati 119 pendedahan awam setakat 6 Oktober, sudah melebihi 84 yang direkodkan sepanjang 2025. Daripada 119 pendedahan itu, 81 berlaku sejak Julai.

Agensi Promosi Teknologi Maklumat Jepun, yang dikenali sebagai IPA, mengeluarkan amaran segera pada 9 Oktober, menggesa pemimpin syarikat memeriksa perkhidmatan internet, akaun dan data tersimpan. Nasihatnya menghubungkan dua tugas segera: mengesan penceroboh dan mengurangkan jumlah maklumat peribadi yang boleh dicuri.

Bagi pelanggan, kesannya bergantung pada maklumat yang disimpan oleh setiap perkhidmatan. Sesetengah pangkalan data terjejas mengandungi butiran hubungan. Yang lain mungkin merangkumi kata laluan, maklumat kad kredit atau imej dokumen pengenalan diri. Pendedahan itu juga menunjukkan bagaimana serangan terhadap kontraktor boleh menjejaskan pelanggan beberapa perniagaan serentak.

Perkara yang dikira Macnica dan sebab peningkatan itu penting

Analisis pencerobohan laman web Macnica meneliti 265 insiden yang didedahkan kepada umum dan melibatkan organisasi domestik antara Januari 2024 hingga 6 Oktober 2026. Kiraan tahunannya meningkat daripada 62 pada 2024 kepada 84 pada 2025 dan 119 dalam tempoh 2026 yang belum lengkap.

Kiraan 2026 sudah 35 insiden, atau kira-kira 42%, lebih tinggi berbanding tahun sebelumnya yang lengkap. Sebanyak 81 pendedahan sejak Julai merangkumi kira-kira 68% daripada jumlah tahun itu dan kira-kira 31% daripada keseluruhan 265 insiden yang diteliti.

Yutaka Sejiyama dari Pusat Penyelidikan Keselamatan Macnica menyediakan analisis pendedahan awam itu, manakala analisis serangan disumbangkan oleh Motohiko Sato dari Itochu Cyber & Intelligence dan Yosuke Hasegawa, ketua pegawai teknologi Secure Sky Technology.

Para penyelidik memilih insiden yang pada penilaian mereka mempunyai ciri serupa. Set data mereka tidak merangkumi perisian tebusan dan corak serangan tertentu yang lain, termasuk cubaan memasuki akaun pelanggan menggunakan kata laluan yang dicuri daripada perkhidmatan tidak berkaitan. Apabila beberapa pelanggan mendedahkan kerugian akibat satu insiden di kontraktor yang sama, para penyelidik mengira insiden kontraktor itu sekali sahaja.

Pendedahan syarikat yang lebih luas seperti dihuraikan di bawah turut merangkumi insiden perisian tebusan. Oleh itu, pembaca perlu membezakan dua ukuran: jumlah maklumat pelanggan yang berpotensi terdedah dan bilangan insiden laman web terpilih yang dijejaki dalam siasatan teknikal Macnica.

Syarikat manakah melaporkan pendedahan terbesar?

Sourcenext berkata maklumat yang berpotensi terjejas termasuk nama, alamat, nombor telefon, tempat kerja, alamat e-mel dan kata laluan. Syarikat perisian itu mengesan akses tanpa kebenaran kepada sistem maklumat keahliannya pada 13 Oktober dan mengumumkan kemungkinan pendedahan itu dua hari kemudian.

Adventure melaporkan serangan terhadap pelayannya dan sistem pengurusan perniagaan Skyticket, yang berpotensi menjejaskan kira-kira 14.64 juta rekod maklumat peribadi. Syarikat itu berkata nombor kad kredit dan pasport tidak bocor.

Daiichikosho, pengendali rangkaian karaoke Big Echo, berkata kira-kira 8.72 juta rekod peribadi mungkin telah terdedah melalui sistem yang diuruskan kontraktor luar. Insiden itu melibatkan perisian hasad di syarikat penyumberan luar berkenaan.

JR East berkata kira-kira 6.09 juta akaun pelanggan mungkin telah diceroboh, manakala JR Kyushu menganggarkan kemungkinan pendedahan sekitar 1.3 juta akaun. Kedua-dua syarikat mengaitkan pencerobohan itu dengan serangan perisian tebusan terhadap IDC Frontier, anak syarikat perkhidmatan awan SoftBank. Jumlah yang didedahkan kedua-duanya ialah kira-kira 7.39 juta akaun.

Bookoff Group Holdings pada mulanya mendedahkan kemungkinan pendedahan yang menjejaskan sehingga 6.43 juta pelanggan selepas akses tanpa kebenaran berlaku di anak syarikatnya yang mengurus data keahlian. Huraian kemudian menyatakan maklumat kira-kira 6.38 juta orang telah bocor, termasuk sekitar 210,000 bekas ahli.

Lawson melaporkan akses tanpa kebenaran kepada lebih 2.15 juta rekod pelanggan, yang mungkin merangkumi nama, alamat e-mel dan maklumat kad kredit. Uzabase, pengendali NewsPicks, berkata sebahagian maklumat pengguna mungkin terdedah akibat akses tanpa kebenaran kepada alat pengurusan.

Lawson, Daiichikosho dan Uzabase berkata mereka tidak mengesahkan sebarang penggunaan haram ketika pengumuman dibuat. Pengendali kereta api, Bookoff dan Adventure juga melaporkan tiada bukti penyalahgunaan oleh pihak ketiga, serta menggesa pelanggan berwaspada terhadap e-mel dan panggilan telefon yang mencurigakan.

Rekod penghantaran, alat pembangunan dan sekolah turut terjejas

Yamato Transport berkata pada 16 Oktober bahawa 5.31 juta rekod maklumat peribadi milik sesetengah pengguna perkhidmatan bayaran tertangguhnya telah diceroboh. Syarikat itu mula-mula mengumumkan pencerobohan tersebut pada 29 September.

Maklumat terjejas termasuk nama, alamat dan nombor telefon yang dikumpulkan sejak 1 Oktober 2018, iaitu dalam tempoh kira-kira lapan tahun. Tempoh pengumpulan yang panjang itu menunjukkan bagaimana satu pencerobohan boleh mendedahkan maklumat yang terkumpul daripada aktiviti pelanggan selama bertahun-tahun.

Nikkei Inc. mendedahkan kira-kira 1.83 juta rekod yang diceroboh, termasuk nama, alamat dan alamat e-mel, susulan akses tanpa kebenaran kepada perkhidmatan awan yang digunakan untuk pembangunan sistem. Perkhidmatan pembangunan digunakan untuk membina atau menyelenggara perisian, sekali gus meletakkan satu lagi bahagian persekitaran teknologi syarikat dalam jangkauan penyerang.

Kementerian pendidikan Jepun juga berkata lapan sekolah, kebanyakannya universiti, melaporkan pencerobohan dari akhir September hingga Khamis sebelum pendedahan terkini. Siasatan Macnica mengenal pasti perkhidmatan terjejas yang pelbagai, termasuk carian katalog perpustakaan, tempahan kereta api pelancongan, tempahan penginapan universiti dan pengurusan bayaran balik tiket.

Bagaimana pendedahan itu berlaku

Beberapa insiden diketahui umum dalam tempoh beberapa minggu antara satu sama lain, sementara siasatan diteruskan untuk menentukan jumlah maklumat yang terlibat. Kronologi Sourcenext memberikan masa yang amat tepat bagi pencerobohan dan tindak balas syarikat itu.

• 29 September: Yamato Transport mula-mula mengumumkan pencerobohannya. Park24 mendedahkan pencerobohan data perkongsian keretanya pada akhir September.
• 6 Oktober: Tarikh pemotongan data penyelidikan Macnica merekodkan 119 pendedahan terpilih mengenai pencerobohan laman web sepanjang 2026.
• 8 Oktober: Macnica menambah rujukan kepada amaran berkaitan daripada JPCERT/CC, organisasi tindak balas insiden keselamatan komputer Jepun.
• 9 Oktober: IPA mengeluarkan nasihat pemeriksaan segera. JR East, Bookoff, Daiichikosho dan Adventure antara syarikat yang pendedahannya diketahui umum pada hari itu. Sourcenext kemudian mengesan permulaan pencerobohan sekitar 10 pagi pada 9 Oktober.
• 13 Oktober: Sourcenext mengesan akses tanpa kebenaran sekitar 9 pagi dan mengambil langkah kecemasan untuk menyekatnya menjelang petang.
• 15 Oktober: Sourcenext mengumumkan kemungkinan pendedahan 22,519,960 rekod.
• 16 Oktober: Yamato memperincikan 5.31 juta rekod terjejasnya, Nikkei mendedahkan pencerobohannya, dan Park24 mengumumkan rancangan untuk menyelesaikan pemadaman imej dokumen pengenalan diri menjelang akhir Oktober.

Kronologi Sourcenext menunjukkan akses tanpa kebenaran bermula hampir empat hari sebelum dikesan. Arahan IPA supaya aktiviti terkini diperiksa dahulu sebelum carian diperluas ke tempoh lebih awal menangani keperluan tepat untuk membina semula kejadian sebelum amaran dikeluarkan.

Penyerang mencari kelemahan di seluruh perkhidmatan

Analisis teknikal Macnica menerangkan bagaimana penyerang memeriksa laman web individu dan antara muka pengaturcaraan aplikasi, atau API, laman tersebut. API ialah saluran yang digunakan aplikasi atau laman web untuk meminta maklumat daripada sistem lain atau menyuruhnya melaksanakan tugas.

Penyiasat memerhatikan kelemahan seperti API yang memulangkan lebih banyak maklumat daripada yang diperlukan, fungsi dengan kebenaran berlebihan dan ciri untuk ahli yang boleh diakses oleh pelawat tanpa nama. Masalah lain melibatkan sesi log masuk, peraturan pemprosesan dan tetapan akses.

Sesetengah penyerang memeriksa aplikasi mudah alih untuk mendapatkan kunci API, iaitu kelayakan yang digunakan ketika berkomunikasi dengan perkhidmatan. Mereka kemudian menggunakan kunci tersebut untuk membuat permintaan yang menyerupai trafik biasa. Para penyelidik turut memerhatikan kata laluan pentadbir yang lemah dan eksploitasi kelemahan perisian yang diketahui.

Cabaran praktikalnya lebih luas daripada memasang satu kemas kini perisian. Sesuatu perkhidmatan mungkin memerlukan pemeriksaan tersendiri bagi memastikan pelayan mengesahkan siapa yang membuat permintaan dan rekod mana yang dibenarkan untuk diterima individu itu. Alat pentadbiran yang mengeksport sejumlah besar maklumat juga perlu diberi perhatian rapi.

Kebanyakan pendedahan tidak memperincikan punca

Daripada 81 insiden terpilih yang didedahkan sejak Julai, Macnica mengelaskan sembilan sebagai melibatkan kelemahan dalam produk perisian atau alat berkaitan, empat sebagai melibatkan penyalahgunaan kelayakan atau serangan kata laluan, dan tiga sebagai berpunca daripada tetapan laman atau kegagalan kawalan akses.

Baki 65 pendedahan, kira-kira 80.2%, mengandungi terlalu sedikit penjelasan untuk menentukan puncanya. Ini menyebabkan organisasi lain mempunyai maklumat terhad tentang kelemahan yang perlu dicari dalam sistem masing-masing.

Sesetengah pengumuman menerangkan tindakan penceroboh selepas mendapat akses. Sebelas insiden melibatkan pemasangan atau pelaksanaan program tanpa kebenaran, sembilan melibatkan pengambilan atau paparan maklumat melalui API atau pangkalan data, dan enam melibatkan penciptaan akaun atau kunci pengesahan tanpa kebenaran. Kategori ini bertindih kerana satu insiden mungkin melibatkan beberapa tindakan.

Macnica juga menemui sekurang-kurangnya 25 pendedahan sejak Julai yang melibatkan pengubahan laman web atau penyalahgunaan tanpa kebimbangan khusus tentang kebocoran maklumat peribadi. Contohnya termasuk mengalihkan pelawat ke laman web luar, memaparkan amaran palsu, mengubah maklumat pendaftaran dan menyalahgunakan perkhidmatan awan.

Para penyelidik membincangkan kemungkinan penggunaan kecerdasan buatan untuk mengulangi carian merentas banyak laman web. Penglibatan AI dan tujuan akhir penyerang masih belum disahkan. Aktiviti yang diperhatikan tertumpu pada kebenaran akses, tetapan, pengesahan dan kelemahan yang diketahui. Satu hipotesis yang dikemukakan ialah nama, butiran perkhidmatan dan tempahan yang dikumpulkan boleh membantu penjenayah menjadikan mesej pancingan data atau panggilan penipuan kemudian lebih meyakinkan.

Bekas pelanggan turut terjejas dalam pencerobohan

Pencerobohan Park24 melibatkan kira-kira 6.6 juta rekod keahlian, termasuk bekas ahli, dan sekitar 1.6 juta dokumen pengesahan identiti seperti imej lesen memandu. Times Car menyimpan dokumen pengenalan diri selama tujuh tahun selepas pelanggan menamatkan keahlian mereka.

Park24 berkata pada 16 Oktober bahawa pihaknya merancang menyelesaikan pemadaman imej dokumen pengenalan diri menjelang akhir bulan itu. Tindak balasnya menetapkan tarikh akhir yang jelas bagi isu yang turut dibangkitkan IPA: perniagaan perlu menilai sama ada mereka masih memerlukan data yang disimpan.

Kira-kira 210,000 bekas ahli Bookoff membentuk sekitar 3.3% daripada 6.38 juta orang yang dikenal pasti dalam huraian kemudian tentang kebocorannya. Peruncit bekalan haiwan peliharaan Charm juga berkata kebanyakan daripada kira-kira 25,000 rekod milik bekas pelanggan telah bocor.

Oleh itu, menutup akaun boleh menyebabkan pelanggan terdedah selama bertahun-tahun jika perniagaan menyimpan rekod berkaitan. Butiran hubungan boleh membantu penjenayah menyamar sebagai perkhidmatan yang dikenali, manakala kata laluan dan imej dokumen pengenalan diri menimbulkan risiko tambahan. Macnica mengesyorkan semakan terhadap rekod yang tidak lagi diperlukan, termasuk butiran peribadi tidak dijangka yang terkumpul dalam ruangan nota, serta penamatan kunci API apabila sesuatu perkhidmatan ditutup.

Perkara yang IPA mahu organisasi periksa sekarang

Nasihat 9 Oktober IPA menggesa pemeriksaan segera terhadap aplikasi yang terdedah kepada internet, perkhidmatan dan akaun luar, serta maklumat tersimpan. IPA meletakkan tanggungjawab pada pemimpin syarikat, khususnya perniagaan yang mengendalikan sejumlah besar data peribadi atau sensitif.

Bagi aplikasi, IPA mengesyorkan semakan log terkini, iaitu rekod aktiviti yang disimpan oleh sistem, serta pemeriksaan bagi memastikan tiada tampalan keselamatan yang tertinggal. Penyiasat perlu bermula dengan tempoh kira-kira sebulan lalu, kemudian meluaskan semakan kepada tiga bulan untuk mencari jumlah ralat luar biasa dan perubahan daripada aktiviti biasa.

Bagi perkhidmatan luar, termasuk perkhidmatan awan dan VPN, syarikat perlu menyenaraikan perkhidmatan yang digunakan oleh organisasi dan jabatan individu. Mereka perlu menetapkan tempoh penyimpanan log, pihak yang boleh memeriksanya dan sama ada penyedia menyimpan rekod yang tidak dapat dilihat sendiri oleh pelanggan.

Pemeriksaan akaun perlu mencari pengguna yang tidak dikenali dan akaun yang kembali aktif meskipun sebelum ini dinyahdayakan atau dipadamkan. Masa dan lokasi log masuk yang luar biasa serta percubaan gagal berulang juga wajar diberi perhatian. IPA mengesyorkan agar log atau akaun yang tidak normal dianggap sebagai insiden keselamatan dan siasatan pakar diminta.

Nasihat berkaitan daripada Macnica termasuk memeriksa sama ada API menguatkuasakan kebenaran pada pelayan, membuang maklumat rahsia yang disematkan dalam aplikasi, melindungi akaun pentadbir dengan beberapa langkah pengesahan dan mengehadkan akses kepada fungsi pengurusan. Pemantauan juga memerlukan tindak balas manusia yang jelas: seseorang mesti menyemak amaran, menghubungi pihak yang berkaitan dan memulakan siasatan.

IPA sedang menyediakan skim penilaian keselamatan bagi rantaian bekalan, yang dikenali sebagai skim penilaian SCS, dengan pelancaran dirancang pada Mac 2027. Kriteria penilaian bersama itu bertujuan membantu pelanggan dan kontraktor memahami keadaan keselamatan merentas perniagaan yang berkongsi maklumat.

Insiden serupa turut berlaku di luar Jepun

Macnica mengenal pasti 99 insiden serupa di 13 negara dan wilayah, kebanyakannya antara Julai hingga September 2026. Korea Selatan mencatatkan 30 insiden, Perancis 11 dan Poland lapan.

Kes di Korea Selatan melibatkan laman web dan API dalam bidang beli-belah, tempahan, pendidikan dan sokongan kewangan. Kepelbagaian itu menyerupai rangkaian perkhidmatan dalam pendedahan di Jepun.

Undang-undang dan amalan pendedahan mempengaruhi jumlah insiden yang diketahui umum di setiap negara. Macnica menyifatkan Jepun sebagai ketara dalam penyiasatannya, namun tidak memastikan sama ada penyerang secara khusus menumpukan perhatian kepada Jepun.

Bagi kes di Jepun, keutamaan segera adalah jelas: mengesan aktiviti tanpa kebenaran, melindungi akses kepada maklumat pelanggan dan memadam rekod yang tidak lagi perlu disimpan. Insiden melibatkan kontraktor dan pendedahan bekas ahli menunjukkan mengapa usaha ini perlu melangkaui laman web utama syarikat dan senarai pelanggan semasanya.

Perkara Utama

• Kiraan Macnica meletakkan jumlah rekod maklumat peribadi yang berpotensi bocor akibat akses tanpa kebenaran pada 2026 melebihi 165 juta, dengan kemungkinan rekod dikira berulang merentas perkhidmatan.
• Siasatan laman web Macnica yang lebih terhad merekodkan 119 pendedahan setakat 6 Oktober, termasuk 81 sejak Julai.
• Sourcenext mendedahkan 22,519,960 rekod yang berpotensi terjejas; Adventure melaporkan kira-kira 14.64 juta.
• Pencerobohan kontraktor menjejaskan pelanggan perniagaan utama, manakala rekod yang disimpan mendedahkan bekas ahli Park24, Bookoff dan Charm.
• IPA menggesa semakan segera terhadap log, tampalan, akaun, perkhidmatan luar dan data tersimpan.
• Park24 merancang menyelesaikan pemadaman imej dokumen pengenalan diri menjelang akhir Oktober. Skim penilaian keselamatan rantaian bekalan IPA dijadual bermula pada Mac 2027.