Số hồ sơ có nguy cơ bị rò rỉ tại Nhật Bản vượt 165 triệu khi các công ty công bố hàng loạt vụ xâm nhập

Hàng triệu hồ sơ bị lộ tại các dịch vụ thường dùng

Theo thống kê của công ty an ninh mạng Macnica, số hồ sơ có thông tin cá nhân có nguy cơ bị rò rỉ do truy cập trái phép tại Nhật Bản trong năm 2026 đã vượt 165 triệu. Các vụ việc trải rộng từ đi tàu, mua sắm, karaoke, phần mềm, giao hàng đến dịch vụ chia sẻ ô tô, trong đó có cả thông tin của những người đã đóng tài khoản.

Riêng Sourcenext thông báo ngày 15 tháng 10 rằng 22.519.960 hồ sơ khách hàng có thể đã bị rò rỉ. Adventure, đơn vị vận hành trang đặt dịch vụ du lịch Skyticket, công bố vụ xâm nhập có thể ảnh hưởng khoảng 14,64 triệu hồ sơ. Sau đó, Yamato Transport xác định có 5,31 triệu hồ sơ bị ảnh hưởng liên quan đến dịch vụ thanh toán trả chậm của công ty.

Con số 165 triệu là tổng số thông tin cá nhân được tính cộng dồn qua các vụ việc. Vì vậy, một người có thông tin xuất hiện trong nhiều dịch vụ bị ảnh hưởng có thể được tính nhiều lần. Tổng số này cũng bao gồm các vụ rò rỉ có khả năng xảy ra, bên cạnh những vụ mà các công ty đã xác định được thông tin bị xâm phạm.

Trong cuộc điều tra chi tiết hơn về một dạng vụ xâm nhập website cụ thể, Macnica ghi nhận 119 lần công bố thông tin tính đến ngày 6 tháng 10, đã vượt con số 84 của cả năm 2025. Trong số 119 vụ này, có 81 vụ được công bố từ tháng 7 trở đi.

Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản, gọi tắt là IPA, đưa ra cảnh báo khẩn cấp ngày 9 tháng 10, kêu gọi lãnh đạo doanh nghiệp kiểm tra các dịch vụ internet, tài khoản và dữ liệu lưu trữ. Khuyến nghị của cơ quan tập trung vào hai nhiệm vụ cấp bách: phát hiện kẻ xâm nhập và giảm lượng thông tin cá nhân mà chúng có thể đánh cắp.

Hệ quả đối với khách hàng tùy thuộc vào dữ liệu mỗi dịch vụ lưu giữ. Một số cơ sở dữ liệu bị ảnh hưởng chứa thông tin liên lạc. Những cơ sở khác có thể bao gồm mật khẩu, thông tin thẻ tín dụng hoặc ảnh giấy tờ tùy thân. Các vụ việc cũng cho thấy một cuộc tấn công nhằm vào nhà thầu có thể đồng thời ảnh hưởng đến khách hàng của nhiều doanh nghiệp.

Macnica thống kê những gì và vì sao mức tăng đáng lưu ý

Phân tích các vụ xâm nhập website của Macnica xem xét 265 vụ việc được các tổ chức trong nước công bố từ tháng 1 năm 2024 đến ngày 6 tháng 10 năm 2026. Số vụ hằng năm tăng từ 62 vào năm 2024 lên 84 vào năm 2025 và 119 trong giai đoạn năm 2026 chưa kết thúc.

Số vụ năm 2026 đã cao hơn 35 vụ, tương đương khoảng 42%, so với cả năm trước đó. 81 vụ được công bố từ tháng 7 trở đi chiếm khoảng 68% tổng số vụ trong năm và khoảng 31% trong tổng số 265 vụ được xem xét.

Yutaka Sejiyama thuộc Trung tâm Nghiên cứu An ninh của Macnica thực hiện phân tích các vụ việc được công bố, với phần phân tích tấn công do Motohiko Sato của Itochu Cyber & Intelligence và Yosuke Hasegawa, giám đốc công nghệ của Secure Sky Technology, đóng góp.

Các nhà nghiên cứu lựa chọn những vụ việc mà họ đánh giá có đặc điểm tương đồng. Bộ dữ liệu không bao gồm mã độc tống tiền và một số dạng tấn công khác, trong đó có việc thử đăng nhập tài khoản khách hàng bằng mật khẩu bị đánh cắp từ các dịch vụ không liên quan. Khi nhiều khách hàng công bố thiệt hại từ một vụ việc tại nhà thầu dùng chung, các nhà nghiên cứu chỉ tính vụ việc của nhà thầu một lần.

Các thông báo rộng hơn của doanh nghiệp được nêu dưới đây cũng bao gồm những vụ tấn công bằng mã độc tống tiền. Vì vậy, cần phân biệt hai thước đo: lượng thông tin khách hàng có nguy cơ bị lộ và số vụ xâm nhập website được chọn để theo dõi trong cuộc điều tra kỹ thuật của Macnica.

Những công ty nào báo cáo lượng thông tin bị lộ lớn nhất?

Sourcenext cho biết thông tin có khả năng bị ảnh hưởng bao gồm tên, địa chỉ, số điện thoại, nơi làm việc, địa chỉ email và mật khẩu. Công ty phần mềm phát hiện truy cập trái phép vào hệ thống thông tin thành viên ngày 13 tháng 10 và thông báo khả năng dữ liệu bị lộ hai ngày sau đó.

Adventure cho biết các máy chủ và hệ thống quản lý hoạt động kinh doanh của Skyticket bị tấn công, có thể ảnh hưởng khoảng 14,64 triệu hồ sơ thông tin cá nhân. Công ty nói số thẻ tín dụng và hộ chiếu không bị rò rỉ.

Daiichikosho, đơn vị vận hành chuỗi karaoke Big Echo, cho biết khoảng 8,72 triệu hồ sơ cá nhân có thể đã bị lộ qua một hệ thống do nhà thầu bên ngoài quản lý. Vụ việc liên quan đến mã độc tại công ty cung cấp dịch vụ thuê ngoài.

JR East cho biết khoảng 6,09 triệu tài khoản khách hàng có thể đã bị xâm phạm, trong khi JR Kyushu ước tính số tài khoản có nguy cơ bị lộ vào khoảng 1,3 triệu. Cả hai công ty đều liên hệ vụ xâm nhập với cuộc tấn công bằng mã độc tống tiền nhằm vào IDC Frontier, công ty con cung cấp dịch vụ đám mây của SoftBank. Tổng số tài khoản được hai công ty công bố là khoảng 7,39 triệu.

Ban đầu, Bookoff Group Holdings công bố khả năng có tới 6,43 triệu khách hàng bị ảnh hưởng sau khi phát hiện truy cập trái phép tại công ty con phụ trách dữ liệu thành viên. Thông tin sau đó cho biết dữ liệu bị rò rỉ của khoảng 6,38 triệu người, trong đó có khoảng 210.000 thành viên cũ.

Lawson báo cáo truy cập trái phép vào hơn 2,15 triệu hồ sơ khách hàng, có thể bao gồm tên, địa chỉ email và thông tin thẻ tín dụng. Uzabase, đơn vị vận hành NewsPicks, cho biết một số thông tin người dùng có thể đã bị lộ do truy cập trái phép vào công cụ quản lý.

Lawson, Daiichikosho và Uzabase cho biết tại thời điểm công bố, họ chưa xác nhận có hành vi sử dụng trái phép dữ liệu. Các công ty đường sắt, Bookoff và Adventure cũng cho biết chưa tìm thấy bằng chứng về việc bên thứ ba lạm dụng thông tin, đồng thời khuyến cáo khách hàng cảnh giác với email và cuộc gọi đáng ngờ.

Dữ liệu giao hàng, công cụ phát triển và trường học cũng bị ảnh hưởng

Ngày 16 tháng 10, Yamato Transport cho biết 5,31 triệu hồ sơ thông tin cá nhân của một số người dùng dịch vụ thanh toán trả chậm đã bị xâm phạm. Công ty lần đầu thông báo vụ xâm nhập vào ngày 29 tháng 9.

Thông tin bị ảnh hưởng gồm tên, địa chỉ và số điện thoại được thu thập từ ngày 1 tháng 10 năm 2018, trong khoảng tám năm. Thời gian thu thập kéo dài cho thấy một vụ xâm nhập có thể làm lộ thông tin tích lũy qua nhiều năm hoạt động của khách hàng.

Nikkei Inc. công bố khoảng 1,83 triệu hồ sơ bị xâm phạm, bao gồm tên, địa chỉ và địa chỉ email, sau khi có truy cập trái phép vào một dịch vụ đám mây dùng để phát triển hệ thống. Dịch vụ phát triển được sử dụng để xây dựng hoặc bảo trì phần mềm, khiến một bộ phận khác trong môi trường công nghệ của doanh nghiệp cũng có thể trở thành mục tiêu của kẻ tấn công.

Bộ Giáo dục Nhật Bản cũng cho biết tám trường học, phần lớn là đại học, đã báo cáo sự cố xâm nhập từ cuối tháng 9 đến ngày thứ Năm trước đợt công bố mới nhất. Điều tra của Macnica xác định các dịch vụ bị ảnh hưởng rất đa dạng, từ tra cứu danh mục thư viện, đặt chỗ tàu du lịch, đặt ký túc xá đại học đến quản lý hoàn tiền vé.

Diễn biến các vụ việc

Một số vụ việc được công khai chỉ cách nhau vài tuần, trong khi các cuộc điều tra tiếp tục xác định lượng thông tin bị ảnh hưởng. Thông tin của Sourcenext đặc biệt chính xác về thời điểm xảy ra vụ xâm nhập và cách công ty ứng phó.

• Ngày 29 tháng 9: Yamato Transport lần đầu thông báo vụ xâm nhập. Park24 công bố vụ rò rỉ dữ liệu dịch vụ chia sẻ ô tô vào cuối tháng 9.
• Ngày 6 tháng 10: Mốc chốt dữ liệu nghiên cứu của Macnica ghi nhận 119 vụ xâm nhập website được chọn và công bố trong năm 2026.
• Ngày 8 tháng 10: Macnica bổ sung dẫn chiếu đến cảnh báo liên quan của JPCERT/CC, tổ chức ứng phó sự cố an ninh máy tính của Nhật Bản.
• Ngày 9 tháng 10: IPA đưa ra khuyến nghị kiểm tra khẩn cấp. JR East, Bookoff, Daiichikosho và Adventure nằm trong số các công ty công bố thông tin về sự cố trong ngày. Sau đó, Sourcenext xác định vụ xâm nhập bắt đầu vào khoảng 10 giờ sáng ngày 9 tháng 10.
• Ngày 13 tháng 10: Sourcenext phát hiện truy cập trái phép vào khoảng 9 giờ sáng và triển khai biện pháp khẩn cấp để chặn truy cập trong buổi chiều cùng ngày.
• Ngày 15 tháng 10: Sourcenext thông báo khả năng 22.519.960 hồ sơ bị lộ.
• Ngày 16 tháng 10: Yamato công bố chi tiết 5,31 triệu hồ sơ bị ảnh hưởng, Nikkei thông báo vụ xâm nhập và Park24 cho biết dự kiến hoàn tất xóa ảnh giấy tờ tùy thân vào cuối tháng 10.

Mốc thời gian của Sourcenext cho thấy truy cập trái phép bắt đầu gần bốn ngày trước khi bị phát hiện. Hướng dẫn của IPA về việc kiểm tra hoạt động gần đây rồi mở rộng tìm kiếm lùi xa hơn nhằm đáp ứng chính xác nhu cầu dựng lại diễn biến trước khi có cảnh báo.

Kẻ tấn công rà soát điểm yếu trên toàn bộ dịch vụ

Phân tích kỹ thuật của Macnica mô tả cách kẻ tấn công kiểm tra từng website và giao diện lập trình ứng dụng (API) của chúng. API là kênh để ứng dụng hoặc website yêu cầu hệ thống khác cung cấp thông tin hay thực hiện một tác vụ.

Các nhà điều tra ghi nhận những điểm yếu như API trả về nhiều thông tin hơn mức cần thiết, chức năng được cấp quyền quá rộng và tính năng vốn dành cho thành viên nhưng người dùng ẩn danh vẫn truy cập được. Một số vấn đề khác liên quan đến phiên đăng nhập, quy tắc xử lý và cài đặt quyền truy cập.

Một số kẻ tấn công kiểm tra ứng dụng di động để trích xuất khóa API, thông tin xác thực dùng khi liên lạc với dịch vụ. Sau đó, chúng dùng các khóa này để gửi yêu cầu trông giống lưu lượng truy cập thông thường. Các nhà nghiên cứu cũng ghi nhận mật khẩu quản trị viên yếu và việc khai thác các lỗ hổng phần mềm đã được biết đến.

Thách thức thực tế không chỉ là cài một bản cập nhật phần mềm. Dịch vụ có thể cần cơ chế kiểm tra riêng để bảo đảm máy chủ xác minh ai đang gửi yêu cầu và người đó được phép nhận những hồ sơ nào. Các công cụ quản trị có thể xuất lượng lớn thông tin cũng cần được chú ý kỹ.

Phần lớn thông báo không nêu rõ nguyên nhân

Trong 81 vụ việc được chọn và công bố từ tháng 7 trở đi, Macnica phân loại được chín vụ liên quan đến lỗ hổng trong sản phẩm phần mềm hoặc công cụ liên quan, bốn vụ liên quan đến việc lạm dụng thông tin xác thực hoặc tấn công bằng mật khẩu, và ba vụ liên quan đến lỗi cài đặt website hoặc kiểm soát truy cập.

65 thông báo còn lại, tương đương khoảng 80,2%, không giải thích đủ để xác định nguyên nhân. Điều này khiến các tổ chức khác có ít thông tin để biết cần tìm điểm yếu nào trong hệ thống của mình.

Một số thông báo mô tả hành động của kẻ xâm nhập sau khi chiếm được quyền truy cập. Có 11 vụ liên quan đến cài đặt hoặc chạy chương trình trái phép, chín vụ liên quan đến truy xuất hoặc xem thông tin qua API hay cơ sở dữ liệu, và sáu vụ liên quan đến việc tạo tài khoản hoặc khóa xác thực trái phép. Các nhóm này có thể chồng lấn vì một vụ việc có thể gồm nhiều hành động.

Macnica cũng ghi nhận ít nhất 25 thông báo từ tháng 7 trở đi về việc chỉnh sửa website hoặc lạm dụng mà không có lo ngại cụ thể về rò rỉ thông tin cá nhân. Ví dụ gồm chuyển hướng khách truy cập đến website bên ngoài, hiển thị cảnh báo giả, thay đổi thông tin đăng ký và lạm dụng dịch vụ đám mây.

Các nhà nghiên cứu đề cập khả năng trí tuệ nhân tạo được dùng để lặp lại việc tìm kiếm trên nhiều website. Việc AI có được sử dụng hay không và mục đích cuối cùng của kẻ tấn công vẫn chưa được xác nhận. Hoạt động được quan sát tập trung vào quyền truy cập, cài đặt, xác thực và các lỗ hổng đã biết. Một giả thuyết được nêu ra là tên, thông tin dịch vụ và dữ liệu đặt chỗ thu thập được có thể giúp tội phạm tạo email lừa đảo hoặc cuộc gọi gian lận thuyết phục hơn về sau.

Khách hàng cũ cũng bị ảnh hưởng

Vụ xâm nhập Park24 liên quan đến khoảng 6,6 triệu hồ sơ thành viên, bao gồm cả thành viên cũ, và khoảng 1,6 triệu giấy tờ xác minh danh tính như ảnh giấy phép lái xe. Times Car đã lưu giấy tờ tùy thân trong bảy năm sau khi khách hàng chấm dứt tư cách thành viên.

Ngày 16 tháng 10, Park24 cho biết dự kiến hoàn tất xóa ảnh giấy tờ tùy thân vào cuối tháng đó. Động thái này đặt ra thời hạn cụ thể cho một vấn đề IPA cũng nêu: doanh nghiệp cần xem xét liệu họ còn cần dữ liệu đang lưu giữ hay không.

Khoảng 210.000 thành viên cũ của Bookoff chiếm khoảng 3,3% trong tổng số 6,38 triệu người được nêu trong thông tin cập nhật về vụ rò rỉ. Nhà bán lẻ đồ dùng thú cưng Charm cũng cho biết phần lớn trong khoảng 25.000 hồ sơ của khách hàng cũ đã bị rò rỉ.

Vì vậy, khách hàng có thể vẫn gặp rủi ro trong nhiều năm sau khi đóng tài khoản nếu doanh nghiệp tiếp tục lưu giữ dữ liệu liên quan. Thông tin liên lạc có thể giúp tội phạm mạo danh dịch vụ quen thuộc, còn mật khẩu và ảnh giấy tờ tùy thân làm phát sinh thêm rủi ro. Macnica khuyến nghị rà soát và loại bỏ hồ sơ không cần thiết, kể cả thông tin cá nhân bất ngờ được lưu trong các trường ghi chú, đồng thời thu hồi khóa API khi dịch vụ ngừng hoạt động.

IPA yêu cầu các tổ chức kiểm tra những gì ngay lúc này

Khuyến cáo ngày 9 tháng 10 của IPA yêu cầu khẩn trương kiểm tra ứng dụng kết nối internet, dịch vụ bên ngoài, tài khoản và thông tin lưu trữ. Cơ quan nhấn mạnh trách nhiệm của lãnh đạo doanh nghiệp, đặc biệt tại những đơn vị xử lý lượng lớn dữ liệu cá nhân hoặc dữ liệu nhạy cảm.

Đối với ứng dụng, IPA khuyến nghị xem lại nhật ký gần đây, tức các bản ghi hoạt động do hệ thống lưu lại, đồng thời kiểm tra các bản vá bảo mật còn thiếu. Việc rà soát nên bắt đầu với khoảng một tháng gần nhất rồi mở rộng lên ba tháng, chú ý đến số lượng lỗi bất thường và những thay đổi so với hoạt động thông thường.

Đối với các dịch vụ bên ngoài, bao gồm dịch vụ đám mây và VPN, doanh nghiệp cần lập danh sách những dịch vụ được toàn tổ chức và từng phòng ban sử dụng. Cần xác định nhật ký được lưu trong bao lâu, ai có thể kiểm tra và liệu nhà cung cấp có giữ những bản ghi mà khách hàng không thể xem trực tiếp hay không.

Việc rà soát tài khoản cần tìm người dùng lạ và các tài khoản bất ngờ hoạt động trở lại dù trước đó đã bị vô hiệu hóa hoặc xóa. Thời điểm, địa điểm đăng nhập bất thường và nhiều lần đăng nhập thất bại cũng cần được lưu ý. IPA khuyến nghị coi nhật ký hoặc tài khoản bất thường là sự cố an ninh và tìm đến chuyên gia để điều tra.

Khuyến nghị liên quan của Macnica bao gồm kiểm tra xem API có thực thi quyền truy cập trên máy chủ hay không, loại bỏ thông tin bí mật được nhúng trong ứng dụng, bảo vệ tài khoản quản trị bằng nhiều bước xác thực và hạn chế quyền truy cập vào chức năng quản lý. Hoạt động giám sát cũng cần có người phụ trách xử lý rõ ràng: xem cảnh báo, liên hệ đúng người và bắt đầu điều tra.

IPA đang chuẩn bị chương trình đánh giá an ninh chuỗi cung ứng, gọi là chương trình đánh giá SCS, dự kiến triển khai vào tháng 3 năm 2027. Bộ tiêu chí đánh giá chung nhằm giúp khách hàng và nhà thầu nắm rõ tình hình an ninh tại các doanh nghiệp cùng chia sẻ thông tin.

Các vụ việc tương tự xảy ra ngoài Nhật Bản

Macnica xác định 99 vụ việc tương tự tại 13 quốc gia và vùng lãnh thổ, chủ yếu trong giai đoạn từ tháng 7 đến tháng 9 năm 2026. Hàn Quốc ghi nhận 30 vụ, Pháp 11 vụ và Ba Lan tám vụ.

Các vụ việc tại Hàn Quốc liên quan đến website và API trong các lĩnh vực mua sắm, đặt chỗ, giáo dục và hỗ trợ tài chính. Phạm vi này tương tự sự đa dạng của các dịch vụ xuất hiện trong những thông báo tại Nhật Bản.

Luật và thông lệ công bố thông tin ảnh hưởng đến số vụ việc được công khai ở mỗi nước. Macnica cho biết Nhật Bản nổi bật trong cuộc điều tra của họ, nhưng chưa kết luận liệu kẻ tấn công có chủ đích nhắm vào Nhật Bản hay không.

Trong các vụ việc tại Nhật Bản, ưu tiên trước mắt rất cụ thể: phát hiện hoạt động trái phép, bảo vệ quyền truy cập vào thông tin khách hàng và xóa những hồ sơ không còn cần lưu giữ. Các vụ việc tại nhà thầu và tình trạng thông tin của thành viên cũ bị lộ cho thấy công tác này cần bao quát cả những hệ thống ngoài website chính của doanh nghiệp lẫn danh sách khách hàng hiện tại.

Điểm chính

• Theo thống kê của Macnica, số hồ sơ có thông tin cá nhân có nguy cơ bị rò rỉ do truy cập trái phép trong năm 2026 đã vượt 165 triệu; một hồ sơ có thể bị tính nhiều lần nếu xuất hiện trong nhiều dịch vụ.
• Cuộc điều tra hẹp hơn về các vụ xâm nhập website ghi nhận 119 thông báo tính đến ngày 6 tháng 10, trong đó có 81 vụ từ tháng 7 trở đi.
• Sourcenext công bố 22.519.960 hồ sơ có thể bị ảnh hưởng; Adventure báo cáo khoảng 14,64 triệu hồ sơ.
• Các vụ xâm nhập tại nhà thầu ảnh hưởng đến khách hàng của những doanh nghiệp lớn, trong khi dữ liệu được lưu giữ khiến thành viên cũ của Park24, Bookoff và Charm cũng bị lộ thông tin.
• IPA kêu gọi khẩn trương rà soát nhật ký, bản vá, tài khoản, dịch vụ bên ngoài và dữ liệu lưu trữ.
• Park24 dự kiến hoàn tất xóa ảnh giấy tờ tùy thân vào cuối tháng 10. Chương trình đánh giá an ninh chuỗi cung ứng của IPA dự kiến bắt đầu vào tháng 3 năm 2027.