ญี่ปุ่นพบข้อมูลส่วนบุคคลที่อาจรั่วไหลเกิน 165 ล้านรายการ ขณะที่บริษัทต่าง ๆ เผยเหตุละเมิดข้อมูลวงกว้าง

ข้อมูลหลายล้านรายการรั่วไหลจากบริการที่ใช้ในชีวิตประจำวัน

บริษัทด้านความปลอดภัย Macnica ประเมินว่า ข้อมูลส่วนบุคคลที่อาจรั่วไหลจากการเข้าถึงโดยไม่ได้รับอนุญาตในญี่ปุ่นระหว่างปี 2026 มีจำนวนเกิน 165 ล้านรายการ เหตุการณ์เหล่านี้ส่งผลกระทบตั้งแต่บริการรถไฟ การซื้อสินค้า คาราโอเกะ ซอฟต์แวร์ การจัดส่งพัสดุ ไปจนถึงการใช้รถร่วมกัน รวมถึงข้อมูลของผู้ที่ปิดบัญชีไปแล้ว

Sourcenext เพียงบริษัทเดียวประกาศเมื่อวันที่ 15 ตุลาคมว่า ข้อมูลลูกค้า 22,519,960 รายการอาจรั่วไหล ส่วน Adventure ซึ่งดำเนินเว็บไซต์จองการเดินทาง Skyticket เปิดเผยเหตุละเมิดข้อมูลที่อาจส่งผลกระทบต่อข้อมูลราว 14.64 ล้านรายการ ต่อมา Yamato Transport ระบุว่ามีข้อมูล 5.31 ล้านรายการที่ได้รับผลกระทบ ซึ่งเชื่อมโยงกับบริการชำระเงินภายหลังของบริษัท

ตัวเลข 165 ล้านรายการเป็นการนับรวมข้อมูลส่วนบุคคลจากเหตุการณ์ต่าง ๆ ดังนั้นบุคคลที่มีข้อมูลอยู่ในหลายบริการที่ได้รับผลกระทบจึงอาจถูกนับซ้ำ ยอดรวมนี้ยังรวมกรณีที่สงสัยว่าอาจมีข้อมูลรั่วไหล ตลอดจนกรณีที่บริษัทตรวจพบว่าข้อมูลถูกละเมิดแล้ว

การตรวจสอบเชิงลึกของ Macnica เกี่ยวกับรูปแบบการโจมตีเว็บไซต์บางประเภทพบว่า ภายในวันที่ 6 ตุลาคมมีการเปิดเผยเหตุการณ์ต่อสาธารณะ 119 ครั้ง ซึ่งสูงกว่าจำนวน 84 ครั้งที่บันทึกตลอดปี 2025 แล้ว ในบรรดาการเปิดเผย 119 ครั้งนั้น 81 ครั้งเกิดขึ้นตั้งแต่เดือนกรกฎาคมเป็นต้นมา

สำนักงานส่งเสริมเทคโนโลยีสารสนเทศแห่งญี่ปุ่น หรือ IPA ออกคำเตือนเร่งด่วนเมื่อวันที่ 9 ตุลาคม เรียกร้องให้ผู้บริหารบริษัทตรวจสอบบริการที่เชื่อมต่ออินเทอร์เน็ต บัญชีผู้ใช้ และข้อมูลที่จัดเก็บไว้ คำแนะนำดังกล่าวเชื่อมโยงภารกิจเร่งด่วนสองประการเข้าด้วยกัน ได้แก่ การค้นหาผู้บุกรุกและการลดปริมาณข้อมูลส่วนบุคคลที่ผู้โจมตีอาจขโมยไปได้

ผลกระทบต่อลูกค้าขึ้นอยู่กับข้อมูลที่แต่ละบริการจัดเก็บไว้ ฐานข้อมูลที่ได้รับผลกระทบบางส่วนมีข้อมูลติดต่อ ขณะที่บางแห่งอาจมีรหัสผ่าน ข้อมูลบัตรเครดิต หรือภาพเอกสารยืนยันตัวตน เหตุการณ์เหล่านี้ยังแสดงให้เห็นว่า การโจมตีผู้รับเหมารายหนึ่งอาจส่งผลถึงลูกค้าของหลายธุรกิจได้พร้อมกัน

สิ่งที่ Macnica นับและเหตุใดจำนวนที่เพิ่มขึ้นจึงสำคัญ

การวิเคราะห์เหตุละเมิดข้อมูลเว็บไซต์ของ Macnica ตรวจสอบเหตุการณ์ที่เปิดเผยต่อสาธารณะ 265 ครั้ง ซึ่งเกี่ยวข้องกับองค์กรในประเทศระหว่างเดือนมกราคม 2024 ถึงวันที่ 6 ตุลาคม 2026 จำนวนเหตุการณ์รายปีเพิ่มจาก 62 ครั้งในปี 2024 เป็น 84 ครั้งในปี 2025 และ 119 ครั้งในช่วงปี 2026 ที่ยังไม่สิ้นสุด

จำนวนเหตุการณ์ในปี 2026 สูงกว่าตลอดทั้งปีก่อนหน้า 35 ครั้ง หรือราว 42% แล้ว การเปิดเผย 81 ครั้งตั้งแต่เดือนกรกฎาคมคิดเป็นประมาณ 68% ของยอดทั้งปี และราว 31% ของเหตุการณ์ทั้งหมด 265 ครั้งที่ตรวจสอบ

ยูทากะ เซจิยามะ จากศูนย์วิจัยความปลอดภัยของ Macnica จัดทำการวิเคราะห์ข้อมูลการเปิดเผยต่อสาธารณะ โดยมีโมโตฮิโกะ ซาโตะ จาก Itochu Cyber & Intelligence และโยสุเกะ ฮาเซงาวะ ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Secure Sky Technology ร่วมวิเคราะห์การโจมตี

นักวิจัยคัดเลือกเหตุการณ์ที่เห็นว่ามีลักษณะคล้ายคลึงกัน ชุดข้อมูลนี้ไม่รวมแรนซัมแวร์และรูปแบบการโจมตีบางประเภท เช่น การพยายามเข้าสู่บัญชีลูกค้าด้วยรหัสผ่านที่ขโมยมาจากบริการอื่น หากลูกค้าหลายรายเปิดเผยความเสียหายจากเหตุการณ์เดียวกันที่ผู้รับเหมาร่วมกัน นักวิจัยจะนับเหตุการณ์ของผู้รับเหมานั้นเพียงครั้งเดียว

การเปิดเผยข้อมูลของบริษัทในภาพรวมที่กล่าวถึงด้านล่างยังรวมเหตุการณ์แรนซัมแวร์ด้วย ดังนั้นผู้อ่านควรแยกตัวชี้วัดสองประเภทออกจากกัน ได้แก่ ปริมาณข้อมูลลูกค้าที่อาจถูกเปิดเผย และจำนวนเหตุละเมิดข้อมูลเว็บไซต์ที่คัดเลือกมาติดตามในการตรวจสอบทางเทคนิคของ Macnica

บริษัทใดรายงานข้อมูลรั่วไหลมากที่สุด

Sourcenext ระบุว่าข้อมูลที่อาจได้รับผลกระทบประกอบด้วยชื่อ ที่อยู่ หมายเลขโทรศัพท์ สถานที่ทำงาน อีเมล และรหัสผ่าน บริษัทซอฟต์แวร์แห่งนี้ตรวจพบการเข้าถึงระบบข้อมูลสมาชิกโดยไม่ได้รับอนุญาตเมื่อวันที่ 13 ตุลาคม และประกาศความเป็นไปได้ที่ข้อมูลจะรั่วไหลในอีกสองวันต่อมา

Adventure รายงานการโจมตีเซิร์ฟเวอร์และระบบบริหารธุรกิจของ Skyticket ซึ่งอาจส่งผลกระทบต่อข้อมูลส่วนบุคคลราว 14.64 ล้านรายการ บริษัทระบุว่าไม่มีข้อมูลบัตรเครดิตและหมายเลขหนังสือเดินทางรั่วไหล

Daiichikosho ผู้ดำเนินธุรกิจเครือร้านคาราโอเกะ Big Echo ระบุว่า ข้อมูลส่วนบุคคลราว 8.72 ล้านรายการอาจถูกเปิดเผยผ่านระบบที่ผู้รับเหมาภายนอกดูแล เหตุการณ์นี้เกี่ยวข้องกับมัลแวร์ที่บริษัทผู้รับเหมาช่วง

JR East ระบุว่าบัญชีลูกค้าราว 6.09 ล้านบัญชีอาจถูกละเมิด ส่วน JR Kyushu ประเมินว่าบัญชีราว 1.3 ล้านบัญชีอาจได้รับผลกระทบ ทั้งสองบริษัทเชื่อมโยงเหตุละเมิดข้อมูลกับการโจมตีด้วยแรนซัมแวร์ต่อ IDC Frontier ซึ่งเป็นบริษัทย่อยด้านบริการคลาวด์ของ SoftBank เมื่อนับรวมกัน ตัวเลขที่ทั้งสองบริษัทเปิดเผยอยู่ที่ราว 7.39 ล้านบัญชี

Bookoff Group Holdings เปิดเผยเบื้องต้นว่า ลูกค้าไม่เกิน 6.43 ล้านรายอาจได้รับผลกระทบ หลังมีการเข้าถึงโดยไม่ได้รับอนุญาตที่บริษัทย่อยซึ่งดูแลข้อมูลสมาชิก ต่อมาบริษัทระบุว่าข้อมูลของผู้คนราว 6.38 ล้านรายรั่วไหล รวมถึงอดีตสมาชิกประมาณ 210,000 ราย

Lawson รายงานว่ามีการเข้าถึงข้อมูลลูกค้ามากกว่า 2.15 ล้านรายการโดยไม่ได้รับอนุญาต ซึ่งอาจรวมถึงชื่อ อีเมล และข้อมูลบัตรเครดิต ส่วน Uzabase ผู้ดำเนินธุรกิจ NewsPicks ระบุว่าข้อมูลผู้ใช้บางส่วนอาจถูกเปิดเผยจากการเข้าถึงเครื่องมือจัดการโดยไม่ได้รับอนุญาต

Lawson, Daiichikosho และ Uzabase ระบุว่า ณ เวลาที่ประกาศ ยังไม่พบการนำข้อมูลไปใช้โดยมิชอบ ผู้ประกอบการรถไฟ Bookoff และ Adventure ก็รายงานเช่นกันว่าไม่พบหลักฐานการนำข้อมูลไปใช้โดยบุคคลที่สาม และเตือนให้ลูกค้าระวังอีเมลหรือสายโทรศัพท์ที่น่าสงสัย

ข้อมูลการจัดส่ง เครื่องมือพัฒนาซอฟต์แวร์ และโรงเรียนได้รับผลกระทบ

Yamato Transport ระบุเมื่อวันที่ 16 ตุลาคมว่า ข้อมูลส่วนบุคคล 5.31 ล้านรายการของผู้ใช้บริการชำระเงินภายหลังบางส่วนถูกละเมิด โดยบริษัทประกาศเหตุละเมิดข้อมูลครั้งแรกเมื่อวันที่ 29 กันยายน

ข้อมูลที่ได้รับผลกระทบประกอบด้วยชื่อ ที่อยู่ และหมายเลขโทรศัพท์ที่เก็บรวบรวมตั้งแต่วันที่ 1 ตุลาคม 2018 เป็นเวลาราวแปดปี ช่วงเวลาการเก็บข้อมูลที่ยาวนานแสดงให้เห็นว่า การบุกรุกเพียงครั้งเดียวอาจเปิดเผยข้อมูลที่สะสมจากกิจกรรมของลูกค้าตลอดหลายปี

Nikkei Inc. เปิดเผยว่าข้อมูลราว 1.83 ล้านรายการ ซึ่งรวมถึงชื่อ ที่อยู่ และอีเมล ถูกละเมิด หลังมีการเข้าถึงบริการคลาวด์ที่ใช้พัฒนาระบบโดยไม่ได้รับอนุญาต บริการพัฒนาซอฟต์แวร์ใช้สร้างหรือบำรุงรักษาซอฟต์แวร์ จึงทำให้ผู้โจมตีเข้าถึงอีกส่วนหนึ่งของสภาพแวดล้อมด้านเทคโนโลยีของบริษัทได้

กระทรวงศึกษาธิการของญี่ปุ่นยังระบุว่า โรงเรียนแปดแห่ง ซึ่งส่วนใหญ่เป็นมหาวิทยาลัย รายงานเหตุละเมิดข้อมูลตั้งแต่ปลายเดือนกันยายนจนถึงวันพฤหัสบดี ก่อนการเปิดเผยข้อมูลล่าสุด การตรวจสอบของ Macnica พบว่าบริการที่ได้รับผลกระทบมีหลากหลาย ตั้งแต่ระบบค้นหาแค็ตตาล็อกห้องสมุด การจองรถไฟท่องเที่ยว การจองที่พักในมหาวิทยาลัย ไปจนถึงการจัดการคืนเงินค่าตั๋ว

ลำดับการเปิดเผยเหตุการณ์

เหตุการณ์หลายกรณีถูกเปิดเผยต่อสาธารณะในช่วงเวลาไล่เลี่ยกันเพียงไม่กี่สัปดาห์ ขณะที่การสอบสวนยังดำเนินต่อไปเพื่อระบุขอบเขตของข้อมูลที่ได้รับผลกระทบ ไทม์ไลน์ของ Sourcenext ให้รายละเอียดเวลาการบุกรุกและการตอบสนองไว้อย่างชัดเจนเป็นพิเศษ

• 29 กันยายน: Yamato Transport ประกาศเหตุละเมิดข้อมูลครั้งแรก Park24 เปิดเผยเหตุข้อมูลบริการรถร่วมกันรั่วไหลในช่วงปลายเดือนกันยายน
• 6 ตุลาคม: ข้อมูล ณ วันสิ้นสุดการรวบรวมของ Macnica บันทึกการเปิดเผยเหตุละเมิดข้อมูลเว็บไซต์ที่คัดเลือกไว้ในปี 2026 จำนวน 119 ครั้ง
• 8 ตุลาคม: Macnica เพิ่มการอ้างอิงคำเตือนที่เกี่ยวข้องจาก JPCERT/CC ซึ่งเป็นหน่วยงานรับมือเหตุการณ์ความปลอดภัยคอมพิวเตอร์ของญี่ปุ่น
• 9 ตุลาคม: IPA ออกคำแนะนำให้ตรวจสอบระบบอย่างเร่งด่วน วันเดียวกันมีการเปิดเผยเหตุการณ์ของหลายบริษัท รวมถึง JR East, Bookoff, Daiichikosho และ Adventure ต่อมา Sourcenext ระบุว่าการบุกรุกเริ่มขึ้นราว 10.00 น. ของวันที่ 9 ตุลาคม
• 13 ตุลาคม: Sourcenext ตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาตเมื่อราว 9.00 น. และดำเนินมาตรการฉุกเฉินเพื่อสกัดกั้นภายในช่วงบ่ายวันนั้น
• 15 ตุลาคม: Sourcenext ประกาศว่าข้อมูล 22,519,960 รายการอาจถูกเปิดเผย
• 16 ตุลาคม: Yamato เปิดเผยรายละเอียดข้อมูลที่ได้รับผลกระทบ 5.31 ล้านรายการ Nikkei เปิดเผยเหตุละเมิดข้อมูล และ Park24 ประกาศแผนลบภาพเอกสารยืนยันตัวตนทั้งหมดให้เสร็จภายในสิ้นเดือนตุลาคม

ไทม์ไลน์ของ Sourcenext แสดงให้เห็นว่าการเข้าถึงโดยไม่ได้รับอนุญาตเริ่มขึ้นเกือบสี่วันก่อนจะตรวจพบ คำแนะนำของ IPA ที่ให้ตรวจสอบกิจกรรมล่าสุดแล้วขยายช่วงเวลาย้อนหลังให้ไกลขึ้น ตอบโจทย์ความจำเป็นในการรื้อฟื้นว่าเกิดอะไรขึ้นก่อนมีการแจ้งเตือน

ผู้โจมตีค้นหาจุดอ่อนทั่วทั้งบริการ

การวิเคราะห์ทางเทคนิคของ Macnica อธิบายว่า ผู้โจมตีตรวจสอบเว็บไซต์แต่ละแห่งและส่วนต่อประสานโปรแกรมประยุกต์ หรือ API ซึ่งเป็นช่องทางที่แอปหรือเว็บไซต์ใช้ขอข้อมูลจากระบบอื่น หรือสั่งให้ระบบทำงานบางอย่าง

นักวิจัยพบจุดอ่อน เช่น API ส่งข้อมูลมากเกินความจำเป็น ฟังก์ชันได้รับสิทธิ์มากเกินไป และฟีเจอร์ที่ควรเปิดให้เฉพาะสมาชิกกลับเข้าถึงได้โดยผู้เยี่ยมชมที่ไม่ระบุตัวตน ปัญหาอื่น ๆ เกี่ยวข้องกับเซสชันการเข้าสู่ระบบ กฎการประมวลผล และการตั้งค่าการเข้าถึง

ผู้โจมตีบางรายตรวจสอบแอปมือถือเพื่อดึงคีย์ API ซึ่งเป็นข้อมูลรับรองที่ใช้สื่อสารกับบริการ จากนั้นนำคีย์เหล่านั้นไปส่งคำขอที่มีลักษณะคล้ายการรับส่งข้อมูลปกติ นักวิจัยยังพบรหัสผ่านผู้ดูแลระบบที่อ่อนแอและการใช้ประโยชน์จากช่องโหว่ซอฟต์แวร์ที่มีผู้ทราบแล้ว

ความท้าทายในทางปฏิบัติมีขอบเขตกว้างกว่าการติดตั้งอัปเดตซอฟต์แวร์เพียงรายการเดียว บริการอาจต้องมีการตรวจสอบเฉพาะของตนเอง เพื่อให้แน่ใจว่าเซิร์ฟเวอร์ยืนยันได้ว่าใครเป็นผู้ส่งคำขอ และบุคคลนั้นมีสิทธิ์ได้รับข้อมูลรายการใดบ้าง เครื่องมือผู้ดูแลระบบที่ส่งออกข้อมูลจำนวนมากก็ต้องได้รับการดูแลอย่างใกล้ชิดเช่นกัน

การเปิดเผยส่วนใหญ่ให้รายละเอียดสาเหตุเพียงเล็กน้อย

ในเหตุการณ์ที่คัดเลือกมา 81 ครั้งและเปิดเผยตั้งแต่เดือนกรกฎาคมเป็นต้นมา Macnica จำแนกได้ว่า 9 ครั้งเกี่ยวข้องกับช่องโหว่ในผลิตภัณฑ์ซอฟต์แวร์หรือเครื่องมือที่เกี่ยวข้อง 4 ครั้งเกี่ยวข้องกับการใช้ข้อมูลรับรองในทางมิชอบหรือการโจมตีด้วยรหัสผ่าน และ 3 ครั้งเกี่ยวข้องกับการตั้งค่าเว็บไซต์หรือความล้มเหลวในการควบคุมการเข้าถึง

การเปิดเผยอีก 65 ครั้ง หรือราว 80.2% ให้คำอธิบายน้อยเกินกว่าจะระบุสาเหตุได้ ทำให้องค์กรอื่นมีข้อมูลจำกัดในการค้นหาจุดอ่อนในระบบของตน

ประกาศบางฉบับอธิบายว่าผู้บุกรุกทำอะไรหลังเข้าถึงระบบได้ เหตุการณ์ 11 ครั้งเกี่ยวข้องกับการติดตั้งหรือเรียกใช้โปรแกรมโดยไม่ได้รับอนุญาต 9 ครั้งเกี่ยวข้องกับการดึงหรือดูข้อมูลผ่าน API หรือฐานข้อมูล และ 6 ครั้งเกี่ยวข้องกับการสร้างบัญชีหรือคีย์ยืนยันตัวตนโดยไม่ได้รับอนุญาต หมวดหมู่เหล่านี้อาจซ้อนทับกัน เพราะเหตุการณ์หนึ่งอาจมีการกระทำหลายอย่าง

Macnica ยังพบการเปิดเผยอย่างน้อย 25 ครั้งตั้งแต่เดือนกรกฎาคม ซึ่งเกี่ยวข้องกับการแก้ไขเว็บไซต์หรือการใช้งานโดยมิชอบ แต่ไม่ได้ระบุข้อกังวลเฉพาะเรื่องข้อมูลส่วนบุคคลรั่วไหล ตัวอย่างเช่น การเปลี่ยนเส้นทางผู้เข้าชมไปยังเว็บไซต์ภายนอก การแสดงคำเตือนปลอม การเปลี่ยนข้อมูลลงทะเบียน และการใช้บริการคลาวด์ในทางมิชอบ

นักวิจัยกล่าวถึงความเป็นไปได้ที่จะใช้ปัญญาประดิษฐ์ค้นหาซ้ำในเว็บไซต์จำนวนมาก แต่ยังไม่มีการยืนยันว่ามีการใช้ AI หรือเป้าหมายสูงสุดของผู้โจมตีคืออะไร กิจกรรมที่พบมุ่งไปที่สิทธิ์การเข้าถึง การตั้งค่า การยืนยันตัวตน และช่องโหว่ที่ทราบกันแล้ว สมมติฐานหนึ่งที่นักวิจัยเสนอคือ ชื่อ รายละเอียดบริการ และข้อมูลการจองที่รวบรวมได้อาจช่วยให้มิจฉาชีพเขียนข้อความฟิชชิงหรือโทรหลอกลวงในภายหลังได้แนบเนียนขึ้น

อดีตลูกค้าก็ได้รับผลกระทบจากการละเมิดข้อมูล

เหตุละเมิดข้อมูลของ Park24 เกี่ยวข้องกับข้อมูลสมาชิกประมาณ 6.6 ล้านรายการ รวมถึงอดีตสมาชิก และเอกสารยืนยันตัวตนราว 1.6 ล้านชิ้น เช่น ภาพใบขับขี่ Times Car เก็บเอกสารยืนยันตัวตนไว้นานถึงเจ็ดปีหลังลูกค้ายุติการเป็นสมาชิก

เมื่อวันที่ 16 ตุลาคม Park24 ระบุว่ามีแผนลบภาพเอกสารยืนยันตัวตนทั้งหมดให้เสร็จภายในสิ้นเดือนนั้น การตอบสนองของบริษัทกำหนดเส้นตายที่ชัดเจนให้กับประเด็นซึ่ง IPA หยิบยกขึ้นมาเช่นกัน นั่นคือธุรกิจต้องตรวจสอบว่ายังจำเป็นต้องเก็บข้อมูลที่มีอยู่หรือไม่

อดีตสมาชิกของ Bookoff ราว 210,000 รายคิดเป็นประมาณ 3.3% ของผู้คน 6.38 ล้านรายที่ระบุในคำชี้แจงภายหลังเกี่ยวกับข้อมูลรั่วไหล ส่วน Charm ร้านค้าปลีกสินค้าสัตว์เลี้ยง ระบุว่าข้อมูลส่วนใหญ่จากราว 25,000 รายการของอดีตลูกค้ารั่วไหล

ดังนั้น การปิดบัญชีอาจยังไม่ช่วยให้ลูกค้าพ้นความเสี่ยงเป็นเวลาหลายปี หากธุรกิจยังเก็บข้อมูลที่เกี่ยวข้องไว้ รายละเอียดการติดต่ออาจช่วยให้มิจฉาชีพปลอมตัวเป็นบริการที่คุ้นเคย ขณะที่รหัสผ่านและภาพเอกสารยืนยันตัวตนก่อความเสี่ยงเพิ่มเติม Macnica แนะนำให้ทบทวนข้อมูลที่ไม่จำเป็น รวมถึงรายละเอียดส่วนบุคคลที่ไม่คาดคิดซึ่งสะสมอยู่ในช่องบันทึก และยกเลิกคีย์ API เมื่อปิดบริการ

สิ่งที่ IPA ต้องการให้องค์กรตรวจสอบในขณะนี้

คำแนะนำของ IPA เมื่อวันที่ 9 ตุลาคมเรียกร้องให้ตรวจสอบแอปพลิเคชันที่เชื่อมต่ออินเทอร์เน็ต บริการและบัญชีภายนอก รวมถึงข้อมูลที่จัดเก็บไว้อย่างเร่งด่วน โดยกำหนดให้ผู้บริหารบริษัทเป็นผู้รับผิดชอบ โดยเฉพาะธุรกิจที่จัดการข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวในปริมาณมาก

สำหรับแอปพลิเคชัน IPA แนะนำให้ตรวจสอบบันทึกการใช้งานล่าสุด ซึ่งเป็นข้อมูลกิจกรรมที่ระบบเก็บไว้ และตรวจสอบว่ามีแพตช์ความปลอดภัยที่ยังไม่ได้ติดตั้งหรือไม่ ควรเริ่มตรวจสอบย้อนหลังราวหนึ่งเดือน แล้วขยายเป็นสามเดือน โดยมองหาปริมาณข้อผิดพลาดที่ผิดปกติและความเปลี่ยนแปลงจากกิจกรรมตามปกติ

สำหรับบริการภายนอก รวมถึงบริการคลาวด์และ VPN บริษัทควรจัดทำรายการบริการที่องค์กรและแต่ละแผนกใช้งาน พร้อมกำหนดระยะเวลาการเก็บบันทึกว่าใครสามารถตรวจสอบได้ และผู้ให้บริการมีบันทึกข้อมูลที่ลูกค้าไม่สามารถเห็นได้โดยตรงหรือไม่

การตรวจสอบบัญชีควรมองหาผู้ใช้ที่ไม่คุ้นเคย และบัญชีที่กลับมาใช้งานทั้งที่เคยถูกปิดใช้งานหรือลบไปแล้ว เวลาและสถานที่เข้าสู่ระบบที่ผิดปกติ รวมถึงการพยายามเข้าสู่ระบบไม่สำเร็จซ้ำ ๆ ก็ควรได้รับการตรวจสอบ IPA แนะนำให้ถือว่าบันทึกหรือบัญชีที่ผิดปกติเป็นเหตุการณ์ด้านความปลอดภัย และขอให้ผู้เชี่ยวชาญเข้าตรวจสอบ

คำแนะนำที่เกี่ยวข้องของ Macnica รวมถึงการตรวจสอบว่า API บังคับใช้สิทธิ์ที่เซิร์ฟเวอร์หรือไม่ การลบข้อมูลลับที่ฝังอยู่ในแอป การปกป้องบัญชีผู้ดูแลระบบด้วยขั้นตอนยืนยันตัวตนหลายขั้น และการจำกัดการเข้าถึงฟังก์ชันจัดการระบบ การเฝ้าระวังยังต้องมีผู้รับผิดชอบที่ชัดเจน ซึ่งจะตรวจสอบการแจ้งเตือน ติดต่อผู้เกี่ยวข้อง และเริ่มการสอบสวน

IPA กำลังเตรียมโครงการประเมินความปลอดภัยสำหรับห่วงโซ่อุปทาน ซึ่งเรียกว่าโครงการประเมิน SCS โดยมีแผนเริ่มใช้ในเดือนมีนาคม 2027 เกณฑ์ประเมินร่วมกันนี้มีเป้าหมายช่วยให้ลูกค้าและผู้รับเหมาทำความเข้าใจสภาพความปลอดภัยของธุรกิจต่าง ๆ ที่แบ่งปันข้อมูลระหว่างกัน

เหตุการณ์ลักษณะเดียวกันเกิดขึ้นนอกญี่ปุ่นด้วย

Macnica ระบุเหตุการณ์ลักษณะเดียวกัน 99 ครั้งใน 13 ประเทศและดินแดน โดยส่วนใหญ่เกิดขึ้นระหว่างเดือนกรกฎาคมถึงกันยายน 2026 เกาหลีใต้มี 30 ครั้ง ฝรั่งเศส 11 ครั้ง และโปแลนด์ 8 ครั้ง

กรณีในเกาหลีใต้เกี่ยวข้องกับเว็บไซต์และ API ในภาคการซื้อสินค้า การจอง การศึกษา และการสนับสนุนทางการเงิน ซึ่งมีความหลากหลายคล้ายกับบริการที่ปรากฏในรายงานของญี่ปุ่น

กฎหมายและแนวปฏิบัติด้านการเปิดเผยข้อมูลมีผลต่อจำนวนเหตุการณ์ที่กลายเป็นข่าวในแต่ละประเทศ Macnica ระบุว่าญี่ปุ่นเป็นประเทศที่โดดเด่นในการตรวจสอบของบริษัท แต่ยังไม่สรุปว่าผู้โจมตีมุ่งเป้าญี่ปุ่นเป็นพิเศษหรือไม่

สำหรับกรณีต่าง ๆ ในญี่ปุ่น สิ่งที่ต้องทำในทันทีนั้นชัดเจน ได้แก่ ค้นหากิจกรรมที่ไม่ได้รับอนุญาต รักษาความปลอดภัยในการเข้าถึงข้อมูลลูกค้า และลบข้อมูลที่ไม่จำเป็นต้องเก็บอีกต่อไป เหตุการณ์ที่เกี่ยวข้องกับผู้รับเหมาและข้อมูลอดีตสมาชิกที่ถูกเปิดเผยแสดงให้เห็นว่า งานดังกล่าวต้องครอบคลุมมากกว่าเว็บไซต์หลักของบริษัทและรายชื่อลูกค้าปัจจุบัน

ประเด็นสำคัญ

• Macnica ประเมินว่าข้อมูลส่วนบุคคลที่อาจรั่วไหลจากการเข้าถึงโดยไม่ได้รับอนุญาตในปี 2026 มีมากกว่า 165 ล้านรายการ โดยอาจนับบุคคลซ้ำเมื่อข้อมูลอยู่ในหลายบริการ
• การตรวจสอบเว็บไซต์ในขอบเขตที่แคบกว่าของ Macnica บันทึกการเปิดเผยเหตุการณ์ 119 ครั้งภายในวันที่ 6 ตุลาคม ซึ่งรวม 81 ครั้งตั้งแต่เดือนกรกฎาคมเป็นต้นมา
• Sourcenext เปิดเผยข้อมูล 22,519,960 รายการที่อาจได้รับผลกระทบ ส่วน Adventure รายงานราว 14.64 ล้านรายการ
• เหตุละเมิดข้อมูลที่ผู้รับเหมาก่อขึ้นส่งผลถึงลูกค้าของธุรกิจขนาดใหญ่ ขณะที่ข้อมูลที่ยังเก็บไว้ทำให้อดีตสมาชิกของ Park24, Bookoff และ Charm ได้รับผลกระทบ
• IPA เรียกร้องให้เร่งตรวจสอบบันทึกการใช้งาน แพตช์ บัญชี บริการภายนอก และข้อมูลที่จัดเก็บไว้
• Park24 วางแผนลบภาพเอกสารยืนยันตัวตนให้เสร็จภายในสิ้นเดือนตุลาคม ส่วนโครงการประเมินความปลอดภัยของห่วงโซ่อุปทานของ IPA มีกำหนดเริ่มในเดือนมีนาคม 2027