So-net (Sony): violati 2,6 milioni di record dei clienti

Sony Network Communications, la società del gruppo Sony che gestisce in Giappone il provider internet So-net, ha comunicato il 27 ottobre 2026 che un terzo non autorizzato è entrato nel database dei clienti e ha sottratto 2.585.481 record di clienti attuali ed ex clienti, oltre a 54.401 indirizzi email con la relativa password. Help Net Security, BleepingComputer e SecurityWeek riportano la notizia in modo concorde, sulla base dell’avviso pubblicato dall’azienda.

Cosa è successo

La sequenza dei fatti, come la ricostruiscono le tre fonti:

• 19 ottobre: avviene l’accesso abusivo al database dei clienti di So-net;
• 23 ottobre: l’azienda se ne accorge, spegne il server colpito e blocca le comunicazioni con l’origine dell’accesso;
• 24 ottobre: l’indagine conferma la fuga di dati personali e ne stabilisce categorie e numeri;
• 27 ottobre: avviso pubblico, reset delle password email coinvolte e segnalazione alla Personal Information Protection Commission, l’autorità giapponese per la protezione dei dati.

Tra l’intrusione e la scoperta sono quindi passati quattro giorni. Come causa l’azienda indica soltanto un «accesso non autorizzato da parte di terzi»: il vettore d’ingresso non è stato reso noto e l’indagine è ancora in corso. Per questo non si possono associare tecniche MITRE ATT&CK specifiche all’intrusione, e nessuna fonte riporta rivendicazioni.

Quali dati sono esposti

Record dei clienti (2.585.481). Secondo Help Net Security sono 2.141.986 record di So-net (1.869.771 clienti attuali e 272.215 persone che hanno lasciato il servizio da marzo 2026 in poi) e 443.495 di plala (S Course), di cui 21.130 ex clienti. Contengono nome, numero di telefono, indirizzo email, ID utente, data di nascita, sesso e ID di connessione a internet. In questi record, precisa l’azienda, non ci sono password. SecurityWeek spiega che i dati degli ex clienti vengono conservati per un certo periodo per gestire le ultime fatture e le richieste di assistenza; chi ha disdetto entro fine febbraio 2026 non è coinvolto.

BleepingComputer aggiunge che i record plala riguardano NTT Docomo, che affida a Sony Network Communications la fornitura dei servizi Docomo Hikari. Secondo la stessa testata Docomo ha avvisato i propri clienti, indica come coinvolti tutti i clienti Hikari attuali e chi ha disdetto nei sei mesi precedenti, e segnala già email di phishing e siti falsi che imitano il programma d POINT Club e un concorso per biglietti di Universal Studios Japan.

Caselle email (54.401). Per quattro servizi di posta aggiuntivi gli attaccanti hanno ottenuto indirizzo e password: Mail Service (G), gratuito, con 24.655 indirizzi, e i servizi a pagamento A-Box, So-net VAIO Mail e PostPet Mail Account Service. Per la casella di base inclusa nell’abbonamento, riporta SecurityWeek, non risultano password sottratte. Nella FAQ citata da SecurityWeek l’azienda scrive che chi aveva i dati poteva leggere, inviare e ricevere email con un client di posta o con la webmail: per questo il 27 ottobre ha azzerato le password, e gli utenti devono sceglierne una nuova dal portale So-net My Page. Le fonti non dicono come fossero conservate le password.

Altri dati. Help Net Security e SecurityWeek riportano anche 16 record con coordinate bancarie (banca, filiale, tipo e numero di conto, intestatario, senza PIN, che l’azienda dice di non conservare), mentre BleepingComputer scrive che non sono stati esposti dati bancari: le fonti su questo punto divergono. Solo Help Net Security cita i dati di sette avvisi di reset della password inviati ai clienti, con le relative password già azzerate. Nessun dato di carte di credito, che So-net non conserva; il servizio in fibra NURO e gli altri servizi non risultano coinvolti.

Al 27 ottobre l’azienda non aveva riscontrato danni secondari, ma avverte che potrebbero arrivare comunicazioni sospette che sfruttano i dati rubati.

Il contesto

BleepingComputer inquadra l’incidente in una serie di attacchi contro aziende e provider giapponesi nel 2026, tra cui KDDI (12 milioni di clienti), GMO Internet Group e il ransomware contro IDC Frontier, e scrive che il governo giapponese ha tenuto riunioni urgenti per organizzare la risposta. SecurityWeek ricorda tra gli altri i casi di Nikkei e della Digital Agency giapponese. Help Net Security riferisce infine, in un episodio distinto e non confermato da Sony Interactive Entertainment, segnalazioni di account PlayStation Network dirottati: nessuna fonte lo collega alla violazione di So-net.

Perché interessa anche in Europa

I clienti colpiti sono quasi tutti in Giappone, ma il caso riguarda due temi comuni a tutti i provider e a chi gestisce grandi basi clienti:

• dati degli ex clienti: oltre 290.000 record appartengono a persone che avevano già lasciato il servizio. Con GDPR e NIS2 la limitazione della conservazione riduce direttamente l’impatto di una violazione;
• servizi di posta collegati all’abbonamento: con indirizzo e password validi un attaccante può leggere la corrispondenza, chiedere il reset delle password di altri servizi e inviare phishing da caselle legittime.

In Italia gli operatori di comunicazioni elettroniche rientrano nel perimetro della NIS2, con la notifica preliminare dell’incidente significativo entro 24 ore; per i dati personali vale la notifica al Garante entro 72 ore prevista dal GDPR.

Cosa fare subito

Se gestisci un database clienti esposto a servizi online:

• separa i dati anagrafici dalle credenziali dei servizi, con utenze applicative distinte e privilegi minimi;
• imposta allarmi su consultazioni ed esportazioni massive e su traffico in uscita anomalo dai server del database: qui sono serviti quattro giorni per accorgersene;
• conserva le password solo con funzioni di hash lente e con sale, e cancella o anonimizza i dati degli ex clienti appena finiscono gli obblighi di fatturazione;
• prepara una procedura di reset forzato delle credenziali, da usare entro poche ore.

Se dipendenti o filiali usano caselle o account di provider coinvolti in una violazione:

• cambia la password della casella e di ogni servizio che usa la stessa password, e attiva l’autenticazione a più fattori dove disponibile;
• controlla regole di inoltro e filtri aggiunti di recente nelle caselle: sono un modo comune per mantenere l’accesso dopo un reset;
• avvisa gli utenti di non rispondere a email, SMS o telefonate che citano dati personali per chiedere pagamenti, codici o credenziali.

Come può aiutare ARXDOME

ARX Expose mostra cosa vede un attaccante della tua azienda da fuori, compresi gli account aziendali coinvolti in violazioni note e i domini simili al tuo registrati da altri, spesso usati nelle campagne di phishing che seguono una fuga di dati. ARX Sentry raccoglie log ed eventi di server e firewall e segnala le attività anomale, utili per accorgersi prima di accessi ed esportazioni fuori dal normale.

Ultimo aggiornamento: 29 ottobre 2026