Nikkei: credențiale furate, 1,83 milioane de înregistrări expuse

Nikkei Inc., grupul japonez de informații economice și financiare care publică ziarul Nikkei și Financial Times, a anunțat o nouă breșă de date: folosind credențiale furate anterior, cineva a intrat într-un serviciu cloud folosit pentru dezvoltarea sistemelor și a avut acces la aproximativ 1,83 milioane de înregistrări. Potrivit BleepingComputer, este al treilea incident de securitate făcut public de companie în aproximativ o lună.

Ce s-a întâmplat

Potrivit anunțului publicat de Nikkei, preluat de BleepingComputer, SecurityWeek și Security Affairs, accesul neautorizat a avut loc în primele ore ale dimineții de 7 octombrie 2026. Atacatorii au folosit credențiale de acces deja compromise; compania le-a revocat după ce a descoperit accesul, iar pe 11 octombrie a notificat breșa către Personal Information Protection Commission, autoritatea japoneză pentru protecția datelor.

Sursele descriu sistemul afectat ușor diferit: pentru SecurityWeek și Security Affairs, care citează anunțul, este un serviciu cloud folosit de Nikkei pentru dezvoltarea sistemelor; pentru BleepingComputer, un sistem de dezvoltare din rețeaua companiei, prin care au fost expuse date personale stocate în cloud. Nikkei nu a precizat despre ce serviciu este vorba și nici cum au fost furate credențialele.

Datele implicate

Potrivit anunțului, la 16 octombrie sunt implicate aproximativ 1,83 milioane de elemente de informații personale:

• aproximativ 150.000 conțin cel puțin unul dintre aceste date: nume, adresă de e-mail, adresă poștală, număr de telefon, dată de naștere;
• dintre acestea, aproximativ 120.000 includ o adresă de e-mail;
• aproximativ 1,68 milioane conțin doar informații care, singure, nu identifică o persoană;
• nicio înregistrare nu conține date ale cardurilor de credit.

La 16 octombrie, Nikkei declară că nu a găsit dovezi de folosire abuzivă a datelor și nici, potrivit BleepingComputer, de publicare a lor online; nu au existat întreruperi ale serviciilor și nici modificări ale datelor. Investigația privind amploarea și cauza incidentului continuă, iar persoanele implicate vor fi anunțate individual.

Incidentele anterioare

Potrivit BleepingComputer, la începutul lui octombrie Nikkei făcuse deja publică o breșă petrecută la sfârșitul lui iulie: fusese compromis contul Google Workspace al unui angajat, cu acces la date personale ale angajaților și partenerilor de afaceri. În septembrie, compania anunțase că contul Microsoft 365 al altui angajat fusese folosit pentru a trimite e-mailuri de spear phishing personalului. SecurityWeek și Security Affairs amintesc și o breșă pornită de la un cont Slack compromis, anunțată, potrivit Security Affairs, în noiembrie 2025.

Nikkei nu a spus dacă credențialele folosite pe 7 octombrie provin din unul dintre incidentele anterioare: pe baza informațiilor publice, legătura nu poate fi stabilită.

Detalii tehnice

Nu există CVE și nici malware: accesul s-a făcut cu credențiale valide. Din ce se știe, schema se încadrează în tehnicile MITRE ATT&CK Valid Accounts: Cloud Accounts (T1078.004) și, pentru colectarea datelor, Data from Cloud Storage (T1530). Nu au fost publicați indicatori de compromitere.

Ce contează pentru cine administrează sisteme este locul incidentului: un mediu de dezvoltare care conținea date personale reale, 1,83 milioane de înregistrări. Mediile de dezvoltare și de test au adesea controale mai slabe decât cele de producție (conturi partajate, chei cu durată lungă, mai puțină monitorizare), dar pot conține copii ale acelorași date.

Impactul pentru companiile europene și italiene

Pentru GDPR, datele personale din mediile de dezvoltare se tratează ca cele din producție: necesită aceleași măsuri de securitate (art. 32) și protecția datelor încă din faza de proiectare (art. 25), adică date minime, pseudonimizate sau sintetice. Un acces neautorizat la aceste date este o breșă care trebuie evaluată pentru notificarea autorității de supraveghere în 72 de ore.

Pentru entitățile NIS2 (în Italia, Decretul legislativ 138/2024), gestionarea accesului, autentificarea multifactor și securitatea în dezvoltarea sistemelor se numără printre măsurile de gestionare a riscurilor prevăzute.

Există și un risc indirect: 120.000 de adrese de e-mail asociate cu nume și date de contact permit phishing credibil în numele Nikkei sau al Financial Times, inclusiv împotriva angajaților companiilor europene abonate.

Ce să faci acum

1. Fă inventarul mediilor de dezvoltare și de test din cloud: ce servicii, cine are acces, ce date conțin. Tratează la fel depozitele de cod, bazele de date de test și stocarea de obiecte.
2. Elimină datele personale reale din mediile de dezvoltare: folosește date sintetice sau mascate; unde sunt necesare date reale, doar minimul, cu termen de expirare și ștergere.
3. Protejează accesul ca în producție: autentificare unică (single sign-on) a companiei, autentificare multifactor rezistentă la phishing (FIDO2 sau passkey), fără conturi partajate, chei API și tokenuri cu durată scurtă.
4. După orice cont compromis, schimbă tot ce putea vedea: parole, tokenuri, chei și secrete păstrate în e-mail, chat și documente, nu doar parola contului afectat.
5. Adu jurnalele din cloud în monitorizare: accesări din țări sau dispozitive noi, accesări în afara programului, exporturi masive de date, chei de acces noi.
6. Caută credențialele companiei expuse în breșe și pe piețele de credențiale furate și dezactivează-le pe cele găsite.

Cum ajută ARXDOME

ARX Expose semnalează conturile companiei expuse în breșe cunoscute, astfel încât credențialele compromise să poată fi dezactivate înainte ca cineva să le folosească. ARX Sentry colectează jurnale și evenimente de pe calculatoare, servere și firewalluri și le grupează în familii precum autentificări eșuate, folosirea de credențiale explicite și modificări ale conturilor. ARX Retain păstrează jurnalele pentru a reconstitui, în caz de investigație, cine a avut acces și când.

Ultima actualizare: 20 octombrie 2026