So-net (Sony): 2,6 milioane de înregistrări ale clienților furate

Sony Network Communications, compania grupului Sony care administrează în Japonia furnizorul de internet So-net, a anunțat pe 27 octombrie 2026 că o terță parte neautorizată a pătruns în baza de date a clienților și a sustras 2.585.481 de înregistrări ale clienților actuali și foști, plus 54.401 adrese de e-mail împreună cu parolele lor. Help Net Security, BleepingComputer și SecurityWeek relatează știrea în mod concordant, pe baza anunțului publicat de companie.

Ce s-a întâmplat

Succesiunea faptelor, așa cum o reconstituie cele trei surse:

• 19 octombrie: are loc accesul neautorizat la baza de date a clienților So-net;
• 23 octombrie: compania îl descoperă, oprește serverul afectat și blochează comunicațiile cu sursa accesului;
• 24 octombrie: investigația confirmă scurgerea de date personale și stabilește categoriile și volumele;
• 27 octombrie: anunț public, resetarea parolelor de e-mail afectate și raportare către Personal Information Protection Commission, autoritatea japoneză pentru protecția datelor.

Între intruziune și descoperirea ei au trecut deci patru zile. Drept cauză, compania indică doar un „acces neautorizat din partea unor terți”: vectorul de intrare nu a fost făcut public, iar investigația continuă. De aceea nu se pot asocia tehnici MITRE ATT&CK specifice intruziunii, iar nicio sursă nu raportează revendicări.

Ce date au fost expuse

Înregistrările clienților (2.585.481). Potrivit Help Net Security, 2.141.986 sunt înregistrări So-net (1.869.771 de clienți actuali și 272.215 persoane care au renunțat la serviciu din martie 2026 încoace), iar 443.495 aparțin plala (S Course), dintre care 21.130 de foști clienți. Conțin nume, număr de telefon, adresă de e-mail, ID de utilizator, data nașterii, sex și ID-ul de conectare la internet. În aceste înregistrări, precizează compania, nu există parole. SecurityWeek explică faptul că datele foștilor clienți sunt păstrate o vreme pentru a gestiona ultimele facturi și cererile de asistență; cine a reziliat până la sfârșitul lui februarie 2026 nu este afectat.

BleepingComputer adaugă că înregistrările plala privesc NTT Docomo, care contractează Sony Network Communications pentru furnizarea serviciilor Docomo Hikari. Potrivit aceleiași publicații, Docomo și-a anunțat clienții, consideră afectați toți clienții Hikari actuali și pe cei care au reziliat în ultimele șase luni și avertizează deja asupra e-mailurilor de phishing și a site-urilor false care imită programul d POINT Club și o campanie de bilete la Universal Studios Japan.

Căsuțe de e-mail (54.401). Pentru patru servicii de e-mail suplimentare, atacatorii au obținut atât adresa, cât și parola: Mail Service (G), gratuit, cu 24.655 de adrese, și serviciile plătite A-Box, So-net VAIO Mail și PostPet Mail Account Service. Pentru căsuța de bază inclusă în abonament, scrie SecurityWeek, nu s-a constatat furtul parolelor. În secțiunea de întrebări frecvente citată de SecurityWeek, compania scrie că oricine deținea datele putea citi, trimite și primi e-mailuri cu un client de e-mail sau prin webmail: de aceea a resetat parolele pe 27 octombrie, iar utilizatorii trebuie să aleagă una nouă din portalul So-net My Page. Sursele nu spun cum erau stocate parolele.

Alte date. Help Net Security și SecurityWeek raportează și 16 înregistrări cu date bancare (banca, sucursala, tipul și numărul contului, titularul, fără PIN, pe care compania spune că nu îl deține), în timp ce BleepingComputer scrie că nu au fost expuse date bancare: sursele diferă în această privință. Doar Help Net Security menționează datele din șapte notificări de resetare a parolei trimise clienților, ale căror parole au fost deja resetate. Nicio dată de card de credit, pe care So-net nu le stochează; serviciul de fibră NURO și celelalte servicii nu par afectate.

La 27 octombrie compania nu constatase daune secundare, dar avertizează că ar putea sosi mesaje suspecte care folosesc datele furate.

Contextul

BleepingComputer încadrează incidentul într-o serie de atacuri asupra companiilor și furnizorilor japonezi în 2026, printre care KDDI (12 milioane de clienți), GMO Internet Group și atacul ransomware asupra IDC Frontier, și scrie că guvernul japonez a ținut reuniuni de urgență pentru a organiza răspunsul. SecurityWeek amintește, printre altele, cazurile Nikkei și al Agenției Digitale japoneze. În fine, Help Net Security relatează, ca episod separat și neconfirmat de Sony Interactive Entertainment, sesizări privind conturi PlayStation Network deturnate: nicio sursă nu îl leagă de breșa So-net.

De ce contează și în Europa

Aproape toți clienții afectați sunt în Japonia, dar cazul atinge două teme comune tuturor furnizorilor și oricui gestionează baze mari de clienți:

• datele foștilor clienți: peste 290.000 de înregistrări aparțin unor persoane care renunțaseră deja la serviciu. Cu GDPR și NIS2, limitarea duratei de stocare reduce direct impactul unei breșe;
• serviciile de e-mail legate de abonament: cu o adresă și o parolă valide, un atacator poate citi corespondența, poate cere resetarea parolelor altor servicii și poate trimite phishing din căsuțe legitime.

În UE, furnizorii de comunicații electronice intră în sfera NIS2, cu avertizarea timpurie pentru incidentele semnificative în 24 de ore; pentru datele personale, GDPR impune notificarea autorității de supraveghere în 72 de ore.

Ce să faci acum

Dacă administrezi o bază de date a clienților expusă serviciilor online:

• separă datele personale de credențialele serviciilor, cu conturi de aplicație distincte și privilegii minime;
• configurează alerte pentru interogări și exporturi masive și pentru trafic de ieșire anormal de pe serverele de baze de date: aici au fost necesare patru zile pentru a observa intruziunea;
• stochează parolele doar cu funcții hash lente și cu sare și șterge sau anonimizează datele foștilor clienți imediat ce se încheie obligațiile de facturare;
• pregătește o procedură de resetare forțată a credențialelor care să poată fi aplicată în câteva ore.

Dacă angajații sau filialele folosesc căsuțe sau conturi la un furnizor afectat de o breșă:

• schimbă parola căsuței și pe cea a oricărui serviciu care folosește aceeași parolă și activează autentificarea multifactor acolo unde este disponibilă;
• verifică regulile de redirecționare și filtrele adăugate recent în căsuțe: sunt o metodă obișnuită de a păstra accesul după o resetare;
• avertizează utilizatorii să nu răspundă la e-mailuri, SMS-uri sau apeluri care citează date personale pentru a cere plăți, coduri sau credențiale.

Cum te poate ajuta ARXDOME

ARX Expose îți arată ce vede un atacator despre compania ta din exterior, inclusiv conturile companiei implicate în breșe cunoscute și domeniile asemănătoare cu al tău înregistrate de alții, folosite adesea în campaniile de phishing care urmează unei scurgeri de date. ARX Sentry colectează jurnale și evenimente de la servere și firewall-uri și semnalează activitatea anormală, ca să observi mai devreme accesările și exporturile ieșite din comun.

Ultima actualizare: 29 octombrie 2026