Naruszenia bezpieczeństwa danych w Japonii w 2026 r.: Co wydarzyło się w firmach Skyticket i Muji

Październik 2026 roku okazał się jednym z najbardziej burzliwych miesięcy dla cyberbezpieczeństwa przedsiębiorstw w Japonii. W odstępie zaledwie kilku tygodni internetowe biuro podróży Skyticket oraz znana sieć detaliczna Muji ujawniły poważne incydenty związane z bezpieczeństwem, w wyniku których ujawniono łącznie ponad 40 milionów rekordów użytkowników. Ujawnienia te miały miejsce w ramach tej samej fali włamań, która dotknęła głównych dostawców usług logistycznych, gastronomicznych i rozrywkowych w całym kraju.

Chociaż włamania do baz danych trafiają na pierwsze strony gazet dzięki ogromnym liczbom, pierwsza kradzież rzadko stanowi koniec szkód ponoszonych przez konsumentów. Dla milionów zarejestrowanych użytkowników największe zagrożenie finansowe pojawia się podczas drugiej fali ataków: phishingu polegającego na podszywaniu się pod markę. Gdy cyberprzestępcy zdobędą autentyczne listy adresów e-mail klientów, zyskują idealne narzędzie do przeprowadzania przekonujących oszustw podszywających się pod oficjalną korespondencję firmową.

Fala naruszeń bezpieczeństwa w Japonii w 2026 r. w szerszym kontekście

Incydenty w firmach Skyticket i Muji nie były odosobnionymi przypadkami. W październiku 2026 r. w japońskich sektorach handlu detalicznego, transportu, gier i oprogramowania doszło do bezprecedensowej fali ujawnionych przypadków naruszeń cyberbezpieczeństwa. Wiele z tych incydentów miało swoje źródło w oprogramowaniu stron trzecich, zapleczu administracyjnym lub narażonych interfejsach aplikacji, a nie w bezpośrednich naruszeniach zabezpieczeń obwodowych.

Jak donosi agencja Jiji Press za pośrednictwem serwisu Nippon.com, sama firma Sagawa Express pokazała, jak szeroko rozprzestrzeniły się dane osobowe w publicznych sieciach dostawczych. Aby zrozumieć szersze słabe punkty systemowe występujące w krajowych przedsiębiorstwach, zapoznaj się z naszą listą najlepszych praktyk w zakresie cyberbezpieczeństwa zawierającą zalecenia dotyczące ochrony operacyjnej.

Wyciek danych w serwisie Skyticket: co się wydarzyło

Firma Adventure, Inc., notowana na giełdzie w Tokio i będąca operatorem serwisu Skyticket, ujawniła, że osoby atakujące uzyskały nieuprawniony dostęp do wewnętrznych systemów za pośrednictwem trzech różnych wektorów.

Harmonogram i zakres

Firma Adventure potwierdziła trzy odrębne przypadki naruszenia bezpieczeństwa operacyjnego:

1. Włamanie do serwerów i pamięci masowej w chmurze: W dniach od 2 do 4 października 2026 r. osoby atakujące manipulowały funkcjami administracyjnymi w systemie Skyticket, uzyskując dostęp do wewnętrznych serwerów firmy i baz danych w chmurze. Włamanie wykryto 5 października.
2. Włamanie do systemu zarządzania przedsiębiorstwem: 20 września doszło do włamania wykorzystującego niezałatane luki w zabezpieczeniach oprogramowania, które zostało wykryte 28 września. Atak był wymierzony w administracyjne rejestry księgowe.
3. Luka w konfiguracji systemu rezerwacji biletów autobusowych: W okresie od 3 sierpnia do 1 października strony potwierdzające rezerwację w portalu rezerwacji autobusów platformy były dostępne bez konieczności uwierzytelniania logowania. Zautomatyzowane skrypty przejrzały około 12 000 rezerwacji, zanim inżynierowie skorygowali uprawnienia 1 października.

Firma Adventure zgłosiła te zdarzenia do japońskiej Komisji ds. Ochrony Danych Osobowych (PPC) i 8 października rozpoczęła wysyłanie wiadomości e-mail do użytkowników, których dotyczyła ta sprawa.

Jakie dane zostały ujawnione

Główny wyciek danych z chmury dotyczył około 14,64 mln rekordów klientów. Wśród ujawnionych informacji znalazły się imiona i nazwiska klientów (w tym transkrypcje w alfabecie łacińskim zgodne z paszportami), daty urodzenia, adresy e-mail, numery telefonów, adresy pocztowe oraz nazwy nadawców przelewów bankowych. Około 4,13 mln z tych rekordów zawierało hasła użytkowników zapisane w postaci zaszyfrowanej.

Chociaż firma Adventure oświadczyła, że w jej głównych bazach danych dotyczących lotów nie przechowywano aktywnych numerów kart kredytowych ani zdjęć paszportowych, kolejne ujawnione informacje wskazały na dodatkowe zagrożenia. 28 października firma Adventure potwierdziła, że doszło również do uzyskania dostępu do niezaszyfrowanej kopii zapasowej przechowywanej w chmurze. Kopia ta zawierała 32 341 numerów rachunków bankowych zarejestrowanych w celu zwrotu środków klientom w okresie od marca 2022 r. do maja 2024 r., a także 118 000 rekordów dotyczących wniosków o ubezpieczenie podróżne.

Ponadto sprawa dotyczyła około 936 000 rejestrów transakcji zawierających częściowo zamaskowane numery kart kredytowych. W 12 przypadkach numery kart, które zostały nieprawidłowo wpisane w polu przeznaczonym na imię i nazwisko posiadacza karty, zostały zapisane w postaci zwykłego tekstu. Oddzielna analiza potwierdziła, że starsze rejestry płatności z 2018 roku ujawniły pełne dane kart kredytowych należące do około 6 140 subskrybentów usługi skyticket Premium. W odpowiedzi firma Adventure zawiesiła transakcje realizowane przy użyciu zapisanych kart i zaleciła zresetowanie haseł na wszystkich kontach członków.

Wyciek danych z aplikacji Muji: co się stało

30 października 2026 r. firma Ryohin Keikaku Co., Ltd., spółka dominująca sieci sklepów z artykułami codziennego użytku Muji, poinformowała o nieautoryzowanym dostępie z zewnątrz do swojej oficjalnej platformy mobilnej – aplikacji MUJI.

Firma ustaliła, że nieuprawniona strona trzecia włamala się do zaplecza aplikacji, co mogło narazić na ujawnienie dane nawet 27,26 mln klientów. Liczba ta obejmowała nie tylko aktywnych klientów, ale także byłych członków, którzy wcześniej zamknęli swoje konta.

Firma Ryohin Keikaku potwierdziła, że ujawnione dane ograniczały się do trzech konkretnych elementów:

• Zarejestrowane adresy e-mail
• Daty urodzenia
• Deklarowana płeć

W przeciwieństwie do incydentu związanego z serwisem Skyticket, włamanie do serwisu Muji nie dotyczyło nazwisk klientów, adresów zamieszkania, numerów telefonów ani danych kart płatniczych. Firma Ryohin Keikaku wyjaśniła również, że konta klientów serwisu Muji China są przechowywane na oddzielnej, zlokalizowanej infrastrukturze serwerowej i nie zostały naruszone.

W swoim pierwszym komunikacie sprzedawca potwierdził, że nie znalazł dowodów na to, by skradzione dane krążyły na rynkach w dark webie. Kierownictwo firmy skierowało jednak bezpośrednie ostrzeżenie do użytkowników: osoby atakujące, dysponujące prawdziwymi adresami e-mail klientów, często wysyłają fałszywe wiadomości e-mail, które naśladują styl marki Muji.

Warto zauważyć, że dokładnie tego samego dnia japońska grupa restauracyjna Matsuya Foods Holdings poinformowała o innym włamaniu do aplikacji, które dotknęło 2,38 mln rekordów. Incydent ten nawiązywał również do problemów w łańcuchu dostaw z października 2025 r., kiedy to infekcja oprogramowaniem ransomware u partnera logistycznego, firmy Askul Corporation, tymczasowo sparaliżowała kanały sprzedaży internetowej oraz centra realizacji zamówień sieci Muji. 

Organizacje, które analizują swoje strategie obronne w obliczu takich scenariuszy, powinny zapoznać się z naszym przewodnikiem na temat sposoby zapobiegania naruszeniom bezpieczeństwa danych , aby zidentyfikować typowe luki w zabezpieczeniach.

Dlaczego ujawnione adresy e-mail sprzyjają atakom phishingowym

Włamanie do korporacyjnej bazy danych często służy jako rozpoznanie przed przeprowadzeniem ataku socjotechnicznego. Gdy cyberprzestępca dowie się, że dany adres e-mail należy do klienta Skyticket lub Muji, skuteczność jego kampanii phishingowych wzrasta wykładniczo.

Zamiast wysyłać ogólne wiadomości spamowe do przypadkowych odbiorców, cyberprzestępcy tworzą przynęty dostosowane do kontekstu:

• Pilne odwołanie lotu: Osoba atakująca wysyła wiadomość e-mail, w której twierdzi, że ostatnia rezerwacja w serwisie Skyticket została anulowana z powodu awarii systemu, nakłaniając odbiorcę do kliknięcia linku i ponownego podania danych dotyczących płatności.
• Ostrzeżenie dotyczące przetwarzania zwrotów: Wykorzystując ujawnione przez Skyticket informacje o problemach z refundacjami bankowymi, oszuści wysyłają fałszywe powiadomienia, w których instruują odbiorców, aby zweryfikowali numery rozliczeniowe swoich banków lub hasła do kont na podrobionej stronie internetowej.
• Kupon rekompensacyjny w ramach programu lojalnościowego: Podszywając się pod firmę Muji, oszuści wysyłają wiadomości z ofertą bezpłatnej karty podarunkowej lub punktów w aplikacji jako przeprosiny za październikowy wyciek danych, kierując użytkowników na strony logowania służące do wykradania danych uwierzytelniających.

Japońska Agencja Policji Krajowej wielokrotnie ostrzegała, że zaufanie odbiorcy nie może opierać się wyłącznie na nazwach nadawców. Atakujący rutynowo maskują swoją tożsamość, podszywając się pod legalne marki korporacyjne. Analiza historycznych studiów przypadków znanych ataków phishingowych i naruszeń bezpieczeństwa danych pokazuje, że kolejne ataki phishingowe często powodują większe straty finansowe niż pierwotna kradzież bazy danych.

Jeśli podejrzewasz, że Twoje dane znalazły się wśród informacji ujawnionych niedawno w wyniku wycieku z firmy, możesz sprawdzić, czy Twój adres e-mail został ujawniony w specjalnych katalogach monitorujących ujawnione dane.

W jaki sposób uwierzytelnianie wiadomości e-mail ogranicza podszywanie się pod marki

Kiedy cyberprzestępcy podszywają się pod firmę, której systemy zostały naruszone, stosują dwie główne taktyki: bezpośrednie fałszowanie domen oraz rejestrację domen o podobnej nazwie. Wprowadzenie standardów uwierzytelniania wiadomości e-mail uniemożliwia atakującym nadużywanie reputacji marki.

SPF, DKIM i DMARC

• Sender Policy Framework (SPF): Publikuje listę autoryzowanych adresów IP, które mogą wysyłać wiadomości e-mail w imieniu domeny firmy.
• DomainKeys Identified Mail (DKIM): Dodaje podpis kryptograficzny do wiadomości wychodzących, potwierdzając, że treść i załączniki nie zostały zmienione podczas przesyłania.
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): Łączy protokoły SPF i DKIM w ramach jednej polityki domenowej. Gdy przedsiębiorstwo skonfiguruje DMARC z polityką egzekwowania p=reject, serwery pocztowe automatycznie odrzucają sfałszowane wiadomości e-mail, które próbują wykorzystać dokładną nazwę domeny marki w widocznym polu „Od”.
• Wskaźniki marki służące do identyfikacji wiadomości (BIMI): Wyświetla uwierzytelnione logo firmy obok przychodzących wiadomości w obsługiwanych skrzynkach odbiorczych użytkowników, zapewniając odbiorcom natychmiastowy wizualny dowód wiarygodności nadawcy.

Ograniczenia uwierzytelniania wiadomości e-mail

DMARC zapobiega fałszowaniu dokładnych nazw domen, ale atakujący dostosowują się do sytuacji. Kiedy oszuści zdają sobie sprawę, że firma chroni swoją dokładną nazwę domeny za pomocą ustawienia p=reject, rejestrują domeny oparte na literówkach (takie jak skytlcket-support.jp lub muji-rewards-app.com). Ponieważ atakujący jest właścicielem tej podobnej domeny, jego rekordy SPF i DKIM technicznie rzecz biorąc przejdą kontrole uwierzytelniające.

Rozwiązanie tego problemu wymaga monitorowania wielopoziomowego:

1. Egzekwowanie zasad w domenie dokładnej za pomocą protokołu DMARC w celu zabezpieczenia głównych kanałów wysyłania.
2. Analiza zagrożeń związanych z domenami w celu wykrywania fałszywych domen o podobnej nazwie, zanim rozpoczną one swoje kampanie.

Zrozumienie tych luk ma kluczowe znaczenie dla przedsiębiorstw w regionie. Zgodnie z analizami dotyczącymi wdrażania DMARC w Japonii, wiele wiodących organizacji publikuje rekordy DMARC, ale pozostawia politykę ustawioną na p=none. Polityka p=none jedynie monitoruje ruch, nie zapobiegając jednak trafianiu sfałszowanych wiadomości e-mail do skrzynek odbiorczych użytkowników. Aby uzyskać bardziej szczegółowe informacje na temat krajowych standardów wdrażania, zapoznaj się z naszą analizą dotyczącą DMARC w Japonii.

PowerDMARC pomaga organizacjom zautomatyzować wdrażanie protokołów SPF, DKIM i DMARC, umożliwiając jednocześnie bezpieczne przejście na rygorystyczne egzekwowanie reguły „p=reject”. Oprócz zarządzania protokołami PowerDMARC zapewnia automatyczne kierowanie alertów oraz wykrywanie domen podobnych, co pozwala zapobiegać fałszowaniu adresów za pomocą wariantów opartych na błędach ortograficznych.

Co powinni zrobić poszkodowani klienci

Jeśli posiadasz aktywne lub nieaktywne już konto w serwisie Skyticket, aplikacji MUJI lub innych serwisach, których dotyczyła październikowa fala ataków, podejmij następujące środki ostrożności:

• Unikaj linków zawartych w wiadomościach: Nie klikaj adresów URL zawartych w wiadomościach e-mail dotyczących powiadomień o koncie, zwrotów kosztów lub aktualizacji systemu. Otwórz przeglądarkę i przejdź bezpośrednio na oficjalną stronę lub skorzystaj z oficjalnej aplikacji mobilnej.
• Zapoznaj się z sygnałami ostrzegawczymi: Przejrzyj typowe sygnały ostrzegawcze w wiadomościach phishingowych , takie jak sztuczne wywoływanie poczucia pilności, niezgodne adresy nadawców oraz nieoczekiwane załączniki.
• Sprawdź podejrzane wiadomości: Jeśli wiadomość e-mail wydaje się podejrzana, przeanalizuj nagłówki za pomocą narzędzia do sprawdzania wiadomości phishingowych przed zapoznaniem się z jego treścią.
• Zmień hasła używane na wielu platformach: Firma Skyticket potwierdziła, że 4,13 mln rekordów użytkowników zawierało zaszyfrowane hasła. Jeśli używałeś hasła do serwisu Skyticket na jakiejkolwiek innej platformie, natychmiast zaktualizuj te konta, ustawiając unikalne hasła i włączając uwierzytelnianie wieloskładnikowe (MFA).
• Sprawdź, czy adresy są podobne: Przed podaniem danych uwierzytelniających na dowolnej stronie sprawdź, czy domena jest zgodna z prawdziwym adresem internetowym firmy. Skorzystaj z narzędzia do sprawdzania domen podobnych , aby upewnić się, czy nieznany adres URL należy do autentycznej firmy.
• Monitorowanie rachunków finansowych: Dokładnie sprawdzaj wyciągi bankowe i z kart kredytowych pod kątem nieautoryzowanych drobnych opłat lub podejrzanych transakcji zwrotnych.

Wnioski dla przedsiębiorstw

Ujawnione w październiku informacje zawierają kluczowe wnioski dla osób odpowiedzialnych za bezpieczeństwo, zarządzających aplikacjami przeznaczonymi dla klientów oraz komunikacją cyfrową:

• Wprowadź rygorystyczne czyszczenie danych: Przechowywanie danych historycznych powoduje niepotrzebne ryzyko prawne. Wyciek danych kart płatniczych w firmie Skyticket wynikał z archiwizowanych w 2018 r. zapisów, natomiast liczba rekordów w firmie Muji wzrosła do 27,26 mln, ponieważ dane byłych członków były przechowywane długo po zamknięciu kont. Należy regularnie usuwać nieaktywne konta oraz przestarzałe kopie zapasowe baz danych.
• Kontrola punktów końcowych administracyjnych: W obu przypadkach doszło do naruszenia bezpieczeństwa narzędzi administracyjnych lub zaplecza aplikacji, a nie do wyrafinowanych ataków na obwód sieciowy. Należy ograniczyć dostęp do pulpitów administracyjnych poprzez zastosowanie modelu „zero-trust” oraz obowiązkowego uwierzytelniania wieloskładnikowego (MFA) opartego na sprzęcie.
• Wyeliminowanie luk w zabezpieczeniach aplikacji publicznych: Platforma rezerwacji biletów autobusowych Skyticket ujawniła 12 000 tras, ponieważ strony potwierdzające realizację zamówienia nie przeprowadzały kontroli sesji użytkownika. Należy włączyć ciągłe testowanie interfejsów API oraz przeglądy kontroli dostępu do procesów wdrażania w ramach CI/CD.
• Wprowadź politykę DMARC, zanim dojdzie do incydentu: Ustanowienie polityki „p=reject” przed wystąpieniem naruszenia bezpieczeństwa gwarantuje, że osoby atakujące nie będą mogły przejąć kontroli nad Twoją domeną w celu wprowadzenia klientów w błąd podczas komunikacji kryzysowej.
• Stwórz przejrzyste kanały powiadamiania: Opublikuj zweryfikowane adresy nadawcze oraz jasne zasady określające, o co zespoły wsparcia nigdy nie będą prosić (np. o podanie numerów kart kredytowych lub kodów PIN do kont bankowych w wiadomościach e-mail).

Najczęściej zadawane pytania

Jakie dane wyciekły w wyniku naruszenia bezpieczeństwa w serwisie Skyticket?

Pierwsze naruszenie dotyczyło około 14,64 mln rekordów zawierających imiona i nazwiska, daty urodzenia, adresy e-mail, numery telefonów, adresy oraz 4,13 mln zaszyfrowanych haseł. W niezaszyfrowanej kopii zapasowej w chmurze ujawniono również 32 341 danych dotyczących zwrotów bankowych, 118 000 rekordów ubezpieczeń podróżnych oraz starsze rejestry płatności zawierające dane kart kredytowych 6 140 użytkowników Premium.

Czy w wyniku naruszenia bezpieczeństwa w firmie Muji doszło do ujawnienia danych kart kredytowych?

Nie. Firma Ryohin Keikaku potwierdziła, że wyciek nie dotyczył numerów kart kredytowych, nazwisk klientów, adresów zamieszkania ani numerów telefonów. Wyciek danych z aplikacji MUJI ograniczał się wyłącznie do adresów e-mail, dat urodzenia i informacji o płci, dotyczących maksymalnie 27,26 mln aktywnych i zamkniętych kont.

Jak mogę sprawdzić, czy wiadomość e-mail od Skyticket lub Muji jest autentyczna?

Dokładnie sprawdź domenę nadawcy i zwróć uwagę na obecność oficjalnych podpisów cyfrowych w otrzymywanych wiadomościach. W prawdziwych powiadomieniach firmowych nie prosi się o podanie kodu PIN do konta bankowego, hasła ani danych karty kredytowej za pośrednictwem poczty elektronicznej. W razie wątpliwości przejdź bezpośrednio na oficjalną stronę internetową danej marki, zamiast klikać linki zawarte w wiadomościach.

Dlaczego wycieki danych prowadzą do wzrostu liczby ataków phishingowych?

Ujawnione bazy danych adresów e-mail dostarczają oszustom listy adresatów, na których znajdują się zweryfikowani klienci danej marki. Atakujący wykorzystują tę sytuację, tworząc przekonujące fałszywe wiadomości dotyczące weryfikacji kont, odszkodowań za naruszenie bezpieczeństwa lub anulowania rezerwacji, co znacznie zwiększa prawdopodobieństwo, że odbiorcy dadzą się nabrać na oszustwo.

Czy DMARC może powstrzymać ataki phishingowe związane z naruszeniami bezpieczeństwa?

Ustawienie DMARC na p=reject całkowicie uniemożliwia atakującym wysyłanie wiadomości e-mail z wykorzystaniem dokładnej nazwy domeny firmy w widocznym polu „Od”. DMARC nie jest jednak w stanie blokować wiadomości wysyłanych z domen o podobnej nazwie lub domen typu „typosquatting”, co wymaga monitorowania domen oraz analizy zagrożeń dla marki.

Przemyślenia końcowe

Ujawnione w październiku 2026 r. przypadki naruszeń bezpieczeństwa w firmach Skyticket i Muji pokazują, w jaki sposób cyberataki powodują natychmiastowy kryzys przebiegający w dwóch etapach. Podczas gdy zabezpieczenie serwerów, usunięcie nieaktualnych kopii zapasowych oraz usunięcie luk w zabezpieczeniach zaplecza aplikacji pozwalają rozwiązać problem w pierwszym etapie, to ochrona kanałów komunikacji z klientami pozwala uporać się z problemem w drugim etapie.

Gdy cyberprzestępcy wykorzystują skradzione listy adresów e-mail jako narzędzie ataku, organizacje muszą zadbać o to, by ich domeny nie mogły zostać wykorzystane przeciwko ich własnym klientom. Wdrożenie protokołu DMARC z pełną egzekucją uniemożliwia bezpośrednie podszywanie się pod domenę i przywraca zaufanie do komunikacji korporacyjnej.

Sprawdź już dziś stan bezpieczeństwa swojej domeny: skorzystaj z naszego bezpłatnego narzędzia narzędzia do analizy domeny , aby sprawdzić swoje rekordy SPF, DKIM i DMARC oraz zapewnić ochronę swojej marce.