В Японии из IDARE утекли данные 129 659 пользователей

Подробно

Какие данные пользователей IDARE утекли?

Пострадали все клиенты, которые зарегистрировались в IDARE не позднее 27 сентября 2026 года, в том числе те, кто уже удалил аккаунт. Всего таких 129 659 человек. По каждому из них утекли:

• регистрационные сведения: номер телефона, адрес электронной почты, дата рождения, идентификатор пользователя, отображаемое имя и другие данные профиля;
• настройки и статус аккаунта IDARE;
• сведения о балансе и история операций;
• имя держателя карты IDARE и срок её действия.

У части пользователей утекли и другие данные. Это сведения из заявок на идентификацию: имя и фамилия, адрес, пол, цель использования сервиса и номера документов, удостоверяющих личность. Также похищены последние четыре цифры номера карты IDARE, первые шесть и последние четыре цифры кредитной карты, привязанной для пополнения, последние три цифры привязанного банковского счёта, коды активации физических карт и данные для дополнительных услуг.

В дополнительные сведения могли попасть годовой доход и место работы. Это касается тех, кто зарегистрировался до октября 2021 года и вводил эти данные для кредитного сервиса LADDER. LADDER прекратил работу в октябре 2021 года.

Сколько пользователей попало в каждую из «частичных» категорий, Fivot не уточнила.

Что не попало к злоумышленникам?

По данным Fivot, не похищены номер My Number (японский индивидуальный идентификационный номер), изображения удостоверяющих документов и фотографии лица. Пароли для входа также не утекли. Полные номера карт IDARE, коды безопасности и PIN-коды либо были недоступны из атакованной системы, либо вообще не хранились у компании.

Не затронуты и полные номера, сроки действия, коды безопасности и PIN-коды привязанных кредитных карт, а также полные номера и PIN-коды банковских счетов. Похищенный код активации физической карты, по словам компании, нельзя использовать из чужого аккаунта.

Как злоумышленники получили доступ к базе Fivot?

Атакующие воспользовались уязвимостью во внешнем программном обеспечении, которое Fivot использовала для клиентской поддержки и других рабочих процессов. С 10 августа по 27 сентября 2026 года третья сторона несколько раз получала информацию из базы данных компании. Точное число выгрузок, время отдельных подключений и объём похищенных записей не раскрываются.

Fivot не назвала ни само ПО, ни его поставщика, ни конкретную уязвимость. Неизвестно и то, кто стоит за атакой и было ли требование выкупа. Компания также не сообщила, когда и как обнаружила взлом.

«Мы перекрыли маршрут несанкционированного доступа, прекратили использование соответствующего программного обеспечения и завершили обновление связанных аутентификационных данных», - говорится в заявлении Fivot.

По состоянию на 13 октября новых несанкционированных подключений после принятых мер компания не обнаружила.

Могут ли украсть деньги со счетов IDARE?

Fivot утверждает, что балансы клиентов в сохранности, а мошеннических операций из-за утечки не выявлено. Это заявление самой компании, а не результат независимого аудита, и оно отражает ситуацию на 13 октября.

«В настоящее время неправомерные операции, вызванные этим инцидентом, не подтверждены. Балансы клиентов надёжно сохранены, и IDARE можно использовать в обычном режиме», - сообщила компания.

Главный аргумент оператора - обязательная многофакторная аутентификация.

«Поскольку пароль для входа не утёк, а вход требует многофакторной аутентификации, третье лицо не сможет войти в аккаунт, используя только утёкшую информацию», - говорится в заявлении.

Независимой оценки того, достаточно ли такой защиты при утечке телефонных номеров и других идентификационных данных, пока нет.

Fivot предупредила пострадавших о возможных фишинговых письмах, SMS и звонках от имени компании или IDARE.

«Мы никогда не спрашиваем у клиентов по электронной почте, SMS или телефону пароль, PIN, код безопасности или код многофакторной аутентификации», - подчеркнули в компании.

Положена ли пользователям компенсация?

О выплатах именно по этой утечке не объявлялось. При этом у IDARE есть общие правила компенсации за несанкционированное расходование баланса. Пользователь должен сообщить о списании в Fivot и в полицию в течение 30 дней. После проверки компания может возместить ущерб баллами IDARE на ту же сумму.

Каждому пострадавшему обещано персональное письмо с перечнем утёкших данных. Обращения принимают через раздел поддержки в приложении и форму на сайте IDARE.

Какие меры обещает принять Fivot?

Компания сообщила, что направила предусмотренные законом уведомления, хотя получателей не назвала. Также Fivot разрабатывает меры против повторения инцидента и проводит расследование с участием третьих лиц, включая юристов. В числе заявленных мер:

• постоянный мониторинг сведений об уязвимостях ПО;
• контроль журналов доступа и система оповещений;
• независимое расследование с привлечением внешних специалистов;
• усиление управления информационной безопасностью;
• пересмотр внутренних политик и учебных программ.

Комиссия по защите персональной информации Японии указывает, что о подобной утечке сначала обычно сообщают в течение 3-5 дней после обнаружения, а окончательный отчёт подают в течение 30 дней. Если есть подозрение на злонамеренные действия, срок составляет 60 дней. Дату обнаружения взлома Fivot не раскрыла, поэтому проверить соблюдение этих сроков невозможно. Отдельных заявлений полиции или финансовых регуляторов об инциденте с IDARE не найдено. О возбуждении уголовного дела, подозреваемых или административных взысканиях не сообщалось.

Что такое IDARE и кто им управляет?

IDARE запустили 27 апреля 2021 года компании Fivot и Orient Corporation как мобильный финтех-сервис с виртуальной картой Visa, функциями накопления и кредитной функцией. 4 марта 2022 года сервис перезапустили как приложение для накоплений: целевые накопления, автоматические пополнения и предоплаченная карта. Поэтому в базе хранились данные о балансах и операциях клиентов.

Fivot с 24 декабря 2020 года зарегистрирована в Японии как эмитент сторонних предоплаченных платёжных средств и находится под финансовым надзором. Компанию возглавляет генеральный директор Сёго Абэ, офис расположен в токийском районе Минато.

По данным самой Fivot на апрель 2026 года, за пять лет пользователи внесли в сервис 29,6 млрд иен (≈15,7 млрд руб.). Это совокупный объём пополнений, а не остатки на счетах и не размер ущерба. Ущерб от утечки, фактические потери и возможные штрафы не раскрыты.

Пересчёт в рубли - по официальному курсу ЦБ РФ на 14.10.2026.