Взлом Arcadia: могли утечь данные полиции 7 префектур Японии

Подробно

Что известно о взломе Arcadia?

Arcadia, Inc. зарегистрирована в городе Миноо префектуры Осака. Компания разрабатывает сервисы массового экстренного оповещения SpeeCAN RAIDEN и 119RAIDEN, а также сервис экстренных вызовов NET119.

Подозрительную активность в SpeeCAN RAIDEN компания обнаружила 11 октября 2026 года в 16:30 по японскому времени. Около 03:00 12 октября по японскому времени Arcadia перекрыла выявленный путь проникновения и начала выяснять масштаб последствий. Компания установила IP-адрес, с которого шёл несанкционированный доступ, и заблокировала его, но сам адрес публиковать не стала.

13 октября с 11:00 по японскому времени Arcadia экстренно остановила серверы SpeeCAN RAIDEN для клиентов raiden3.ktaiwork.jp и сервиса «Райдэн Скул» для клиентов s2.ktaiwork.jp. В официальном заявлении компания написала:

«Мы подтвердили, что в нашем сервисе SpeeCAN RAIDEN третье лицо осуществило несанкционированный доступ и персональные данные могли утечь».

14 октября в 15:00 по японскому времени Arcadia сообщила о следах несанкционированного доступа также в NET119 и 119RAIDEN. NET119 нужен людям, которым трудно сообщить о происшествии голосом, а через 119RAIDEN, в частности, оповещают пожарных и добровольные пожарные формирования.

Об инциденте компания сообщила в Комиссию по защите персональной информации Японии. Кроме того, она уведомила полицию, секретариаты ISMS и PrivacyMark, региональное бюро связи Кинки и региональное бюро экономики, торговли и промышленности Кинки либо проконсультировалась с ними.

Какие данные могли утечь из SpeeCAN RAIDEN, NET119 и 119RAIDEN?

По предварительной оценке Arcadia, речь идёт о следующих данных:

• SpeeCAN RAIDEN: максимум около 3 136 000 адресов электронной почты, 105 000 телефонных номеров и 15 000 номеров факсов, а также имена контактов, сведения о сотрудниках и договорах и тексты сохранённых сообщений. Платёжные и карточные данные этот сервис не обрабатывал.
• NET119: данные максимум примерно 13 000 пользователей - имя, дата рождения, пол, адрес, телефон, электронная почта, факс и другие сведения, указанные при регистрации.
• 119RAIDEN: около 97 000 адресов электронной почты, 17 000 телефонных номеров и 400 номеров факсов, а также имена контактов, сведения о сотрудниках и договорах и тексты сохранённых сообщений.

Это максимальные оценки по отдельным записям, а не число уникальных людей: записи разных типов могут относиться к одним и тем же людям. Некоторые СМИ пишут о 3,25 млн «персональных данных». Скорее всего, это просто сумма email, телефонов и факсов из SpeeCAN RAIDEN. Arcadia позже исключила из списка затронутых адреса fs119.speecan.jp и 119r.speecan.jp, а для системы видеовызовов утечки на 14 октября не выявила.

Данные каких полиций оказались под угрозой?

Полиции Окаямы, Хиросимы и Айти пользовались сервисом Arcadia, чтобы проверять безопасность и местонахождение сотрудников при стихийных бедствиях. По сообщениям японских СМИ со ссылкой на полицию, к вечеру 15 октября речь шла о следующих префектурах:

• Айти: имена, адреса электронной почты и другие данные примерно 15 000 полицейских и гражданских сотрудников полиции.
• Хиого: около 13 000 записей - адреса электронной почты, части имён и коды подразделений (по данным Kyodo).
• Хиросима: имена, подразделения и личные адреса электронной почты около 5 700 человек - всех или почти всех сотрудников полиции.
• Окаяма: имена и личные адреса электронной почты примерно 4 000 полицейских и гражданских сотрудников - почти всего персонала. Данных жителей префектуры в этом массиве, по заявлению полиции, нет.
• Миядзаки: имена и личные адреса электронной почты примерно 2 300 сотрудников (по данным NHK).
• Фукуи: имена, адреса электронной почты и другие регистрационные данные примерно 2 000 полицейских и административных сотрудников (по данным NHK).
• Токусима: данные примерно 1 900 полицейских и гражданских сотрудников.

В Окаяме и Хиросиме уведомление от Arcadia получили 13 октября. Полиция Окаямы систему не останавливала, и на 15 октября помех её работе не было. Полиция Хиросимы на момент публикации FNN неправомерного использования данных не обнаружила. Полиция Хиого предупредила своих сотрудников. Список затронутых ведомств может расшириться.

Связан ли взлом Arcadia с атаками с применением ИИ?

Прямо это не подтверждено. 15 октября JPCERT/CC опубликовал исследование инфраструктуры, которую, предположительно, использовали в серии недавних атак на японские организации. Специалисты пришли к выводу:

«Мы подтвердили, что злоумышленник с помощью ИИ сканировал известные уязвимости и проводил атаки через API».

В тот же день NHK сообщил о следах применения ИИ-агента в серии атак. Однако JPCERT/CC не назвал пострадавшие компании и не связал свои выводы с Arcadia. Сама Arcadia не раскрыла, через какую уязвимость или ошибку настройки проник злоумышленник и сколько времени у него был доступ. Личность, мотив атакующих и использованная модель ИИ неизвестны. Подозреваемых не называли, о задержаниях или уголовных делах не сообщалось.

До этого о похожих признаках сообщали частные компании. 9 октября Cyber Security Cloud описала атаки, похожие на работу ИИ-агента: более 1 200 запросов примерно за 40 минут с 326 IP-адресов, причём тактика менялась в зависимости от ответов сайта. При этом компания оговорилась, что прямых технических следов ИИ не нашла. Bitforest, разработчик сервиса Scutum, сообщил, что с вечера 10 по 14 октября зафиксировал атаки ИИ-агентов на сайты японских компаний как минимум с трёх IP-адресов.

Эксперты оценивают роль ИИ по-разному. Хироаки Курамоти, директор, старший исполнительный управляющий и технический директор LAC, предупреждал:

«По опубликованным данным нельзя сделать вывод, что все эти инциденты - дело одного злоумышленника или одной атакующей кампании».

На момент интервью он также отмечал, что публичных доказательств применения ИИ-агента в каждом отдельном инциденте нет. Кадзухиро Наканиси, специалист Akamai Technologies по тенденциям веб-безопасности, считает, что внешний наблюдатель не может доказать участие ИИ в каждом отдельном случае. Но, по его словам, исходя из совокупности признаков, «было бы неестественно считать, что ИИ не использовался».

Как устроены атаки через API мобильных приложений?

По данным JPCERT/CC, злоумышленники скачивали и анализировали APK-файлы Android-приложений, определяли, какие API они используют, а затем проверяли эти API на SSRF и другие уязвимости. На атакующих серверах нашли инструменты для реверс-инжиниринга Flutter- и Android-приложений Blutter и jadx, Python-скрипты для проверки SSRF, следы попыток обойти защиту EDR и веб-шеллы. С этих серверов атаковали не только японские веб-сервисы, но и сервисы для других регионов.

13 октября Национальный институт информационных и коммуникационных технологий Японии (NICT) описал такую технику и назвал её App-to-Backend Attack (A2B). Злоумышленник изучает публичное приложение, извлекает сведения о его API и затем точечно атакует серверную часть. По оценке NICT, ИИ ускоряет анализ приложений и поиск уязвимостей, а аналогичный риск есть не только для Android, но и для iOS и веб-API.

Ещё 8 октября JPCERT/CC предупредил о серии утечек в японских организациях. Центр перечислил разные виды атак: перебор известных уязвимостей, неправомерные операции через API, эксплуатацию SQL-инъекции в Metabase (CVE-2026-72898) и установку веб-шеллов. Центр отдельно оговорил, что все эти случаи не обязательно связаны с одним злоумышленником или одной техникой.

Безопасно ли сейчас пользоваться сервисами Arcadia?

По словам компании, остановленные серверы снова заработали 15 октября около 15:00 по японскому времени. В обновлении в 17:50 по японскому времени Arcadia заявила:

«Все сервисы полностью восстановлены, и системой можно безопасно пользоваться».

Компания также сообщает, что путь проникновения перекрыт, а вредоносных программ в системах не нашли. Это заявление самой пострадавшей компании: публичного независимого заключения аудиторов о безопасности систем не найдено. Arcadia продолжает выяснять масштаб утечки и советует всем клиентам сменить пароли.

Чем утечка опасна для пострадавших?

Основной риск - целевой фишинг. Ёсинори Ёкояма, помощник начальника отдела по борьбе с киберпреступностью полиции префектуры Ямагата, объясняет:

«Приходит поддельное письмо от имени реально существующей компании. Если человек поверит ему и введёт пароль и логин, злоумышленники получат доступ к его аккаунту».

Он советует не использовать один пароль для разных сервисов, не переходить по ссылкам из подозрительных писем и не отвечать на звонки с незнакомых и международных номеров. Сообщения о том, что неправомерного использования данных не выявлено, описывают положение на момент публикации и не исключают последствий в будущем.