Iwai Cosmo: атака через подрядчика задела 4975 клиентов

Подробно

Что произошло в Iwai Cosmo Securities?

Iwai Cosmo Securities - брокер из Осаки. Эксплуатацию и техническое обслуживание его системы интернет-трейдинга выполняет компания Trade Works. 14 октября 2026 года брокер обнаружил несанкционированный доступ, уведомил подрядчика и начал экстренно ограничивать доступ. По сообщению брокера от 21 октября, связь атакующего заблокировали в тот же день.

В день атаки система управления сделками получила несанкционированные заявки в 7 клиентских счетах. В сообщении от 20 октября говорится, что сделки исполнились в 5 из этих счетов. Сообщение от 21 октября описывает результат как 5 несанкционированных исполнений. Затронутых клиентов уведомили 14 октября.

Брокер заявил, что восстановил состояние счетов до несанкционированных операций. Он также утверждает, что несанкционированные заявки не подавали с использованием утёкших персональных данных. Названия бумаг, направление заявок, объёмы, цены и общая стоимость сделок не раскрыты.

«Мы уже завершили меры по возвращению счетов в состояние до операций; нагрузки для клиентов не возникло».

Это заявление самого брокера, независимого подтверждения отсутствия потерь нет.

Как хакеры обошли защиту клиентского входа?

По признанию Trade Works, причиной стала недостаточная настройка одной из административных функций её системы, которой смогла воспользоваться третья сторона.

«Это произошло вследствие недостаточного управления с нашей стороны».

Обычный путь входа клиентов защищали многофакторная аутентификация и passkey. Получение клиентских паролей через скомпрометированную административную функцию не подтверждено. В сентябре 2025 года брокер запустил платформу SpotPath от Trade Works с passkey и телефонной аутентификацией и сделал многофакторную аутентификацию обязательной для всех пользователей. По версии компаний, в 2026 году атакующий обошёл клиентский вход через административную функцию подрядчика.

В отдельном сообщении от 21 октября брокер заявил, что злоумышленник использовал ИИ и атаку перебором, а passkey взломан не был. Технический отчёт, индикаторы компрометации и независимые доказательства применения ИИ не опубликованы. Название инструмента, личность атакующего, его местонахождение и мотив неизвестны. О задержаниях и уголовном деле не сообщается.

Чьи данные оказались под угрозой?

16 октября брокер сообщил об утечке данных 4611 клиентов: имён, адресов электронной почты и других данных, состав которых не конкретизирован. После повторного изучения журналов доступа и сетевого обмена нашли ещё 364 затронутых клиента, итоговое число выросло до 4975. Это последствия той же атаки 14 октября, а не новый эпизод.

В сообщении от 21 октября брокер указал, что сведения 4975 клиентов были доступны для просмотра атакующему до блокировки. Пароли и другие важные торговые данные были замаскированы. Торговые PIN-коды в раскрытые данные не входили, и, по заявлению брокера, одного набора утёкших сведений недостаточно для входа в счёт или совершения операций. Клиентов предупредили о возможных фишинговых письмах. Неизвестно, копировал ли атакующий записи или только мог их просматривать.

Почему о сделках сообщили только через несколько дней?

В первом сообщении 16 октября брокер говорил только об утечке данных и не упоминал несанкционированные заявки. Объяснение появилось 20 октября: меры против повторения аналогичной атаки ещё внедрялись, а публикация могла раскрыть детали способа. Информацию опубликовали после завершения и проверки мер.

Какие меры приняли компании?

После инцидента прекратили использовать скомпрометированную административную функцию и аннулировали незаконно установленные соединения. Также заблокировали трафик источника атаки, усилили ограничения административного доступа, фильтрацию подозрительного трафика, обнаружение аномалий входа и мониторинг. На 20 октября брокер сообщил, что причина доступа локализована и исправлена, система стабильна, а новых утечек после усиления защиты не выявлено.

Trade Works проверила системы, которые предоставляет другим финансовым учреждениям, и по заявлению компании не нашла аналогичных эпизодов. Внешние специалисты должны продолжить проверку.

Trade Works заявила, что намерена полностью оплатить убытки и расходы на реагирование. Размер компенсации ещё определяется, компания рассчитывает на полис киберстрахования и оценивает влияние на финансовые результаты.

Как отреагировал регулятор?

Генеральный секретарь кабинета министров Японии Минору Кихара сообщил, что Финансовое агентство потребовало от компании провести анализ причин и разработать меры по предотвращению повторения.

«Чтобы не подрывать доверие к финансовым услугам, Финансовое агентство намерено побуждать финансовые организации к надлежащему и оперативному реагированию».

Kyodo News осторожно оценило эпизод как, вероятно, первый подтверждённый случай ущерба в финансовом или брокерском секторе в рамках недавней серии атак на японские компании. Это оценка агентства, а не установленный регулятором факт.

Были ли подобные инциденты раньше?

С 25 апреля по 10 июня 2021 года система интернет-трейдинга ASP от Trade Works уже подвергалась несанкционированному доступу у одного из клиентов. Тогда сторонние специалисты не нашли следов фактического вывода данных, а Trade Works обещала усилить защиту и ввести регулярный внешний аудит.

12 мая 2025 года Iwai Cosmo Securities подтверждала несанкционированные входы и сделки, предположительно связанные с фишингом. Брокер блокировал подозрительные счета и рекомендовал клиентам двухфакторную аутентификацию. Нынешняя атака отличается: по версии компаний, клиентские учётные данные и обычный путь входа не использовались.

О подаче заявления в полицию и об уведомлении органа по защите персональных данных не сообщалось.