Potensi Kebocoran Data di Jepang Melampaui 165 Juta Catatan, Perusahaan Ungkap Pelanggaran yang Lebih Luas

Jutaan catatan terekspos di berbagai layanan sehari-hari

Informasi pribadi yang berpotensi bocor akibat akses tanpa izin di Jepang selama 2026 telah melampaui 165 juta catatan, menurut penghitungan perusahaan keamanan Macnica. Pengungkapan ini mencakup layanan kereta, belanja, karaoke, perangkat lunak, pengiriman paket, dan berbagi mobil, termasuk informasi milik orang-orang yang sudah menutup akun mereka.

Sourcenext mengumumkan pada 15 Oktober bahwa 22.519.960 catatan pelanggan mungkin telah bocor. Adventure, yang mengelola situs pemesanan perjalanan Skyticket, mengungkap kemungkinan pelanggaran yang melibatkan sekitar 14,64 juta catatan. Yamato Transport kemudian mengidentifikasi 5,31 juta catatan terdampak yang terkait dengan layanan pembayaran tertundanya.

Angka 165 juta menghitung secara kumulatif informasi pribadi dari berbagai insiden. Karena itu, seseorang yang informasinya tercatat di beberapa layanan terdampak dapat terhitung lebih dari sekali. Jumlah tersebut juga mencakup kemungkinan kebocoran, selain pengungkapan ketika perusahaan telah mengidentifikasi informasi yang disusupi.

Investigasi Macnica yang lebih terperinci terhadap pola tertentu dalam pelanggaran situs web menemukan 119 pengungkapan publik hingga 6 Oktober, sudah melampaui 84 insiden yang tercatat sepanjang 2025. Dari 119 pengungkapan itu, 81 terjadi sejak Juli.

Badan Promosi Teknologi Informasi Jepang, yang dikenal sebagai IPA, mengeluarkan peringatan mendesak pada 9 Oktober dan meminta para pimpinan perusahaan memeriksa layanan internet, akun, serta data tersimpan. Sarannya mengaitkan dua tugas langsung: menemukan penyusup dan mengurangi jumlah informasi pribadi yang bisa mereka curi.

Bagi pelanggan, dampaknya bergantung pada informasi yang disimpan tiap layanan. Sejumlah basis data terdampak berisi informasi kontak. Basis data lainnya mungkin mencakup kata sandi, informasi kartu kredit, atau gambar dokumen identitas. Pengungkapan tersebut juga menunjukkan bagaimana serangan terhadap kontraktor dapat sekaligus menjangkau pelanggan beberapa perusahaan.

Data yang dihitung Macnica dan alasan kenaikannya penting

Analisis pelanggaran situs web Macnica menelaah 265 insiden yang diumumkan kepada publik dan melibatkan organisasi domestik antara Januari 2024 hingga 6 Oktober 2026. Jumlah tahunannya naik dari 62 pada 2024 menjadi 84 pada 2025 dan 119 pada periode 2026 yang belum berakhir.

Jumlah insiden pada 2026 sudah 35 insiden, atau sekitar 42%, lebih tinggi daripada sepanjang tahun sebelumnya. Sebanyak 81 pengungkapan sejak Juli mencakup sekitar 68% dari total tahun ini dan sekitar 31% dari seluruh 265 insiden yang ditelaah.

Yutaka Sejiyama dari Pusat Riset Keamanan Macnica menyusun analisis pengungkapan publik tersebut, sementara analisis serangan disumbangkan oleh Motohiko Sato dari Itochu Cyber & Intelligence dan Yosuke Hasegawa, kepala teknologi Secure Sky Technology.

Para peneliti memilih insiden yang mereka nilai memiliki karakteristik serupa. Kumpulan data mereka tidak mencakup ransomware dan pola serangan tertentu lainnya, termasuk upaya memasuki akun pelanggan dengan menggunakan kata sandi yang dicuri dari layanan lain yang tidak terkait. Ketika beberapa klien mengungkap dampak dari satu insiden di kontraktor yang sama, para peneliti menghitungnya satu kali sebagai insiden kontraktor.

Pengungkapan perusahaan yang lebih luas di bawah ini juga mencakup insiden ransomware. Karena itu, pembaca perlu membedakan dua ukuran: jumlah informasi pelanggan yang berpotensi terekspos dan jumlah insiden situs web terpilih yang dipantau dalam investigasi teknis Macnica.

Perusahaan mana yang melaporkan paparan terbesar?

Sourcenext mengatakan informasi yang berpotensi terdampak mencakup nama, alamat, nomor telepon, tempat kerja, alamat email, dan kata sandi. Perusahaan perangkat lunak itu mengidentifikasi akses tanpa izin ke sistem informasi keanggotaannya pada 13 Oktober dan mengumumkan kemungkinan paparan dua hari kemudian.

Adventure melaporkan serangan terhadap server dan sistem manajemen bisnis Skyticket, yang berpotensi berdampak pada sekitar 14,64 juta catatan informasi pribadi. Perusahaan itu mengatakan nomor kartu kredit dan paspor tidak bocor.

Daiichikosho, pengelola jaringan karaoke Big Echo, mengatakan sekitar 8,72 juta catatan pribadi mungkin terekspos melalui sistem yang dikelola kontraktor eksternal. Insiden tersebut melibatkan malware di perusahaan alih daya itu.

JR East mengatakan sekitar 6,09 juta akun pelanggan mungkin telah disusupi, sementara JR Kyushu menyebut kemungkinan paparan sekitar 1,3 juta akun. Kedua perusahaan mengaitkan pelanggaran tersebut dengan serangan ransomware terhadap IDC Frontier, anak perusahaan SoftBank yang menyediakan layanan cloud. Jika digabungkan, jumlah yang diungkap keduanya mencapai sekitar 7,39 juta akun.

Bookoff Group Holdings awalnya mengungkap kemungkinan paparan yang berdampak pada hingga 6,43 juta pelanggan setelah akses tanpa izin di anak perusahaannya yang mengelola data keanggotaan. Penjelasan berikutnya menyebut informasi yang bocor mencakup sekitar 6,38 juta orang, termasuk sekitar 210.000 mantan anggota.

Lawson melaporkan akses tanpa izin terhadap lebih dari 2,15 juta catatan pelanggan, yang mungkin mencakup nama, alamat email, dan informasi kartu kredit. Uzabase, pengelola NewsPicks, mengatakan sejumlah informasi pengguna mungkin terekspos melalui akses tanpa izin ke alat manajemen.

Lawson, Daiichikosho, dan Uzabase mengatakan mereka belum menemukan penggunaan ilegal pada saat pengumuman. Operator kereta, Bookoff, dan Adventure juga melaporkan tidak menemukan bukti penyalahgunaan oleh pihak ketiga serta mengimbau pelanggan mewaspadai email dan panggilan telepon yang mencurigakan.

Data pengiriman, alat pengembangan, dan sekolah turut terdampak

Yamato Transport mengatakan pada 16 Oktober bahwa 5,31 juta catatan informasi pribadi milik sejumlah pengguna layanan pembayaran tertundanya telah disusupi. Perusahaan itu pertama kali mengumumkan pelanggaran tersebut pada 29 September.

Informasi yang terdampak mencakup nama, alamat, dan nomor telepon yang dikumpulkan sejak 1 Oktober 2018, selama kurang lebih delapan tahun. Masa pengumpulan yang panjang ini menunjukkan bahwa satu penyusupan dapat mengekspos informasi yang terakumulasi selama bertahun-tahun aktivitas pelanggan.

Nikkei Inc. mengungkap sekitar 1,83 juta catatan yang disusupi, termasuk nama, alamat, dan alamat email, setelah akses tanpa izin ke layanan cloud yang digunakan untuk pengembangan sistem. Layanan pengembangan digunakan untuk membangun atau memelihara perangkat lunak, sehingga bagian lain dari lingkungan teknologi perusahaan juga dapat dijangkau penyerang.

Kementerian pendidikan Jepang juga mengatakan delapan sekolah, sebagian besar universitas, melaporkan pelanggaran sejak akhir September hingga Kamis sebelum pengungkapan terbaru. Investigasi Macnica mengidentifikasi layanan terdampak yang beragam, mulai dari pencarian katalog perpustakaan, reservasi kereta wisata, pemesanan akomodasi universitas, hingga pengelolaan pengembalian tiket.

Rangkaian pengungkapan

Beberapa insiden terungkap dalam kurun beberapa pekan, sementara penyelidikan masih berlangsung untuk memastikan jumlah informasi yang terdampak. Linimasa Sourcenext memberikan waktu yang sangat terperinci mengenai penyusupan dan respons perusahaan.

• 29 September: Yamato Transport pertama kali mengumumkan pelanggarannya. Park24 mengungkap pelanggaran data layanan berbagi mobilnya pada akhir September.
• 6 Oktober: Batas waktu pengumpulan data riset Macnica mencatat 119 pengungkapan pelanggaran situs web terpilih selama 2026.
• 8 Oktober: Macnica menambahkan rujukan ke peringatan terkait dari JPCERT/CC, organisasi Jepang untuk respons insiden keamanan komputer.
• 9 Oktober: IPA mengeluarkan imbauan pemeriksaan mendesak. JR East, Bookoff, Daiichikosho, dan Adventure termasuk perusahaan yang pengungkapannya menjadi publik hari itu. Sourcenext kemudian menelusuri awal penyusupan hingga sekitar pukul 10.00 pada 9 Oktober.
• 13 Oktober: Sourcenext mendeteksi akses tanpa izin sekitar pukul 09.00 dan mengambil langkah darurat untuk memblokirnya pada sore hari.
• 15 Oktober: Sourcenext mengumumkan kemungkinan paparan 22.519.960 catatan.
• 16 Oktober: Yamato merinci 5,31 juta catatan terdampak, Nikkei mengungkap pelanggarannya, dan Park24 mengumumkan rencana menyelesaikan penghapusan gambar dokumen identitas pada akhir Oktober.

Linimasa Sourcenext menunjukkan bahwa akses tanpa izin dimulai hampir empat hari sebelum terdeteksi. Instruksi IPA untuk memeriksa aktivitas terbaru lalu memperluas penelusuran ke periode sebelumnya menjawab kebutuhan untuk merekonstruksi kejadian sebelum alarm berbunyi.

Penyerang mencari celah di seluruh layanan

Analisis teknis Macnica menjelaskan bagaimana penyerang memeriksa masing-masing situs web dan antarmuka pemrograman aplikasi atau API. API adalah saluran yang digunakan aplikasi atau situs web untuk meminta informasi dari sistem lain atau memerintahkannya menjalankan tugas.

Penyelidik menemukan kelemahan seperti API yang mengembalikan informasi lebih banyak daripada yang diperlukan, fungsi dengan izin berlebihan, dan fitur khusus anggota yang dapat diakses pengunjung anonim. Masalah lainnya mencakup sesi login, aturan pemrosesan, dan pengaturan akses.

Sejumlah penyerang memeriksa aplikasi seluler untuk mengambil kunci API, yaitu kredensial yang digunakan saat berkomunikasi dengan layanan. Mereka kemudian menggunakan kunci tersebut untuk mengirim permintaan yang menyerupai lalu lintas normal. Para peneliti juga menemukan kata sandi administrator yang lemah dan eksploitasi kerentanan perangkat lunak yang telah diketahui.

Tantangan praktisnya lebih luas daripada sekadar memasang satu pembaruan perangkat lunak. Sebuah layanan perlu memiliki pemeriksaan sendiri untuk memastikan server memverifikasi siapa yang mengirim permintaan dan catatan mana yang boleh diterima orang tersebut. Alat administratif yang mengekspor banyak informasi juga perlu mendapat perhatian khusus.

Sebagian besar pengungkapan hanya sedikit menjelaskan penyebabnya

Dari 81 insiden terpilih yang diungkap sejak Juli, Macnica mengklasifikasikan sembilan insiden sebagai kasus yang melibatkan kerentanan pada produk perangkat lunak atau alat terkait, empat sebagai penyalahgunaan kredensial atau serangan kata sandi, dan tiga sebagai kegagalan pengaturan situs atau kontrol akses.

Sebanyak 65 pengungkapan lainnya, sekitar 80,2%, tidak memuat penjelasan yang cukup untuk menentukan penyebabnya. Akibatnya, organisasi lain hanya memiliki sedikit petunjuk untuk mengetahui kelemahan yang perlu dicari di sistem mereka sendiri.

Sejumlah pengumuman menjelaskan tindakan penyusup setelah memperoleh akses. Sebelas insiden melibatkan pemasangan atau eksekusi program tanpa izin, sembilan melibatkan pengambilan atau peninjauan informasi melalui API atau basis data, dan enam melibatkan pembuatan akun atau kunci autentikasi tanpa izin. Kategori-kategori ini dapat tumpang tindih karena satu insiden mungkin melibatkan beberapa tindakan.

Macnica juga menemukan setidaknya 25 pengungkapan sejak Juli yang melibatkan perubahan situs web atau penyalahgunaan tanpa kekhawatiran khusus terkait kebocoran informasi pribadi. Contohnya termasuk mengalihkan pengunjung ke situs eksternal, menampilkan peringatan palsu, mengubah informasi pendaftaran, dan menyalahgunakan layanan cloud.

Para peneliti membahas kemungkinan penggunaan kecerdasan buatan untuk mengulangi pencarian di banyak situs web. Keterlibatan AI dan tujuan akhir penyerang belum dapat dipastikan. Aktivitas yang mereka amati berpusat pada izin akses, pengaturan, autentikasi, dan kerentanan yang telah diketahui. Salah satu hipotesis yang mereka kemukakan adalah bahwa nama, detail layanan, dan reservasi yang terkumpul dapat membantu penjahat membuat pesan phishing atau panggilan penipuan yang lebih meyakinkan.

Mantan pelanggan turut terdampak pelanggaran

Pelanggaran Park24 melibatkan sekitar 6,6 juta catatan keanggotaan, termasuk mantan anggota, serta sekitar 1,6 juta dokumen verifikasi identitas seperti gambar SIM. Times Car menyimpan dokumen identitas selama tujuh tahun setelah pelanggan mengakhiri keanggotaan mereka.

Pada 16 Oktober, Park24 mengatakan berencana menyelesaikan penghapusan gambar dokumen identitas pada akhir bulan itu. Respons tersebut menetapkan tenggat konkret untuk persoalan yang juga disoroti IPA: perusahaan perlu meninjau apakah data yang mereka simpan masih diperlukan.

Sekitar 210.000 mantan anggota Bookoff mewakili sekitar 3,3% dari 6,38 juta orang yang diidentifikasi dalam penjelasan terbaru mengenai kebocoran tersebut. Peritel perlengkapan hewan peliharaan Charm juga mengatakan sebagian besar dari sekitar 25.000 catatan milik mantan pelanggan telah bocor.

Karena itu, penutupan akun dapat tetap membuat pelanggan terpapar risiko selama bertahun-tahun jika perusahaan menyimpan catatan terkait. Informasi kontak dapat membantu penjahat menyamar sebagai layanan yang dikenal, sementara kata sandi dan gambar dokumen identitas menimbulkan risiko tambahan. Macnica merekomendasikan peninjauan catatan yang tidak diperlukan, termasuk informasi pribadi tak terduga yang tersimpan di kolom catatan, serta pencabutan kunci API saat layanan ditutup.

Hal-hal yang diminta IPA untuk segera diperiksa organisasi

Imbauan IPA pada 9 Oktober meminta pemeriksaan mendesak terhadap aplikasi yang terhubung ke internet, layanan dan akun eksternal, serta informasi yang tersimpan. IPA menempatkan tanggung jawab pada pimpinan perusahaan, khususnya di organisasi yang menangani banyak data pribadi atau sensitif.

Untuk aplikasi, IPA merekomendasikan peninjauan log terbaru, yaitu catatan aktivitas yang disimpan sistem, dan pemeriksaan apakah ada tambalan keamanan yang belum dipasang. Penyelidik sebaiknya memulai dari sekitar satu bulan terakhir, lalu memperluas peninjauan hingga tiga bulan dengan mencari volume kesalahan yang tidak biasa dan perubahan dari aktivitas normal.

Untuk layanan eksternal, termasuk layanan cloud dan VPN, perusahaan sebaiknya mencatat layanan yang digunakan organisasi maupun tiap departemen. Mereka perlu memastikan berapa lama log disimpan, siapa yang dapat memeriksanya, dan apakah penyedia menyimpan catatan yang tidak dapat dilihat langsung oleh pelanggan.

Pemeriksaan akun perlu mencari pengguna yang tidak dikenal dan akun yang kembali aktif meski sebelumnya dinonaktifkan atau dihapus. Waktu dan lokasi login yang tidak biasa serta upaya gagal berulang juga perlu diperhatikan. IPA merekomendasikan agar log atau akun yang tidak wajar diperlakukan sebagai insiden keamanan dan diselidiki oleh spesialis.

Saran terkait dari Macnica mencakup pemeriksaan apakah API menerapkan izin di server, penghapusan rahasia yang tertanam di aplikasi, perlindungan akun administrator dengan beberapa langkah autentikasi, serta pembatasan akses ke fungsi manajemen. Pemantauan juga memerlukan respons manusia yang jelas: seseorang harus meninjau peringatan, menghubungi pihak terkait, dan memulai penyelidikan.

IPA sedang menyiapkan skema penilaian keamanan rantai pasok yang dikenal sebagai skema penilaian SCS, dengan peluncuran yang direncanakan pada Maret 2027. Kriteria penilaian bersama ini dimaksudkan untuk membantu klien dan kontraktor memahami kondisi keamanan di antara perusahaan-perusahaan yang saling berbagi informasi.

Insiden serupa juga terjadi di luar Jepang

Macnica mengidentifikasi 99 insiden serupa di 13 negara dan wilayah, terutama selama Juli hingga September 2026. Korea Selatan mencatat 30 insiden, Prancis 11, dan Polandia delapan.

Kasus-kasus di Korea Selatan melibatkan situs web dan API di sektor belanja, reservasi, pendidikan, dan dukungan keuangan. Ragam tersebut serupa dengan layanan yang muncul dalam pengungkapan di Jepang.

Undang-undang dan praktik pengungkapan memengaruhi jumlah insiden yang diumumkan kepada publik di setiap negara. Macnica menyebut Jepang menonjol dalam investigasinya, tetapi belum dapat memastikan apakah penyerang memang secara khusus berfokus pada Jepang.

Dalam kasus-kasus di Jepang, prioritas langsungnya jelas: temukan aktivitas tanpa izin, amankan akses ke informasi pelanggan, dan hapus catatan yang tidak lagi perlu disimpan. Insiden yang melibatkan kontraktor dan paparan data mantan anggota menunjukkan mengapa upaya tersebut harus mencakup lebih dari sekadar situs web utama perusahaan dan daftar pelanggan aktifnya.

Poin Utama

• Penghitungan Macnica mencatat lebih dari 165 juta catatan informasi pribadi yang berpotensi bocor akibat akses tanpa izin pada 2026; satu orang dapat terhitung berulang di beberapa layanan.
• Investigasi situs web Macnica yang lebih terbatas mencatat 119 pengungkapan hingga 6 Oktober, termasuk 81 sejak Juli.
• Sourcenext mengungkap 22.519.960 catatan yang berpotensi terdampak; Adventure melaporkan sekitar 14,64 juta.
• Pelanggaran yang melibatkan kontraktor berdampak pada pelanggan sejumlah perusahaan besar, sementara catatan yang masih disimpan mengekspos mantan anggota Park24, Bookoff, dan Charm.
• IPA meminta peninjauan mendesak terhadap log, tambalan keamanan, akun, layanan eksternal, dan data tersimpan.
• Park24 berencana menyelesaikan penghapusan gambar dokumen identitas pada akhir Oktober. Skema penilaian keamanan rantai pasok IPA dijadwalkan dimulai pada Maret 2027.