Взлом Arcadia раскрыл данные 13 тыс. полицейских Японии
Коротко: осакская компания Arcadia — подрядчик, который рассылает штормовые и экстренные оповещения для сотен муниципалитетов и полиции Японии, — подверглась взлому. Злоумышленники использовали уязвимость path traversal и утёкший секретный ключ из конфигурационного файла, получили backdoor-доступ к системе SpeeCAN RAIDEN и разослали около 1,4 млн фишинговых писем. Под угрозой — данные до 3,14 млн email-адресов жителей и личные сведения около 13 тыс. сотрудников полиции префектуры Сайтама. Инцидент напомнил: ваши данные утекают не только по вашей вине, а через вендоров и подрядчиков, о существовании которых вы даже не подозревали — проверить, не всплыли ли уже ваши данные в подобных утечках, можно через сервисы из нашего гайда о проверке утечки персональных данных.
Что произошло
11 октября 2026 года Arcadia Inc. обнаружила подозрительную активность на своих серверах. Компания по контракту с правительством Японии обслуживает систему массовых уведомлений SpeeCAN RAIDEN, через которую 875 муниципалитетов и органов, включая полицию, рассылают жителям предупреждения о стихийных бедствиях — штормах, наводнениях, землетрясениях. К вечеру 13 октября о сбоях в работе сервиса сообщили уже 36 местных администраций, а Министерство внутренних дел и коммуникаций Японии потребовало от Arcadia провести оценку ущерба. Полностью сервис восстановили лишь 15 октября. Среди пострадавших оказалась и дочерняя служба экстренных вызовов NET119, которой пользуются люди с нарушениями слуха и речи.
Как произошёл взлом
По данным расследования, которое приводит beyondmachines.net, атакующие воспользовались комбинацией из двух слабых мест: уязвимостью типа path traversal (она позволяет выйти за пределы разрешённой директории на сервере и читать произвольные файлы) и секретным ключом, который оказался записан прямо в конфигурационном файле приложения. Получив этот ключ через path traversal, злоумышленники установили скрытый backdoor-доступ к системе и использовали его не только для кражи данных, но и для рассылки около 1,4 млн фишинговых писем от имени доверенного сервиса оповещений — то есть превратили взломанную инфраструктуру в оружие против тех же людей, кого она должна была защищать.
Масштаб утечки
По предварительной оценке Arcadia, в худшем сценарии могли быть раскрыты до 3,14 млн email-адресов жителей, около 105 тыс. номеров телефонов, порядка 15 тыс. номеров факсов, а также имена контактов, данные договоров и история сохранённых сообщений. Отдельно пострадали данные примерно 13 тыс. сотрудников полиции префектуры Сайтама — личные почтовые адреса и телефонные номера правоохранителей оказались в зоне риска, что особенно опасно: такие сведения облегчают целевой фишинг и попытки давления именно на тех, кто расследует киберпреступления.
Почему это важно даже вне Японии
Это классический supply-chain-инцидент: напрямую никто не взламывал полицию или муниципалитеты — пробили одного подрядчика, обслуживающего сотни организаций разом, и получили доступ ко всем их данным и каналам коммуникации одним ударом. Такая же логика работает и в России, и везде: ваш банк, работодатель, страховая или оператор связи может быть надёжен сам по себе, но передавать данные подрядчику с секретным ключом в открытом конфиге — и тогда утечка происходит без вашего участия и часто без вашего ведома. Единственный практический ответ на это — не полагаться на то, что данные нигде не утекли, а регулярно проверять это и быть готовым к волне фишинга, которая обычно идёт следом за такими инцидентами (как в нашем разборе фишинга от имени ФНС).
Как защититься
Проверьте, не фигурируют ли ваши данные в известных утечках — это не займёт много времени и не требует специальных навыков, инструкция в нашем гайде о проверке утечки персональных данных.
Относитесь с подозрением к письмам от «доверенных» служб после громких инцидентов. Взломанная инфраструктура Arcadia сама рассылала фишинг — то же самое происходит и с другими скомпрометированными сервисами: письмо, пришедшее с легитимного на вид адреса, не гарантирует, что отправитель не взломан.
Используйте уникальные пароли и менеджер паролей для каждого сервиса, чтобы утечка у одного подрядчика не открывала доступ к другим вашим аккаунтам — подробности в гайде по выбору менеджера паролей.
Защитите своё соединение на публичных сетях. VPN не остановит утечку на стороне вендора, но он не даёт перехватить ваш трафик, пока вы проверяете почту или входите в аккаунты через открытый Wi-Fi в кафе, отеле или аэропорту. LiMP VPN шифрует соединение на Android, Windows и в Chrome по политике no-logs — тарифы смотрите на странице LiMP VPN.
Источники
Частые вопросы
Как узнать, были ли мои данные в этой или похожей утечке?
Бесплатные сервисы проверки утечек позволяют ввести email или номер телефона и узнать, фигурируют ли они в известных дампах. Порядок действий — в нашем гайде о проверке утечки персональных данных: /ru/blog/utechka-personalnyh-dannyh-proverka.
Защитит ли VPN от утечки данных у вендора вроде Arcadia?
Нет. VPN шифрует ваш собственный интернет-трафик, но не может защитить данные, которые уже хранятся на серверах стороннего подрядчика и взломаны там. VPN полезен отдельно — например, чтобы ваш трафик не перехватили в публичном Wi-Fi, пока вы проверяете почту после подобного инцидента.
Что такое path traversal и почему эта уязвимость так опасна?
Path traversal — класс уязвимостей, при котором приложение не проверяет путь к запрашиваемому файлу и позволяет атакующему выйти за пределы разрешённой папки, читая произвольные файлы на сервере — включая конфиги с паролями и секретными ключами. В случае Arcadia именно так был украден секретный ключ, открывший backdoor-доступ ко всей системе оповещений.