Japoński oddział Sony Network Communications, obsługujący usługi internetowe, poinformował o wycieku danych dotyczących około 2,5 mln obecnych i byłych klientów. Wśród przejętych informacji znalazły się dane osobowe, a w przypadku części użytkowników także hasła do poczty elektronicznej. Firma odcięła dostęp do zaatakowanego serwera i ostrzegła klientów przed próbami oszustw.
Co wiadomo o ataku
Do włamania doszło 19 października 2026 roku, a Sony wykryło je cztery dni później. Po potwierdzeniu incydentu firma wyłączyła zagrożony serwer i zablokowała połączenia ze źródła nieautoryzowanego dostępu. Wstępne dochodzenie wykazało, że napastnicy skopiowali łącznie 2 141 986 rekordów.
Nie ujawniono, kto stoi za atakiem ani jak udało mu się dostać do systemów. Na razie nie ma też informacji o żądaniu okupu, a skradzione dane nie zostały odnalezione w dark webie.
Jakie dane mogły wyciec
Wśród około 1,8 mln rekordów dotyczących obecnych klientów So-net znalazły się imiona i nazwiska, numery telefonów, adresy e-mail, identyfikatory użytkowników, daty urodzenia, płeć oraz identyfikatory połączeń internetowych. Sony podkreśla, że w tej grupie nie skradziono haseł.
Odrębna część wycieku dotyczyła usług pocztowych So-net. Napastnicy uzyskali dostęp do adresów e-mail i haseł niektórych użytkowników, w tym klientów Email Service (G), A-Box, So-net VAIO Mail i PostPet Mail Account Service.
Firma wykazała również 16 rekordów zawierających dane rachunków bankowych: m.in. nazwę banku, numer oddziału, numer konta i nazwisko jego właściciela. Zaznaczyła, że nie przechowuje kodów PIN do tych rachunków, więc nie mogły zostać ujawnione. Osoby, których dotyczą te dane, mają otrzymać indywidualne powiadomienia.
Warto potraktować ostrzeżenie firmy poważnie, nawet jeśli nie wiadomo, czy skradzione dane trafiły do sieci. Prawdziwe informacje o kliencie mogą ułatwić przestępcom przygotowanie wiarygodnej próby wyłudzenia. W razie wątpliwości skontaktuj się z usługodawcą za pośrednictwem oficjalnych kanałów.
Więcej o innym incydencie dotyczącym wycieku danych przeczytasz w artykule: LastPass potwierdza wyciek danych po ataku na łańcuch dostaw — co o tym wiemy.
Incydent dotyczy także klientów NTT Docomo
Wyciek objął również ponad 440 tys. rekordów związanych z usługą plala (S Course). Z jej infrastruktury korzysta także NTT Docomo, osobny dostawca internetu, który wydał własne ostrzeżenie dla klientów.
Incydent dotyczy użytkowników usług Hikari oraz części osób, które zrezygnowały z nich od maja 2026 roku. W przypadku niektórych usług pocztowych uwzględniono klientów, którzy zakończyli subskrypcję w marcu 2026 roku lub później. Sony podało, że osoby, które zrezygnowały do końca lutego, nie zostały objęte wyciekiem.
Ostrzeżenie przed phishingiem
Sony Network Communications zgłosiło sprawę japońskiej Komisji Ochrony Danych Osobowych oraz odpowiednim służbom i kontynuuje dochodzenie. Firma i NTT Docomo zalecają ostrożność wobec nieoczekiwanych wiadomości, SMS-ów i połączeń telefonicznych, które mogą wykorzystywać skradzione informacje.
Klientom radzą nie odpowiadać na podejrzane kontakty, nie klikać odsyłaczy w wiadomościach i nie otwierać załączników. To szczególnie ważne, ponieważ przestępcy mogą podszywać się pod usługodawców lub wykorzystywać prawdziwe dane klientów, by uwiarygodnić próbę wyłudzenia. Atak na Sony nastąpił niespełna tydzień po tym, jak inny japoński gigant internetowy, GMO Group, ostrzegał klientów przed zagrożeniem ransomware.
2,5 mln rekordów — robi wrażenie. Najciekawsze będą logi i IoC, bez nich to tylko liczby. Jeśli ktoś z redakcji dostanie dump albo chociaż listę vectorów ataku, to proszę wrzućcie. Cztery dni od włamania do wykrycia nie jest idealne, ale też nie katastrofa dla dużego środowiska.
Typowa korporacyjna gadka: „odcięliśmy serwer i badamy”. Cztery dni to wystarczająco długo, żeby skopiować dane i zacząć nadużycia. Brak informacji o tym, jak doszło do włamania i czy hasła były hashowane — to podstawowe rzeczy. Podejrzane, że nie ma jeszcze niczego na darknetcie; albo Sony trzyma realne fakty przy sobie, albo ktoś sprzątnął ślady. Nie wierzę w czystą niewinność.
Jeśli napastnicy uzyskali hasła pocztowe, to mamy do czynienia z jednym z trzech scenariuszy: 1) hasła przechowywane w plaintext, 2) słabo hashowane (MD5/bez soli) lub 3) atak na serwis AAA/autoryzacyjny (np. wyciek bazy auth). Cztery dni to wystarczająco dużo na lateral movement i exfiltration. Zalecenia praktyczne: wymusić reset haseł, wdrożyć MFA dla kont administracyjnych i użytkowników poczty, sprawdzić EDR/siem pod kątem IOC, przejrzeć retention logów i audit trail. 16 rekordów bankowych to relatywnie mało, ale dla tych osób priorytetem powinno być monitorowanie wyciągów i zgłoszenie sprawy do banku.
Mam konto w jednym z mail serwisów Sony (przestałem używać dawno temu, ale parę maili tam wciąż przychodziło). Po poprzednich incydentach regularnie dostaję spam i próby phishingu — zmieniłem hasło i włączyłem forward na Gmaila. Jeśli ktoś jeszcze ma stare konto So-net/VAIO Mail, natychmiast resetujcie i sprawdzajcie powiadomienia od banku. U mnie kiedyś przeszli próby socjotechniki na numer telefonu — nie bagatelizujcie.
Czy ktoś wie, jak sprawdzić czy moje konto zostało objęte wyciekiem, poza czekaniem na mail od Sony? Powinienem zmieniać hasła wszędzie jeśli używałem tego samego w innych usługach? I jak szybko banki reagują w Japonii na zgłoszenia związane z przejęciami kont — ktoś ma doświadczenie? Dzięki za wskazówki.
Zamiast od razu palić ich na stosie, warto zauważyć, że Sony zgłosiło sprawę do regulatora i odcięło serwer — to standardowy playbook. Oczywiście komunikacja jest skąpa i niepokoi brak detali, ale media znowu robią napięcie. Prawdziwy problem to kultura bezpieczeństwa w dużych firmach i legacy systems — do czasu gruntownej modernizacji takie wpadki będą się powtarzać.
To nie jest tylko wizerunkowa wpadka — może mieć konsekwencje prawne i finansowe, zwłaszcza jeśli regulator uzna, że Sony nie zachowało należytej staranności. Poza tym mamy powtarzające się incydenty w japońskim sektorze ISP (GMO niedawno) — wzrasta ryzyko systemowe. Firmy powinny publikować transparentne raporty post-incident i konkretne plany naprawcze; bez tego nic się nie zmieni. (tak, drobna literówka w mailu mi przeszła, sorry)