In Japan könnten mehr als 165 Millionen Datensätze abgeflossen sein, während Unternehmen ein größeres Ausmaß der Datenpannen offenlegen

Millionen Datensätze aus alltäglichen Diensten offengelegt

Die Zahl der Datensätze mit personenbezogenen Informationen, die 2026 in Japan möglicherweise durch unbefugten Zugriff offengelegt wurden, hat 165 Millionen überschritten. Das geht aus einer Erhebung des Sicherheitsunternehmens Macnica hervor. Betroffen sind Bereiche wie Bahnreisen, Einkaufen, Karaoke, Software, Paketzustellung und Carsharing. Dazu zählen auch Informationen von Menschen, die ihre Konten bereits geschlossen hatten.

Allein Sourcenext gab am 15. Oktober bekannt, dass möglicherweise 22.519.960 Kundendatensätze abgeflossen sind. Adventure, Betreiber der Reisebuchungswebsite Skyticket, meldete einen möglichen Vorfall mit rund 14,64 Millionen Datensätzen. Yamato Transport stellte später fest, dass 5,31 Millionen Datensätze im Zusammenhang mit seinem Rechnungskauf-Service betroffen waren.

Die Zahl von 165 Millionen umfasst kumulativ personenbezogene Informationen aus verschiedenen Vorfällen. Wer in mehreren betroffenen Diensten registriert ist, kann daher mehrfach gezählt werden. Die Gesamtsumme schließt außerdem mögliche Datenabflüsse ein, neben Fällen, in denen Unternehmen bereits kompromittierte Informationen festgestellt haben.

Macnicas detailliertere Untersuchung eines bestimmten Musters von Website-Datenpannen ergab bis zum 6. Oktober 119 öffentliche Meldungen. Damit lag die Zahl bereits über den 84 Fällen, die für das gesamte Jahr 2025 verzeichnet wurden. 81 dieser 119 Meldungen erfolgten ab Juli.

Die japanische Information-technology Promotion Agency, kurz IPA, veröffentlichte am 9. Oktober eine dringende Warnung und forderte Unternehmensleitungen auf, Internetdienste, Konten und gespeicherte Daten zu überprüfen. Ihre Empfehlungen verbinden zwei unmittelbare Aufgaben: Eindringlinge aufzuspüren und die Menge der personenbezogenen Informationen zu verringern, die sie stehlen könnten.

Welche Folgen das für Kunden hat, hängt davon ab, welche Daten der jeweilige Dienst gespeichert hatte. Einige betroffene Datenbanken enthielten Kontaktdaten. Andere könnten Passwörter, Kreditkarteninformationen oder Bilder von Ausweisdokumenten umfasst haben. Die Meldungen zeigen auch, wie ein Angriff auf einen Dienstleister die Kunden mehrerer Unternehmen gleichzeitig treffen kann.

Was Macnica gezählt hat und warum der Anstieg wichtig ist

Macnicas Analyse von Website-Datenpannen untersuchte 265 öffentlich bekannt gewordene Vorfälle bei Organisationen in Japan zwischen Januar 2024 und dem 6. Oktober 2026. Die Jahreszahlen stiegen von 62 im Jahr 2024 auf 84 im Jahr 2025 und 119 im noch laufenden Jahr 2026.

Die Zahl für 2026 lag bereits 35 Vorfälle oder rund 42 Prozent über dem gesamten Vorjahr. Die 81 Meldungen ab Juli machten rund 68 Prozent der Jahresgesamtzahl und etwa 31 Prozent aller 265 untersuchten Vorfälle aus.

Yutaka Sejiyama vom Security Research Center von Macnica erstellte die Analyse der öffentlichen Meldungen. Die Angriffsanalyse steuerten Motohiko Sato von Itochu Cyber & Intelligence und Yosuke Hasegawa, Chief Technology Officer von Secure Sky Technology, bei.

Die Forscher wählten Vorfälle aus, die ihrer Einschätzung nach ähnliche Merkmale aufwiesen. Ihr Datensatz schließt Ransomware und bestimmte andere Angriffsmuster aus, darunter Versuche, mit Passwörtern aus anderen Diensten auf Kundenkonten zuzugreifen. Meldeten mehrere Kunden Schäden durch einen einzelnen Vorfall bei einem gemeinsamen Dienstleister, zählten die Forscher den Vorfall beim Dienstleister nur einmal.

Die nachfolgend beschriebenen umfassenderen Unternehmensmeldungen enthalten auch Ransomware-Vorfälle. Leser sollten daher zwei Kennzahlen auseinanderhalten: die Menge der möglicherweise offengelegten Kundeninformationen und die Zahl der ausgewählten Website-Vorfälle in Macnicas technischer Untersuchung.

Welche Unternehmen meldeten die größten Datenlecks?

Sourcenext erklärte, zu den möglicherweise betroffenen Informationen hätten Namen, Adressen, Telefonnummern, Arbeitgeber, E-Mail-Adressen und Passwörter gehört. Das Softwareunternehmen stellte am 13. Oktober unbefugten Zugriff auf sein Mitgliederinformationssystem fest und gab zwei Tage später die mögliche Offenlegung bekannt.

Adventure meldete Angriffe auf seine Server und das Geschäftssystem von Skyticket. Betroffen sein könnten rund 14,64 Millionen personenbezogene Datensätze. Nach Angaben des Unternehmens sind keine Kreditkartendaten oder Passnummern abgeflossen.

Daiichikosho, Betreiber der Karaoke-Kette Big Echo, erklärte, dass über ein von einem externen Dienstleister verwaltetes System etwa 8,72 Millionen personenbezogene Datensätze offengelegt worden sein könnten. Bei dem Vorfall war die IT des Dienstleisters mit Schadsoftware infiziert worden.

JR East gab an, dass rund 6,09 Millionen Kundenkonten kompromittiert worden sein könnten, JR Kyushu bezifferte die mögliche Zahl auf rund 1,3 Millionen Konten. Beide Unternehmen brachten die Datenpannen mit einem Ransomware-Angriff auf IDC Frontier in Verbindung, einer Cloud-Dienstleistungstochter von SoftBank. Zusammen belaufen sich ihre veröffentlichten Zahlen auf rund 7,39 Millionen Konten.

Bookoff Group Holdings meldete zunächst, dass bis zu 6,43 Millionen Kunden von der möglichen Offenlegung betroffen seien, nachdem unbefugter Zugriff auf die für Mitgliederdaten zuständige Tochtergesellschaft erfolgt war. Einer späteren Beschreibung zufolge waren die Informationen von rund 6,38 Millionen Menschen abgeflossen, darunter etwa 210.000 ehemalige Mitglieder.

Lawson meldete unbefugten Zugriff auf mehr als 2,15 Millionen Kundendatensätze. Dazu könnten Namen, E-Mail-Adressen und Kreditkarteninformationen gehören. Uzabase, Betreiber von NewsPicks, erklärte, dass einige Nutzerdaten durch unbefugten Zugriff auf ein Verwaltungstool offengelegt worden sein könnten.

Lawson, Daiichikosho und Uzabase erklärten, zum Zeitpunkt ihrer Meldungen keine missbräuchliche Nutzung festgestellt zu haben. Auch die Bahnunternehmen, Bookoff und Adventure meldeten, keine Hinweise auf einen Missbrauch durch Dritte gefunden zu haben, und riefen Kunden dazu auf, auf verdächtige E-Mails und Anrufe zu achten.

Lieferdaten, Entwicklungstools und Schulen betroffen

Yamato Transport erklärte am 16. Oktober, dass 5,31 Millionen personenbezogene Datensätze einiger Nutzer seines Rechnungskauf-Services kompromittiert worden seien. Das Unternehmen hatte den Vorfall erstmals am 29. September gemeldet.

Zu den betroffenen Informationen gehörten Namen, Adressen und Telefonnummern, die über einen Zeitraum von rund acht Jahren ab dem 1. Oktober 2018 erfasst worden waren. Der lange Erhebungszeitraum zeigt, wie ein einzelner Angriff über viele Jahre angesammelte Informationen aus Kundenaktivitäten offenlegen kann.

Nikkei Inc. meldete nach unbefugtem Zugriff auf einen Cloud-Dienst für die Systementwicklung rund 1,83 Millionen kompromittierte Datensätze, darunter Namen, Adressen und E-Mail-Adressen. Mit einem Entwicklungsdienst werden Softwareprodukte erstellt oder gewartet. Damit gerät ein weiterer Teil der IT-Umgebung eines Unternehmens in die Reichweite von Angreifern.

Auch das japanische Bildungsministerium teilte mit, dass acht Schulen, überwiegend Universitäten, von Ende September bis zum Donnerstag vor den jüngsten Meldungen Datenpannen gemeldet hätten. Macnicas Untersuchung identifizierte betroffene Dienste in so unterschiedlichen Bereichen wie Bibliothekskatalogen, Reservierungen für Sightseeing-Züge, Buchungen von Studierendenunterkünften und der Verwaltung von Ticketerstattungen.

Wie sich die Meldungen entwickelten

Mehrere Vorfälle wurden innerhalb weniger Wochen öffentlich, während die Untersuchungen zur Klärung des Umfangs der betroffenen Informationen weiterliefen. Die Angaben von Sourcenext enthalten besonders genaue Zeitpunkte zum Eindringen und zur Reaktion des Unternehmens.

• 29. September: Yamato Transport meldete erstmals die Datenpanne. Park24 gab Ende September den Abfluss von Carsharing-Daten bekannt.
• 6. Oktober: Zum Stichtag von Macnicas Untersuchung waren 119 ausgewählte Website-Datenpannen im Jahr 2026 öffentlich gemeldet worden.
• 8. Oktober: Macnica ergänzte einen Hinweis auf eine damit verbundene Warnung von JPCERT/CC, Japans Organisation zur Reaktion auf IT-Sicherheitsvorfälle.
• 9. Oktober: Die IPA veröffentlichte ihre dringenden Empfehlungen zur Überprüfung. Zu den Unternehmen, deren Meldungen an diesem Tag öffentlich wurden, gehörten JR East, Bookoff, Daiichikosho und Adventure. Sourcenext datierte den Beginn des Eindringens später auf etwa 10 Uhr am 9. Oktober.
• 13. Oktober: Sourcenext entdeckte gegen 9 Uhr den unbefugten Zugriff und leitete bis zum Nachmittag Sofortmaßnahmen ein, um ihn zu unterbinden.
• 15. Oktober: Sourcenext meldete die mögliche Offenlegung von 22.519.960 Datensätzen.
• 16. Oktober: Yamato erläuterte, dass 5,31 Millionen Datensätze betroffen waren, Nikkei meldete seine Datenpanne und Park24 kündigte an, die Löschung von Bildern der Ausweisdokumente bis Ende Oktober abzuschließen.

Der zeitliche Ablauf bei Sourcenext zeigt, dass der unbefugte Zugriff fast vier Tage vor seiner Entdeckung begann. Die Anweisung der IPA, zunächst die jüngsten Aktivitäten zu prüfen und die Suche anschließend weiter zurück auszudehnen, trägt genau dem Umstand Rechnung, dass rekonstruiert werden muss, was vor einem Alarm geschehen ist.

Angreifer suchten systemweit nach Schwachstellen

Macnicas technische Analyse beschreibt, wie Angreifer einzelne Websites und ihre Programmierschnittstellen, sogenannte APIs, untersuchten. Über eine API kann eine App oder Website ein anderes System um Informationen bitten oder einen Auftrag erteilen.

Die Ermittler beobachteten Schwachstellen wie APIs, die mehr Informationen als nötig zurückgaben, Funktionen mit übermäßigen Berechtigungen und für Mitglieder vorgesehene Angebote, die auch anonymen Besuchern zugänglich waren. Weitere Probleme betrafen Anmeldesitzungen, Verarbeitungsregeln und Zugriffseinstellungen.

Einige Angreifer untersuchten mobile Apps, um API-Schlüssel auszulesen. Diese Zugangsdaten werden bei der Kommunikation mit einem Dienst verwendet. Anschließend nutzten sie die Schlüssel, um Anfragen zu stellen, die normalem Datenverkehr ähnelten. Die Forscher beobachteten außerdem schwache Administratorpasswörter und die Ausnutzung bekannter Softwareschwachstellen.

Die praktische Herausforderung geht über die Installation eines einzelnen Softwareupdates hinaus. Ein Dienst muss unter Umständen eigens überprüfen, ob der Server kontrolliert, wer eine Anfrage stellt und welche Datensätze diese Person abrufen darf. Auch Verwaltungstools, mit denen große Informationsmengen exportiert werden, müssen genau geprüft werden.

Die meisten Meldungen enthielten kaum Angaben zur Ursache

Von den 81 ausgewählten Vorfällen, die ab Juli gemeldet wurden, konnte Macnica neun auf Schwachstellen in Softwareprodukten oder zugehörigen Tools, vier auf den Missbrauch von Zugangsdaten oder Passwortangriffe und drei auf Website-Einstellungen oder Fehler bei der Zugriffskontrolle zurückführen.

Die übrigen 65 Meldungen, also rund 80,2 Prozent, enthielten zu wenige Erläuterungen, um eine Ursache zuzuordnen. Anderen Organisationen bleibt damit nur eine begrenzte Grundlage, um nach denselben Schwachstellen in ihren eigenen Systemen zu suchen.

Einige Mitteilungen beschrieben, was Eindringlinge nach dem Zugriff taten. Bei elf Vorfällen wurden unbefugte Programme installiert oder ausgeführt, bei neun über APIs oder Datenbanken Informationen abgerufen oder eingesehen und bei sechs unbefugte Konten oder Authentifizierungsschlüssel angelegt. Die Kategorien überschneiden sich, da ein Vorfall mehrere solcher Handlungen umfassen kann.

Macnica fand ab Juli zudem mindestens 25 Meldungen über die Manipulation oder missbräuchliche Nutzung von Websites, ohne dass ein konkreter Verdacht auf die Offenlegung personenbezogener Informationen bestand. Beispiele waren die Weiterleitung von Besuchern auf externe Websites, gefälschte Warnhinweise, Änderungen von Registrierungsdaten und der Missbrauch von Cloud-Diensten.

Die Forscher erörterten die Möglichkeit, dass künstliche Intelligenz eingesetzt wird, um die Suche auf zahlreichen Websites zu wiederholen. Ein KI-Einsatz und die letztendlichen Absichten der Angreifer sind jedoch nicht bestätigt. Die beobachteten Aktivitäten konzentrierten sich auf Zugriffsberechtigungen, Einstellungen, Authentifizierung und bekannte Schwachstellen. Als eine mögliche Erklärung nannten die Forscher, dass gesammelte Namen, Angaben zu genutzten Diensten und Reservierungen Kriminellen helfen könnten, spätere Phishing-Nachrichten oder betrügerische Anrufe überzeugender zu gestalten.

Ehemalige Kunden waren ebenfalls von den Datenpannen betroffen

Bei der Datenpanne von Park24 waren etwa 6,6 Millionen Mitgliederdatensätze betroffen, darunter auch die ehemaliger Mitglieder, sowie rund 1,6 Millionen Dokumente zur Identitätsprüfung, etwa Bilder von Führerscheinen. Times Car hatte Ausweisdokumente noch sieben Jahre nach dem Ende der Mitgliedschaft von Kunden gespeichert.

Park24 erklärte am 16. Oktober, die Löschung der Bilder von Ausweisdokumenten bis Ende des Monats abschließen zu wollen. Damit setzte das Unternehmen eine konkrete Frist für ein Problem, auf das auch die IPA hingewiesen hat: Unternehmen müssen prüfen, ob sie die gespeicherten Daten noch benötigen.

Die rund 210.000 ehemaligen Mitglieder bei Bookoff machten etwa 3,3 Prozent der 6,38 Millionen Menschen aus, die in der späteren Beschreibung des Datenlecks genannt wurden. Auch der Tierbedarfshändler Charm erklärte, dass die meisten der rund 25.000 Datensätze ehemaliger Kunden abgeflossen seien.

Wer ein Konto schließt, kann daher noch jahrelang gefährdet sein, wenn das Unternehmen die zugrunde liegenden Daten behält. Kontaktdaten können Kriminellen helfen, sich als vertrauter Dienst auszugeben. Passwörter und Bilder von Ausweisdokumenten bergen zusätzliche Risiken. Macnica empfiehlt, nicht mehr benötigte Datensätze zu überprüfen, darunter unerwartete personenbezogene Angaben in Notizfeldern, und API-Schlüssel bei der Einstellung eines Dienstes außer Betrieb zu nehmen.

Was Unternehmen laut IPA jetzt überprüfen sollen

Der Hinweis vom 9. Oktober der IPA fordert eine dringende Überprüfung internetzugänglicher Anwendungen, externer Dienste und Konten sowie gespeicherter Informationen. Die Verantwortung liegt bei den Unternehmensleitungen, besonders wenn Unternehmen große Mengen personenbezogener oder sensibler Daten verarbeiten.

Bei Anwendungen empfiehlt die IPA, aktuelle Protokolle, also von Systemen aufgezeichnete Aktivitäten, zu prüfen und nach fehlenden Sicherheitsupdates zu suchen. Die Untersuchung sollte zunächst etwa den vergangenen Monat umfassen und dann auf drei Monate ausgeweitet werden. Dabei sollte auf ungewöhnlich viele Fehlermeldungen und Abweichungen vom normalen Betrieb geachtet werden.

Bei externen Diensten, darunter Cloud- und VPN-Dienste, sollten Unternehmen erfassen, welche Dienste die Organisation und einzelne Abteilungen nutzen. Sie sollten klären, wie lange Protokolle gespeichert werden, wer sie einsehen kann und ob der Anbieter Aufzeichnungen besitzt, die der Kunde nicht direkt einsehen kann.

Bei der Kontenprüfung sollte nach unbekannten Nutzern und Konten gesucht werden, die wieder aktiv geworden sind, obwohl sie zuvor deaktiviert oder gelöscht worden waren. Ungewöhnliche Anmeldezeiten und -orte sowie wiederholte fehlgeschlagene Versuche erfordern ebenfalls Aufmerksamkeit. Die IPA empfiehlt, auffällige Protokolle oder Konten als Sicherheitsvorfall zu behandeln und eine fachkundige Untersuchung einzuleiten.

Macnicas ergänzende Empfehlungen umfassen die Prüfung, ob APIs Berechtigungen auf dem Server durchsetzen, das Entfernen in Apps eingebetteter vertraulicher Daten, den Schutz von Administratorkonten durch mehrere Authentifizierungsschritte und die Beschränkung des Zugriffs auf Verwaltungsfunktionen. Auch die Überwachung erfordert eine klare Reaktion durch Menschen: Jemand muss Warnmeldungen prüfen, die zuständigen Personen kontaktieren und die Untersuchung einleiten.

Die IPA arbeitet an einem Sicherheitsbewertungssystem für Lieferketten, dem sogenannten SCS Assessment Scheme, das im März 2027 starten soll. Einheitliche Bewertungskriterien sollen Kunden und Dienstleistern helfen, die Sicherheitslage der Unternehmen zu verstehen, mit denen sie Informationen austauschen.

Ähnliche Vorfälle gab es auch außerhalb Japans

Macnica identifizierte von Juli bis September 2026 insgesamt 99 ähnliche Vorfälle in 13 Ländern und Gebieten. Auf Südkorea entfielen 30, auf Frankreich elf und auf Polen acht.

Die südkoreanischen Fälle betrafen Websites und APIs in den Bereichen Einkaufen, Buchungen, Bildung und finanzielle Unterstützung. Diese Bandbreite ähnelt den Bereichen, die in den japanischen Meldungen auftauchen.

Gesetze und Gepflogenheiten bei der Offenlegung beeinflussen, wie viele Vorfälle in den einzelnen Ländern öffentlich bekannt werden. Macnica hob Japan in seiner Untersuchung als besonders betroffen hervor, ließ jedoch offen, ob Angreifer gezielt Japan ins Visier nahmen.

Bei den Vorfällen in Japan sind die unmittelbaren Prioritäten klar: unbefugte Aktivitäten aufspüren, den Zugriff auf Kundeninformationen absichern und nicht mehr benötigte Datensätze löschen. Die Vorfälle bei Dienstleistern und die Offenlegung von Daten ehemaliger Mitglieder zeigen, warum diese Arbeit über die zentrale Website eines Unternehmens und den aktuellen Kundenstamm hinausgehen muss.

Die wichtigsten Punkte

• Laut Macnicas Erhebung könnten 2026 in Japan durch unbefugten Zugriff mehr als 165 Millionen Datensätze mit personenbezogenen Informationen abgeflossen sein. Eine Mehrfachzählung über verschiedene Dienste hinweg ist möglich.
• Die engere Untersuchung von Website-Datenpannen verzeichnete bis zum 6. Oktober 119 Meldungen, davon 81 ab Juli.
• Sourcenext meldete 22.519.960 möglicherweise betroffene Datensätze, Adventure rund 14,64 Millionen.
• Datenpannen bei Dienstleistern betrafen Kunden großer Unternehmen. Zugleich wurden gespeicherte Datensätze ehemaliger Mitglieder von Park24, Bookoff und Charm offengelegt.
• Die IPA forderte dringende Prüfungen von Protokollen, Sicherheitsupdates, Konten, externen Diensten und gespeicherten Daten.
• Park24 wollte die Löschung von Bildern der Ausweisdokumente bis Ende Oktober abschließen. Das Sicherheitsbewertungssystem der IPA für Lieferketten soll im März 2027 starten.