Sony Network Communications potwierdziło poważne naruszenie bezpieczeństwa bazy klientów japońskich usług internetowych. Wyciek objął łącznie 2 585 481 rekordów związanych z So-net oraz plala w wariancie Sコース. Szczególnie niebezpieczna część incydentu dotyczy 54 401 adresów e-mail wraz z hasłami służącymi do obsługi poczty. Operator wymusił ich zmianę i ostrzega klientów przed podejrzanymi wiadomościami oraz telefonami. To nie jest komunikat o włamaniu do PlayStation Network – potwierdzone naruszenie dotyczy bazy japońskiego dostawcy usług internetowych.

Sprawa obejmuje również klientów innego operatora. NTT Docomo poinformowało, że dane użytkowników jego usługi plala (Sコース) znajdowały się w bazie zarządzanej przez Sony Network Communications w ramach współpracy między przedsiębiorstwami. Incydent u jednego dostawcy naraził więc informacje klientów korzystających z usług pod różnymi markami. Docomo zastrzegło jednocześnie, że naruszenie nie obejmuje wszystkich wariantów plala.

Ponad 2,5 mln rekordów. Co znalazło się w wycieku?

Według opublikowanego zestawienia naruszenie objęło 2 141 986 rekordów klientów So-net oraz 443 495 rekordów użytkowników plala (Sコース). Wśród ujawnionych informacji znalazły się imiona i nazwiska, numery telefonów, adresy e-mail, daty urodzenia, płeć, identyfikatory użytkowników oraz identyfikatory wykorzystywane przy łączeniu z internetem. To liczby rekordów wskazane przez operatorów, a nie potwierdzony bilans unikalnych osób, które poniosły już szkody finansowe.

Wyciek nie ogranicza się do aktualnych abonentów. Objął również informacje o części byłych klientów, którzy zakończyli korzystanie z usług od marca 2026 roku. Sony wyjaśnia, że po rozwiązaniu umowy przechowuje dane przez pewien czas między innymi na potrzeby końcowych rozliczeń i obsługi zapytań. Rezygnacja z usługi nie oznaczała więc natychmiastowego usunięcia wszystkich informacji z bazy.

Wyciekły także hasła do ponad 54 tys. skrzynek pocztowych

Najpoważniejszą częścią incydentu jest ujawnienie poświadczeń pocztowych. Operator wskazał cztery usługi: Mail Service (G), A-Box, So-net VAIO Mail oraz PostPet Mail Account Service. Łącznie dotyczą one 54 401 adresów. Liczby tej nie należy dodawać do 2,59 mln rekordów jako kolejnej, niezależnej grupy poszkodowanych – chodzi o dodatkową kategorię danych dotyczącą części klientów.

W komunikatach trzeba przy tym rozróżnić hasła do poczty od haseł do panelu abonenta. Nie potwierdzono masowego wycieku haseł do panelu klienta ani haseł do podstawowych, bezpłatnych skrzynek So-net. Wskazano natomiast siedem rekordów związanych z powiadomieniami dotyczącymi resetowania haseł; odpowiednie poświadczenia zostały unieważnione. Nie ma zatem podstaw, aby pisać o kradzieży haseł wszystkich 2,59 mln kont.

Dlaczego hasło do poczty jest szczególnie cenne dla przestępcy?

Skrzynka pocztowa często pełni funkcję centrum odzyskiwania dostępu do innych usług. To właśnie do niej trafiają wiadomości umożliwiające zmianę hasła w sklepie internetowym, portalu społecznościowym czy innym serwisie. Przejęcie poczty może więc otworzyć drogę do kolejnych kont, nawet jeśli ich hasła nie znalazły się w pierwotnym wycieku. CERT Polska zwraca uwagę, że z tego powodu skrzynka powinna mieć silne, unikalne hasło, nieużywane w innych miejscach.

W sprawie Sony trzeba jednak oddzielić zagrożenie od ustalonego skutku. Potwierdzono ujawnienie poświadczeń, ale nie przedstawiono dowodów przejęcia wszystkich 54 tys. skrzynek ani odczytania całej ich zawartości. W informacjach aktualnych na 29 października operator deklaruje, że nie zidentyfikował dotychczas wtórnych szkód wynikających z incydentu. Nie jest to gwarancja, że wykradzione informacje nie zostaną wykorzystane później.

Ujawniono również dane rachunków bankowych. Nie chodzi o numery kart

Osobną kategorię stanowi 16 rekordów zawierających informacje o rachunkach bankowych, w tym nazwę banku i oddziału, numer rachunku oraz dane jego posiadacza. Operator podaje, że nie przechowywał bankowych kodów PIN. Wskazał też, że wśród ujawnionych informacji nie było danych kart płatniczych. Nie należy więc przedstawiać tego incydentu jako wycieku milionów kart lub kompletnych danych dostępowych do bankowości.

NTT Docomo osobno potwierdziło, że w części naruszenia dotyczącej plala (Sコース) nie znalazły się hasła ani dane rozliczeniowe, takie jak informacje o kartach czy rachunkach bankowych. Zakres wycieku nie był jednakowy dla wszystkich klientów, dlatego komunikat skierowany do konkretnej osoby ma większe znaczenie niż ogólny nagłówek o milionach rekordów.

Atak 19 października, wykrycie cztery dni później

Według chronologii Sony nieuprawniony dostęp nastąpił 19 października 2026 roku, a firma wykryła go 23 października. Po wykryciu zatrzymała wskazany serwer i zablokowała komunikację ze źródła ataku. Następnego dnia potwierdzono wyciek oraz jego zakres. Publiczny komunikat opublikowano 27 października, a informacje dla klientów zaktualizowano 29 października.

Operator zgłosił sprawę japońskiemu organowi ochrony danych osobowych i kontynuuje dochodzenie. Nie opublikował szczegółowego opisu sposobu włamania, dlatego nie ma podstaw, by przypisywać incydent konkretnej luce, grupie ransomware czy phishingowi wymierzonemu w pracowników.

Fałszywy konsultant może znać prawdziwe dane klienta

NTT Docomo ostrzega przed podejrzanymi e-mailami, SMS-ami i telefonami wykorzystującymi ujawnione informacje. Zaleca ostrożność wobec zawartych w nich odnośników i załączników. Znajomość nazwiska, numeru telefonu czy identyfikatora klienta nie powinna być traktowana jako wystarczające potwierdzenie tożsamości rozmówcy. Właśnie takie informacje znalazły się w naruszonej bazie.

Możliwy scenariusz jest prosty: ktoś podający się za konsultanta informuje o wycieku, przywołuje prawdziwe dane abonenta i proponuje „zabezpieczenie konta”. Następnie kieruje go do formularza żądającego nowego hasła albo danych płatniczych. To przykład potencjalnego wykorzystania wycieku, nie opis kampanii już potwierdzonej w tej sprawie. Pokazuje jednak, dlaczego wiadomość odwołująca się do prawdziwego incydentu również wymaga niezależnej weryfikacji.

Co powinni zrobić poszkodowani?

Sony wymusiło zmianę zagrożonych haseł pocztowych 27 października. Użytkownicy objętych incydentem usług muszą ustawić nowe poświadczenia, a następnie odpowiednio zmienić konfigurację programów pocztowych. Instrukcji należy szukać przez samodzielne wejście na stronę operatora, zamiast korzystać z przypadkowej wiadomości oferującej pomoc.

Zmiana hasła wyłącznie u operatora nie wystarczy, jeżeli było ono używane również gdzie indziej. CERT Polska zaleca zastąpienie ujawnionego hasła we wszystkich takich usługach, także tam, gdzie stosowano tylko nieznacznie zmieniony wariant. Warto używać menedżera haseł i włączyć dodatkowe uwierzytelnianie wszędzie, gdzie jest dostępne. To ogranicza ryzyko, że naruszenie jednego serwisu uruchomi serię kolejnych przejęć kont.

Najważniejsza lekcja z tej sprawy nie sprowadza się do rozpoznawalności marki Sony. O rzeczywistym zagrożeniu decyduje to, jakie informacje wyciekły i do czego mogą posłużyć. Sama liczba rekordów nie mówi wszystkiego: adres e-mail wymaga innej reakcji niż adres połączony z hasłem do skrzynki. Dlatego po każdym podobnym komunikacie warto najpierw ustalić zakres naruszenia, a dopiero potem dobierać działania zabezpieczające.