Sự cố an ninh mạng tại Nhật đầu tháng 11/2026: tổng hợp

Bước sang tháng 11/2026, các tổ chức lớn tại Nhật Bản liên tiếp công bố về các vụ truy cập trái phép. Chỉ riêng ngày 6/11 đã có NTT Docomo, Rohto Pharmaceutical, Aioi Nissay Dowa, Mitsui Sumitomo Insurance, TeamSpirit và Hiệp hội An ninh mạng Nhật Bản (JNSA) lần lượt công bố.

Bài viết này sắp xếp lại các sự kiện dựa trên công bố chính thức của từng tổ chức, và tổng hợp những điều nên tự kiểm tra tại công ty. Bài không nhằm phê phán bất kỳ tổ chức cụ thể nào. Nội dung tính đến ngày 8/11/2026; do việc điều tra vẫn đang tiếp diễn nên có thể thay đổi sau này.

Các vụ việc chính đã được công bố

※ Đơn vị đếm khác nhau tùy tổ chức (người, bản ghi), nên không phù hợp để cộng gộp hay so sánh.

NTT Docomo: cửa hàng trực tuyến và My docomo

NTT Docomo công bố rằng ngày 4/11 đã xác nhận truy cập trái phép từ bên ngoài vào Docomo Online Shop và My docomo, và từ khoảng 1 giờ 05 sáng ngày 5/11 đã ngừng các thủ tục. Theo thông báo lần 3 (tính đến 6 giờ chiều ngày 6/11), đối tượng bị rò rỉ là tối đa khoảng 300.000 bản ghi. Về buổi họp báo ngày 6/11, báo chí đưa tin con số tối đa là 294.839 bản ghi (204.157 cá nhân, 90.682 doanh nghiệp).

Với tất cả đối tượng, thông tin liên quan gồm họ tên, ngày sinh, địa chỉ, số điện thoại, địa chỉ email, số trên giấy tờ xác minh danh tính, nội dung hợp đồng và các thông tin khác. Với một số người, còn gồm cả tên tổ chức tài chính, số tài khoản và các thông tin khác.

Về nguyên nhân, thông báo lần 3 ghi là "truy cập trái phép từ bên ngoài" và cho biết sẽ tiếp tục điều tra đường xâm nhập và các vấn đề khác. Theo báo chí, tại buổi họp báo công ty giải thích rằng đây "không phải lỗ hổng của bản thân hệ thống, mà là việc lợi dụng cơ chế liên kết nhiều hệ thống với nhau", và nói rằng đây "không phải cái gọi là tấn công API". Thời điểm khôi phục sau đợt bảo trì khẩn cấp chưa được xác định. Báo chí cũng đưa tin công ty đang cân nhắc trả khoản tiền an ủi (見舞金).

Rohto Pharmaceutical: bản ghi âm cuộc gọi và thông tin khách hàng

Ngày 6/11, Rohto Pharmaceutical công bố kết quả điều tra vụ truy cập trái phép đã xác nhận vào tháng 9/2026. Công ty cho biết do truy cập trái phép vào hệ thống điện thoại và hệ thống quản lý khách hàng dùng để phục vụ khách hàng mảng bán hàng từ xa, họ tên, địa chỉ, số điện thoại của 2.797.545 người (các mục khác nhau tùy từng người) đã bị lấy trái phép.

Ngoài ra, dữ liệu âm thanh cuộc gọi trong một khoảng thời gian nhất định thuộc giai đoạn từ 10/9/2025 đến 5/9/2026 cũng bị lấy; trong đó, dữ liệu của 9.715 người có chứa số thẻ tín dụng và ngày hết hạn. Công ty cho biết không thu thập và không lưu mã bảo mật, nên mã này không nằm trong dữ liệu đó.

Về nguyên nhân, công ty cho biết đã xác nhận thông tin tài khoản của hệ thống điện thoại bị bên thứ ba sử dụng trái phép, và thông tin trong hệ thống quản lý khách hàng cũng bị lấy thông qua hệ thống điện thoại. Công ty đã ngừng hỏi số thẻ qua điện thoại và chuyển sang thủ tục bằng văn bản. Công ty cũng đã đề nghị các công ty thẻ để khách hàng không phải chịu chi phí cấp lại thẻ. Tính đến ngày 6/11, chưa xác nhận được thiệt hại thứ cấp.

Aioi Nissay Dowa, Mitsui Sumitomo Insurance: trang dành cho người tham gia bảo hiểm

Ngày 6/11, hai công ty thuộc tập đoàn MS&AD đã công bố việc truy cập trái phép và rò rỉ thông tin tại "trang riêng dành cho người tham gia bảo hiểm" của từng công ty. Cả hai công ty cho biết đã phát hiện vào đêm ngày 2/11 và dừng dịch vụ vào khuya ngày hôm sau (3/11).

Cả hai công ty cho biết nguyên nhân và phạm vi ảnh hưởng đang được tổ chức chuyên môn bên ngoài điều tra, và chưa xác nhận được việc thông tin bị sử dụng trái phép.

TeamSpirit: từ máy chủ phát triển

Ngày 6/11, TeamSpirit, đơn vị cung cấp các dịch vụ như quản lý chấm công, công bố rằng ngày 27/10 một bên thứ ba đã đăng nhập trái phép vào máy chủ phát triển, và dùng thông tin xác thực được lưu trên máy chủ đó để lấy dữ liệu từ môi trường đám mây. Thông tin cá nhân bị rò rỉ, trong phạm vi xác nhận được, là 28.824 bản ghi sau khi loại trùng, trong đó có 35 bản ghi là thông tin cá nhân nhạy cảm (要配慮個人情報).

Công ty cho biết nguyên nhân "không phải do lỗ hổng chưa biết" mà là "các thiếu sót trong cấu hình và quản lý thông tin chồng lên nhau". Mặt khác, công ty cho biết tại thời điểm hiện tại chưa xác nhận được truy cập trái phép vào dữ liệu chấm công và giờ công mà khách hàng vận hành trên dịch vụ.

JNSA: dịch vụ kiểm tra mức độ hiểu biết về bảo mật

Trong thông báo lần 1 ngày 6/11, JNSA, tổ chức hoạt động nâng cao nhận thức về an ninh thông tin, công bố đã xác nhận vào ngày 4/11 truy cập trái phép vào "dịch vụ kiểm tra mức độ hiểu biết về an ninh thông tin". Có khả năng tối đa 15.128 bản ghi thông tin cá nhân đã bị rò rỉ; đối tượng gồm họ tên, tên doanh nghiệp, địa chỉ email của người quản trị, ID và mật khẩu đã băm (hash) của người dùng và các thông tin khác. Truy cập trái phép có thể đã diễn ra từ khoảng đêm ngày 30/10; đường xâm nhập chi tiết đang được điều tra.

Những điều rút ra từ các vụ việc này

Vì nhiều vụ việc chưa công bố nguyên nhân, các điểm dưới đây chỉ là phần sắp xếp lại trong phạm vi xác nhận được.

7 mục nên tự kiểm tra tại công ty

1. Có phát hiện được bất thường ở trang hội viên không

   Theo báo chí, Docomo nhận ra nhờ cảnh báo về lượng truy cập lớn. Hãy kiểm tra xem có cơ chế nhận biết khi nhiều thông tin bị xem trong thời gian ngắn hay không.

2. Có đang lưu số trên giấy tờ xác minh danh tính không

   Chỉ lưu những thông tin thật sự cần thiết; nếu phải giữ lại, hãy giới hạn người được xem.

3. Xem lại dữ liệu ghi âm và bản chép lời

   Có các biện pháp như xây dựng cơ chế không hỏi các loại số qua điện thoại, hoặc quy định thời hạn lưu bản ghi âm.

4. Không để khóa của môi trường thật trên môi trường phát triển

   Hãy tìm xem trên máy chủ phát triển hoặc repository có còn sót mật khẩu của môi trường thật hay khóa đám mây không.

5. Bảo vệ tài khoản dịch vụ bên ngoài

   Thiết lập xác thực đa yếu tố cho hệ thống điện thoại và các dịch vụ đám mây, và xóa tài khoản của người đã nghỉ việc.

6. Kiểm tra API và bên trong ứng dụng

   JPCERT/CC đã báo cáo thủ đoạn phân tích ứng dụng công khai để nhắm vào API. Đừng nhúng khóa bí mật vào ứng dụng, và hãy kiểm tra quyền ở phía máy chủ. Chưa có công bố về mối liên quan giữa thủ đoạn này và từng vụ việc lần này.

7. Định sẵn cách công bố

   Quyết định trước cách đưa ra thông báo lần 1 và các thông báo tiếp theo, đầu mối tiếp nhận thắc mắc, và quy trình báo cáo Ủy ban Bảo vệ Thông tin Cá nhân Nhật Bản.

Về các vụ việc trước đó và điểm chung, hãy xem bài "Tổng hợp các vụ tấn công mạng tại Nhật Bản tháng 10–11/2026"; về diễn biến tiếp theo, hãy xem bài "Cập nhật về vụ truy cập trái phép tại Arara". Về việc cập nhật nền tảng hệ thống, bài "Bảo mật hệ thống cũ: bắt đầu từ đâu?" có thể hữu ích.

Digi Dinos có thể giúp gì?

Digi Dinos là công ty hỗ trợ DX, bảo mật, vận hành và bảo trì hệ thống. Chúng tôi đã đạt chứng nhận ISO 27001, với đội ngũ làm việc được bằng tiếng Nhật.

• Sắp xếp hiện trạng hệ thống: làm rõ thông tin gì nằm ở đâu, và ai đang quản lý.
• Xử lý lỗ hổng và cập nhật: khi có bản sửa mới, chúng tôi đánh giá ảnh hưởng và áp dụng.
• Vận hành và giám sát: giám sát máy chủ và đám mây 24 giờ 365 ngày (NOC).
• Tiếp nhận hệ thống: kể cả hệ thống không có tài liệu, chúng tôi đọc chương trình để tìm hiểu rồi tiếp nhận.

Câu hỏi thường gặp