Yamato und Nikkei: Datenlecks mit 5,31 Mio. und 1,83 Mio. Datensätzen

Zwei weitere große japanische Unternehmen haben am 16. Oktober 2026 Zahlen zu ihren Datenlecks genannt. Der Zustelldienst Yamato Transport sagte, rund 5,31 Millionen Datensätze seien aus seinem Pay-later-Zahlungsdienst entwendet worden. Der Zeitungsverlag Nikkei sagte, rund 1,83 Millionen Datensätze seien aus einem Cloud-Dienst abgeflossen, mit dem er Software entwickelt. Beide Fälle reihen sich in einen Monat voller Angriffe auf japanische Firmen ein, und beide zeigen, was es kostet, alte Daten aufzubewahren.

Yamato Transport: 5,31 Millionen Datensätze

Yamato betreibt den Pay-later-Dienst „Kuroneko“, mit dem Online-Käufer ihre Einkäufe später bezahlen können. Das Unternehmen entdeckte am 28. September einen unbefugten Zugriff darauf, stoppte den Dienst noch in derselben Nacht und machte das Problem am 29. September öffentlich. Der Dienst lief am 9. Oktober wieder an. Der vierte Bericht des Unternehmens vom 16. Oktober nannte die Gesamtzahlen, berichtet ITmedia NEWS.

Gruppe	Datensätze, etwa	Entwendete Daten
Käufer, 1. Oktober 2018 bis 28. September 2026	5,26 Millionen	Name, Adresse, Telefon, Artikeldetails, Antragsnummer, interne Verwaltungsdaten; E-Mail bei etwa 490.000
Empfänger von Sendungen, ab 5. Februar 2021	50.000	Name, Adresse, Telefon, Sendungsnummer
Händler, die den Dienst nutzen	4.100	Name und Code des Händlers

Kreditkartendaten und Passwörter waren nicht darunter, berichtet ITmedia. Das Unternehmen hatte zuvor gewarnt, dass Namen von Mitarbeitern abgeflossen sein könnten, doch seine Untersuchung bestätigte das nicht. Wie der Angreifer eingedrungen ist, hat es nicht gesagt.

Yamato bewahrte die Käuferdaten eine Zeit lang auf, um Kundenanfragen zu bearbeiten, berichtet Jiji Press. Die Käuferdatensätze reichen etwa acht Jahre zurück, bis Oktober 2018. Kunden haben verdächtige E-Mails, SMS und Anrufe gemeldet, ein Missbrauch der gestohlenen Daten ist aber nicht bestätigt.

Nikkei: 1,83 Millionen Datensätze aus einer Entwicklungs-Cloud

Nikkei sagte, ein Angreifer sei in den frühen Morgenstunden des 7. Oktober in einen Cloud-Dienst eingedrungen, den das Unternehmen für die Systementwicklung nutzt. Die Zugangsdaten für diese Cloud wurden „auf irgendeine Weise“ gestohlen, heißt es in Nikkeis eigener Mitteilung. Das Unternehmen hat die gestohlenen Zugangsdaten deaktiviert.

Von den 1,83 Millionen Datensätzen enthalten etwa 150.000 mindestens eine dieser Angaben: Name, E-Mail-Adresse, Wohnanschrift, Telefonnummer oder Geburtsdatum. Etwa 120.000 davon enthalten eine E-Mail-Adresse. Die übrigen 1,68 Millionen enthalten nur Kennungen, die für sich genommen keine Person identifizieren können, berichtet INTERNET Watch.

Kreditkartendaten waren nicht darunter, sagt Nikkei. Das Unternehmen meldete das Leck am 11. Oktober der Personal Information Protection Commission, Japans Datenschutzaufsicht. Bis zum 16. Oktober hatte es keinen Missbrauch der Daten, keinen Systemausfall und keine Manipulation festgestellt.

Es ist nicht Nikkeis erster Vorfall in diesem Monat. Am 4. Oktober gab das Unternehmen bekannt, dass über ein gekapertes Mitarbeiterkonto rund 9.000 gefälschte E-Mails verschickt worden waren, berichtet ITmedia.

Eine größere Welle von Meldungen

Japans Regierung verschärfte am 9. Oktober ihre Cyberwarnungen, nachdem mehr als 20 Firmen Angriffe gemeldet hatten. Der japanische Betreiber von Burger King meldete 11,18 Millionen App-Datensätze einen Tag vor diesen beiden.

Jiji Press nennt im selben Bericht weitere aktuelle Fälle:

• Times Car: rund 6,6 Millionen Datensätze, davon rund 1,6 Millionen mit Bildern von Führerscheinen oder anderen Ausweisen. Die Muttergesellschaft Park24 will gespeicherte Ausweisbilder bis Ende Oktober löschen und sie künftig direkt nach der Identitätsprüfung eines Mitglieds löschen.
• FANCL und seine Tochter Atenia: rund 830.000 Mitgliederdatensätze.
• Japan Post: Namen und Adressen von rund 600 Nutzern eines Dienstes zur Nachverfolgung internationaler Post.

Was das für Entwickler bedeutet

• Halten Sie echte personenbezogene Daten aus Entwicklungs-Clouds heraus. Nikkeis Leck stammte aus einem System, mit dem Software gebaut wird. Nutzen Sie in Test- und Entwicklungsumgebungen gefälschte oder maskierte Daten.
• Behandeln Sie Cloud-Zugangsdaten als Haustür. Nikkeis Angreifer meldete sich mit gestohlenen Zugangsdaten an. Nutzen Sie kurzlebige Schlüssel, Multi-Faktor-Anmeldung und Alarme bei Anmeldungen von neuen Orten.
• Legen Sie Aufbewahrungsfristen fest und setzen Sie sie durch. Yamatos Leck umfasst Käufer aus acht Jahren, und Times Car bewahrte Ausweisbilder noch Jahre nach dem Austritt von Mitgliedern auf. Löschen Sie Daten, die Sie nicht mehr brauchen, nach einem festen Zeitplan.
• Löschen Sie Ausweisbilder nach der Prüfung. Die neue Regel von Park24 ist ein guter Standard. Ist die Identität geprüft, hat das Bild des Führerscheins keinen weiteren Nutzen, aber für Kriminelle einen hohen Wert.
• Bereiten Sie Kunden auf Folgebetrug vor. Namen, Adressen, Telefonnummern und Bestelldetails ergeben überzeugende gefälschte Nachrichten. Sagen Sie Nutzern, wonach Sie niemals fragen werden, bevor Angreifer anrufen.