В Японии взломали систему экстренных оповещений SpeeCAN RAIDEN, разработанную компанией Arcadia для предупреждения населения о чрезвычайных ситуациях. За шесть часов 13 октября 2026 года злоумышленники разослали через платформу 1 423 428 фишинговых писем. Компания также допускает утечку до 3,136 млн электронных адресов, но точный масштаб пока не подтверждён.
SpeeCAN RAIDEN помогает муниципалитетам, пожарным службам, школам и компаниям предупреждать людей об угрозах и эвакуации. К концу сентября платформа насчитывала 875 контрактов, а взлом затронул также телефонные и факсовые уведомления. В отличие от взлома оповещений в Бразилии с ложными тревогами, в Японии инфраструктуру использовали для финансового фишинга.
Первопричину атаки Arcadia раскрыла в технической хронике. На сервере вложений обнаружилась ошибка обработки путей, позволявшая прочитать закрытые файлы. Нападавшие извлекли из конфигурации секретный ключ для связи внутренних сервисов, затем перебрали идентификаторы учётных записей и получили доступ к данным. До успеха хакеры также проверяли систему на SQL-инъекции и фиксацию сеанса.
По журналам Arcadia, попытки взлома начались 11 октября в 06:26, а конфигурационный файл атакующие забрали в 16:39. Система мониторинга заметила повышенную нагрузку на базу данных лишь в 23:40. На следующий день компания перекрыла первоначальный путь проникновения, однако в инфраструктуре сохранился бэкдор. Через бэкдор 13 октября запустили массовую рассылку.
Мошеннические письма выдавали себя за сообщения компаний, выпускающих кредитные карты, и предлагали проверить подозрительные операции. Власти Сасебо подтвердили жалобы жителей на подобные сообщения. Как минимум 869 575 писем ушли адресатам, чьи электронные адреса вообще не хранились у Arcadia. Значит, рассыльщики использовали и сторонние списки получателей.
В зоне возможной утечки оказались также до 105 тысяч телефонных и 15 тысяч факсовых номеров, имена и служебные сведения. Следы проникновения обнаружили в NET119, системе экстренных обращений для людей с нарушениями слуха и речи, и в 119RAIDEN. Для первой под угрозой данные, связанные с 9020 адресами, для второй около 97 тысяч адресов. Утечку видеосообщений не установили.
Первая остановка фишинга не завершила инцидент. 22 и 23 октября через почтовый API снова отправляли подозрительные сообщения. По версии Arcadia, злоумышленники использовали похищенную ранее учётную запись и подобранный пароль. После отключения внешнего доступа атакующие обошли ограничение через ошибку неоднозначного разбора URL. Уязвимость устранили 23 октября в 10:30.
К 6 ноября Arcadia возобновила интеграцию с внешними системами, добавила двухэтапную проверку входа и заказала независимый аудит. Компания обратилась в полицию и уведомила регуляторов, расследование возможной утечки продолжается. Публичных идентификаторов CVE и оценок CVSS для использованных ошибок разработчик не привёл. Версию о применении ИИ при атаке доказательствами не подкрепили.
