Sony e Japan Airlines, due violazioni espongono milioni di dati in Giappone

🛡️ Executive Summary

• Sony Network Communications: un accesso non autorizzato al database So-net ha provocato la fuga di 2.141.986 record So-net e 443.495 record plala, oltre a 54.401 coppie di indirizzi email e password di specifici servizi di posta.
• Japan Airlines: una compromissione del sistema di prenotazioni Amadeus ha esposto dati relativi a circa 92.000 clienti di Japan Airlines e Japan Transocean Air, con informazioni più dettagliate per circa 2.000 persone.
• Rischio successivo: nessuna delle due comunicazioni segnala la sottrazione di dati delle carte di credito, ma le informazioni esposte possono alimentare phishing mirato, impersonificazione e tentativi di accesso agli account.

Due comunicazioni ufficiali pubblicate in Giappone il 27 e 28 ottobre 2026 documentano altrettanti incidenti informatici che coinvolgono servizi digitali utilizzati da milioni di persone. Sony Network Communications ha confermato una violazione del database clienti del servizio Internet So-net, con oltre 2,58 milioni di record relativi anche agli utenti plala e la compromissione di password associate a specifiche caselle email. Japan Airlines ha invece comunicato che un accesso non autorizzato ai sistemi del fornitore Amadeus ha interessato le informazioni di prenotazione di circa 92.000 passeggeri. Non emergono elementi che colleghino i due incidenti agli stessi aggressori o a una campagna comune. La loro contemporaneità evidenzia però due superfici di rischio differenti: i database gestiti direttamente da un operatore e le infrastrutture esterne alle quali un’azienda affida funzioni essenziali.

Sony conferma la fuga di oltre 2,58 milioni di record So-net e plala

Nel comunicato ufficiale del 27 ottobre, Sony Network Communications ricostruisce una sequenza iniziata il 19 ottobre 2026, quando il database degli iscritti al servizio Internet So-net è stato raggiunto da un accesso esterno non autorizzato. L’azienda afferma di aver rilevato l’intrusione il 23 ottobre, procedendo alla disattivazione del server interessato e al blocco delle comunicazioni provenienti dalla fonte dell’accesso. Il giorno successivo, il 24 ottobre, le verifiche hanno confermato l’esposizione di informazioni personali, consentendo una prima quantificazione del perimetro coinvolto. Per So-net, Sony indica 2.141.986 record, suddivisi tra 1.869.771 utenti attivi e 272.215 ex clienti che avevano cessato il servizio a partire da marzo 2026. Le informazioni compromesse comprendono nome, numero telefonico, indirizzo email, identificativo utente, data di nascita, sesso e identificativo utilizzato per la connessione Internet. La società precisa che le password di accesso al servizio Internet non sono state sottratte. Il medesimo incidente ha coinvolto anche 443.495 record plala, servizio S, relativi a 422.365 iscritti attivi e 21.130 ex clienti, con le stesse categorie di dati personali. Sommando i due insiemi si ottengono 2.585.481 record esposti, un valore che descrive le registrazioni interessate e non costituisce necessariamente una misura di persone uniche.

La distinzione tra dati anagrafici e credenziali è particolarmente importante perché il comunicato contiene un’ulteriore conferma: alcune password di servizi email sono effettivamente trapelate. Non si tratta delle password generali di connessione So-net o plala, ma di credenziali associate a quattro tipologie di caselle di posta. Sono coinvolti 24.655 indirizzi del servizio Mail (G), 17.672 caselle aggiuntive A-Box, 7.005 account So-net VAIO Mail e 5.069 account PostPet. Il totale è di 54.401 indirizzi email con relative password compromesse. Sony ha dichiarato di aver azzerato queste password il 27 ottobre, imponendo agli utenti interessati di configurarne di nuove. Sono stati inoltre confermati 16 record di coordinate bancarie e sette documenti informativi destinati al ripristino delle password, per i quali l’azienda ha adottato misure specifiche. Non risultano esposte informazioni sulle carte di credito e Sony esclude, allo stato delle verifiche, violazioni relative ad altri servizi, compreso NURO.

Credenziali email e dati anagrafici amplificano il rischio di phishing

La gravità dell’incidente So-net non dipende soltanto dal numero di record compromessi, ma dalla combinazione tra informazioni personali e credenziali di posta elettronica. Nome, recapiti, data di nascita e identificativi di servizio possono essere utilizzati per costruire messaggi fraudolenti altamente personalizzati, mentre una password email ancora utilizzabile può consentire tentativi di accesso alla casella, recupero delle credenziali di altri servizi e intercettazione di comunicazioni sensibili. Il reset disposto da Sony riduce il rischio associato alle password sottratte, ma non annulla automaticamente le conseguenze di eventuali accessi precedenti né elimina la possibilità che le informazioni personali siano riutilizzate in successive campagne di ingegneria sociale. La società ha comunicato l’incidente alla Commissione giapponese per la protezione delle informazioni personali e sta proseguendo le indagini per individuare la causa dell’accesso. Nel documento la responsabilità viene attribuita genericamente a una terza parte non autorizzata: non sono indicati il vettore iniziale, eventuali vulnerabilità sfruttate o un gruppo criminale responsabile. Al 27 ottobre, Sony dichiarava di non aver identificato danni secondari riconducibili all’episodio, invitando comunque i clienti a prestare attenzione a telefonate, SMS ed email sospette. La comunicazione rappresenta quindi la conferma di una fuga di dati, ma non autorizza a ipotizzare una specifica tecnica di intrusione o una successiva monetizzazione delle informazioni.

Japan Airlines, 92.000 clienti coinvolti nell’accesso ai sistemi Amadeus

Il secondo incidente emerge dalla comunicazione ufficiale di Japan Airlines del 28 ottobre 2026. La compagnia riferisce di essere stata informata il 23 ottobre da Amadeus IT Group, fornitore del Passenger Service System utilizzato per integrare prenotazioni, emissione dei biglietti e procedure di check-in. Secondo la comunicazione, le verifiche condotte dal fornitore hanno individuato tracce di accesso esterno non autorizzato a una parte delle informazioni relative alle prenotazioni dei clienti di Japan Airlines e Japan Transocean Air. Il periodo durante il quale sono state identificate tracce di accesso si estende dal 10 agosto 2023 al 23 settembre 2026. Questa finestra temporale non dimostra che gli aggressori abbiano mantenuto un accesso continuativo per oltre tre anni: indica l’intervallo di riferimento individuato nelle verifiche e comunicato dalla compagnia. Per circa 90.000 clienti, i dati interessati comprendono il codice di prenotazione PNR, il nome, la data del volo, la tratta e la classe di servizio. Per ulteriori 2.000 clienti, il perimetro include anche indirizzo email, numero di telefono, numero di passaporto, nazionalità, identificativo frequent flyer, compagnia aerea, numero del volo, numero del biglietto e posto assegnato. Japan Airlines specifica che non risultano compromessi numeri delle carte di credito o password. Aggiunge che Amadeus ha già completato le necessarie misure di sicurezza, che non esistono attualmente evidenze di utilizzo improprio delle informazioni e che l’incidente non ha avuto ripercussioni sulle operazioni di volo. La compagnia ha inoltre contattato i clienti interessati utilizzando gli indirizzi email forniti durante le prenotazioni, avvertendoli del rischio di comunicazioni fraudolente che imitino il gruppo JAL.

Il rischio delle prenotazioni aeree e delle infrastrutture esterne

La violazione del sistema Amadeus presenta un profilo diverso rispetto a quella di Sony. Nel primo caso, l’elemento critico è l’accesso a dati di viaggio strutturati, capaci di descrivere gli spostamenti e le relazioni commerciali dei passeggeri; nel secondo, è la disponibilità di informazioni anagrafiche e, per alcuni servizi, credenziali email. Un codice PNR, associato a nome e itinerario, può rendere particolarmente credibile una falsa comunicazione relativa a modifiche del volo, verifiche documentali, rimborsi o assistenza. Per i clienti JAL coinvolti nel gruppo più ristretto, la presenza di numeri di passaporto e identificativi frequent flyer aumenta ulteriormente il valore informativo del dataset. Il settore dei trasporti ha già affrontato incidenti con conseguenze analoghe. La violazione dei dati dei passeggeri Trenitalia ha evidenziato il rischio di phishing costruito attorno alle informazioni di viaggio, mentre il data breach di Air France e KLM ha coinvolto una piattaforma esterna utilizzata per il servizio clienti. Anche il caso ITA Airways e del programma Volare mostra come informazioni apparentemente meno sensibili dei dati di pagamento possano diventare strumenti di impersonificazione quando vengono associate a un rapporto commerciale reale.

L’incidente JAL riporta inoltre al centro la sicurezza dei fornitori tecnologici. Un Passenger Service System rappresenta una componente essenziale dell’ecosistema aeroportuale e delle compagnie aeree, ma la compromissione dei dati di prenotazione non implica necessariamente la compromissione dei sistemi che controllano le operazioni di volo. La distinzione è confermata dalla stessa Japan Airlines, che esclude conseguenze operative. Resta invece aperta la questione della visibilità delle aziende clienti sulle attività e sui controlli di sicurezza applicati dalle piattaforme esterne alle quali affidano grandi quantità di informazioni personali.

Due incidenti distinti e una responsabilità comune nella protezione dei dati

Sony e Japan Airlines hanno adottato misure differenti perché differenti sono le informazioni esposte. Sony ha dovuto intervenire direttamente sulle credenziali email, oltre a isolare il server coinvolto e notificare l’incidente alle autorità. Japan Airlines ha concentrato la propria comunicazione sull’esposizione dei dati di prenotazione, sull’avvenuto intervento di Amadeus e sull’avvertimento ai passeggeri rispetto a possibili tentativi di frode. In entrambi i casi, le aziende dichiarano di non avere evidenze di ulteriori abusi alla data dei rispettivi comunicati, ma questa circostanza non equivale alla garanzia che i dati non possano essere sfruttati in futuro. La differenza fondamentale riguarda la superficie di attacco: un database clienti direttamente riconducibile a un operatore di telecomunicazioni e un sistema di prenotazione gestito da un fornitore esterno. Il risultato, tuttavia, è comparabile sul piano della protezione delle persone: informazioni affidate a servizi quotidiani sono diventate accessibili a soggetti non autorizzati. La sicurezza non può quindi essere misurata soltanto attraverso la continuità del servizio o l’assenza di carte di credito compromesse. Deve comprendere la capacità di individuare tempestivamente accessi anomali, delimitare con precisione i dati esposti, proteggere le credenziali e informare gli utenti sui rischi concreti derivanti dalla violazione.