Securitize日本遭网络攻击,索尼银行617名客户姓名泄露

索尼银行暂停数字证券交易服务

美国代币化公司Securitize位于东京的子公司Securitize Japan遭遇网络攻击,导致索尼银行、NTT Data和丸井集团(Marui Group)三家机构持有的客户数据外泄。三家公司均已确认数据泄露事件,相关调查仍在进行中。索尼银行率先发现异常:10月30日,该行检测到负责其数字证券业务的外部承包商遭到入侵,并于星期三确认这家承包商正是Securitize Japan。该行11月4日发布的官方公告证实了这一确认结果,从发现到披露之间的五天空档至此画上句号。

就银行方面而言,泄露规模有限。617名客户的姓名被泄露,另有4名客户的完整档案失窃。索尼银行表示,除上述内容外,事件未造成重大损害,目前未发现任何欺诈性交易,也没有迹象表明被盗数据已被公开。数字证券以外的各项服务均未受影响。尽管如此,该行仍决定在落实充分的安全措施之前暂停数字证券交易服务,同时逐一联系受影响的客户,并开设了专门热线解答疑问。

银行与这家供应商的合作由来已久。索尼银行自2023年起通过Securitize Japan发行数字证券,2026年再次借助该平台以音乐版权投资为标的进行融资。数字证券是一类金融产品,其所有权和权利记录由区块链追踪,这意味着记录的托管职责交由专业服务商,而非银行自身。正是这一架构,使银行的客户名单在入侵发生时处于另一家公司的网络边界之内。

NTT Data与丸井集团相继披露数据外泄

Securitize Japan自身的时间线还要更早一天。该公司于10月29日发现系统内出现异常活动,追查后确认系外部入侵者所为,随即通知了索尼银行。随后的访问日志审查显示,客户记录已被从系统中窃取。

本周另有两家企业客户披露了数据外泄情况。NTT Data于11月4日表示,企业债券的购买者的个人数据通过Securitize Japan的一项服务遭到泄露。其调查人员将入侵归因于平台身份验证环节的一个缺陷,攻击者正是利用这一缺陷夺取了管理员权限并提取数据。丸井集团报告的泄露面则更大:多达9,086名仅为申请数字债券而开户的用户,其姓名、住址、电话号码、电子邮箱、出生日期、性别以及认购投资单位数被泄露,约54名申请人的银行账户信息也同时被盗。

这一事件发生在东亚金融业的多事之秋。近期,约80家日本保险公司、金融企业和物流企业通过一款名为ARTEX的开源渗透测试AI工具遭到攻击,该工具由中国开发,9月18日至10月18日期间有6台海外服务器被用于攻击日本目标。在韩国,与同一工具相关的入侵波及16家金融机构,包括新韩银行和KB国民银行,约10万条记录外泄。韩国警方还对加密货币交易所Bithumb、大信证券(Daishin Securities)和未来资产全球投资(Mirae Asset Global Investments)的数据泄露展开了初步调查,其中大信证券有38,490名客户的信息外泄。目前公开报道尚未将Securitize Japan事件与ARTEX攻击行动联系起来,NTT Data也只点名了身份验证缺陷,并未指认任何具体攻击者或工具。

相比任何单一数字,各家披露信息共同呈现出的模式更值得关注。Securitize Japan同时服务于多家大型机构的数字证券项目,一个身份验证缺陷便从单一故障点波及一家银行、一家科技集团和一家消费金融公司。各客户选择的应对措施也各有考量:索尼银行选择暂停交易,而非在未经核实的网络环境下继续运营,这是记录保管外包给第三方时的稳健之举。与针对链上代码的常见智能合约攻击不同,此次漏洞存在于管理层面,正是更严格的身份验证和常规访问日志审查所能覆盖的部分。目前尚未出现欺诈性交易,损害属于信息层面而非资金层面。仍未确认的是攻击者的身份:NTT Data和丸井集团均未指认任何人,ARTEX攻击行动目前仍是另案调查,与本次事件无关联。