Japoński koncern energetyczny stracił dysk z danymi 10,9 mln klientów. Co to oznacza dla firm?
Japoński koncern Kyushu Electric stracił dysk z danymi 10,9 mln klientów. Nośnik zniknął z zamkniętej serwerowni. Sprawa to przestroga dla firm: fizyczne kopie zapasowe wymagają równie rygorystycznej ochrony co systemy IT.
W czerwcu 2026 roku japoński koncern energetyczny Kyushu Electric Power Co. zgłosił utratę fizycznego nośnika danych zawierającego informacje osobowe ponad 10,9 miliona klientów. Incydent nie jest efektem ataku hakerskiego, lecz naruszenia procedur fizycznego przechowywania kopii zapasowych. Dla polskich firm i administratorów to przypomnienie, że bezpieczeństwo danych to nie tylko ochrona przed cyberatakami, ale także rygorystyczne zarządzanie nośnikami fizycznymi.
Co się wydarzyło i jakie dane wyciekły
Z oficjalnego komunikatu spółki wynika, że 27 kwietnia 2026 roku personel IT wykonał rutynowy backup na zewnętrznym dysku twardym. Nośnik został umieszczony w zamkniętej szafie serwerowni, która – według zapewnień firmy – była zabezpieczona wieloma warstwami fizycznej ochrony. Gdy 26 maja pracownicy chcieli odzyskać dysk, okazało się, że szafa była otwarta, a nośnik zniknął.
Na utraconym dysku znajdowały się: imiona i nazwiska klientów, adresy lokalizacji usług, dane o zużyciu energii elektrycznej, numery telefonów oraz nazwy dotychczasowych dostawców energii. Firma wyraźnie podkreśliła, że na nośniku nie było numerów kont bankowych ani danych kart kredytowych. Mimo to zestawienie danych osobowych jest na tyle szczegółowe, że może posłużyć do precyzyjnych ataków phishingowych lub kradzieży tożsamości.
Reakcja firmy i działania organów
Kyushu Electric poinformowała, że przeprowadziła rozmowy ze wszystkimi osobami mającymi dostęp do serwerowni – według doniesień mediów było to 57 pracowników. Mimo to dysku nie odnaleziono. 4 czerwca spółka złożyła zawiadomienie na policję, podejrzewając nieuprawnione wyniesienie nośnika. Sprawa została również zgłoszona do japońskiej Komisji Ochrony Danych Osobowych oraz odpowiednich ministerstw.
Japońskie Ministerstwo Gospodarki, Handlu i Przemysłu wyznaczyło firmie termin do 8 lipca na przedstawienie pełnego raportu o incydencie oraz planowanych środkach zapobiegawczych. Kyushu Electric zapowiedziała indywidualne powiadomienie wszystkich poszkodowanych klientów. W oficjalnym oświadczeniu czytamy: „Firma bada wszystkie możliwości, w tym nieuprawnione usunięcie urządzenia, ale nie zostało ono jeszcze zlokalizowane”.
Lekcja dla firm: fizyczne nośniki wciąż stanowią ryzyko
Incydent w japońskim koncernie pokazuje, że nawet zaawansowane zabezpieczenia fizyczne nie zastąpią rygorystycznych procedur i regularnych audytów. Wiele organizacji koncentruje się na ochronie przed atakami z sieci, zapominając, że dane na przenośnych dyskach czy pendrive’ach są równie wrażliwe. W przypadku Kyushu Electric zawiodły nie zapory sieciowe, ale ludzki czynnik i kontrola dostępu do pomieszczeń.
Dla polskich przedsiębiorstw, zwłaszcza tych przetwarzających dane osobowe na dużą skalę, to sygnał, by przejrzeć własne procedury przechowywania kopii zapasowych. Warto rozważyć szyfrowanie wszystkich nośników przenośnych, prowadzenie szczegółowego rejestru ich wypożyczeń oraz stosowanie zasady ograniczonego zaufania wobec personelu mającego dostęp do serwerowni. Nie bez znaczenia jest też regularne szkolenie pracowników z zakresu fizycznego bezpieczeństwa danych.
Co dalej i jak reagować
Na ten moment nie ma informacji, by dane z utraconego dysku zostały opublikowane lub wykorzystane przez cyberprzestępców. Ryzyko jednak istnieje – szczególnie dla potencjalnych kampanii phishingowych wymierzonych w klientów Kyushu Electric. Osoby, które otrzymają podejrzane wiadomości rzekomo od swojego dostawcy energii, powinny zachować ostrożność i nie klikać w linki ani nie podawać danych logowania.
Dla firm i administratorów w Polsce kluczowe jest wyciągnięcie wniosków: fizyczne nośniki danych wymagają takiej samej uwagi jak systemy IT. Warto wdrożyć politykę szyfrowania wszystkich przenośnych dysków, ograniczyć liczbę osób upoważnionych do ich przenoszenia oraz regularnie przeprowadzać audyty fizycznych zabezpieczeń serwerowni. Incydent w Japonii nie jest spektakularnym cyberatakiem, ale właśnie dlatego stanowi cenną lekcję – największe zagrożenie często czai się w pozornie błahych procedurach.
