Japans nylige rekke av datalekkasjer reiser et vanskeligere spørsmål enn hvilket selskap som ble rammet neste gang. Professor Masato Terada, en sikkerhetsekspert sitert av Japan Forward, hevder at landets cyberforsvar er for avhengig av enkeltpersoner. Etter hans syn viser bølgen av datainnbrudd hos tredjepartsleverandører i Japan hva som skjer når organisasjoner har blind tillit til eksterne leverandører, mens AI fremskynder angrep som folk rett og slett ikke kan holde tritt med.

Den fulle reportasjen er begrenset i detalj, så dette innlegget holder seg til hva Teradas argument faktisk sier og legger til kontekst fra vår egen tidligere dekning.

Hvorfor datainnbrudd hos tredjepartsleverandører i Japan fortsetter å skje

Kjernen i Teradas advarsel er strukturell. Når et selskap er avhengig av enkelte ansatte, enkelte administratorer eller en enkelt leverandør for å holde data trygge, er sikkerheten bare så sterk som det svakeste leddet i den kjeden. En kunde har kanskje aldri hørt om leverandøren som håndterer informasjonen deres, men én svak leverandør kan eksponere den kundens data.

Det er meningen med «blind tillit til leverandører» i overskriften. Å overlate data eller systemtilgang til et eksternt firma betyr ikke at ansvaret overføres. Hvis leverandøren har en svakhet, står organisasjonen som samlet inn dataene fortsatt overfor konsekvensene, og det gjør også kundene.

Dette er også grunnen til at leverandørrisiko er vanskelig å se utenfra. Lesere vet sjelden hvilken underleverandør som står bak en forhandler, en leveringstjeneste eller en reiseplattform før en lekkasje blir kunngjort.

Hvorfor angrep i AI-fart overgår menneskelige forsvarere

Teradas andre poeng handler om fart. AI fremskynder angrep, og en forsvarsmodell bygget rundt at folk legger merke til, bestemmer seg og responderer, kan ikke holde tritt med verktøy som arbeider raskere enn noe menneske kan.

Den praktiske konklusjonen er ikke at mennesker er irrelevante. Det er at forsvar som hovedsakelig hviler på individuell årvåkenhet, som at en ansatt oppdager en mistenkelig e-post eller at en administrator husker å installere en rettelse, overlater for mye til tilfeldighetene. Teradas argument peker mot systemer og prosesser som ikke er avhengige av at en enkelt person gjør alt riktig.

Presset er synlig i de bredere tallene. Japans nasjonale politimyndighet bekreftet rekordhøye 123 løsepengevirus-saker i første halvdel av 2026, som vi dekket i Japan Ransomware Cases Hit Record 123 in H1 2026. Tallet knytter seg ikke direkte til Teradas kommentarer, men det viser miljøet forsvarerne arbeider i.

Hva de nylige japanske lekkasjene har til felles

Hendelsene varierer i sektor og omfang, men noen tråder går igjen i historiene vi har fulgt.

  • Mange organisasjoner, mange kunngjøringer. September 2026 brakte et uvanlig høyt antall offentlige kunngjøringer om datainnbrudd i Japan, blant annet hos Seicomart og Yamato. Vår guide etter datainnbrudd for Seicomart- og Yamato-bølgen går gjennom den klyngen.
  • Utpressingspåstander mot industriselskaper. En trusselaktør kalt exitium hevdet å ha tatt 5,8 TB med data fra KOIKE Sanso Kogoyo Co. Ltd. og sa at de ville selge dataene hvis selskapet ikke svarte. Detaljene finnes i vår rapport om exitiums påstand mot KOIKE Sanso Kogoyo. Det er en påstand, ikke et bekreftet funn.
  • Lekkede data blir gjenbrukt. Stjålne detaljer forsvinner ikke etter at overskriftene falmer. En antatt lekkasje hos Booking.com førte til en økning i phishing rettet mot reisende, inkludert japanske turister, og det som gjorde den farlig var bruken av ekte data. Se hvordan den phishing-bølgen brukte ekte data.

Vi hevder ikke at alle disse sakene involverte en leverandør. Den felles lærdommen er smalere: data som holdes i mange hender er eksponert på mange steder, og personen hvis informasjon ligger der, kontrollerer sjelden noen av dem.

Hva dette betyr for deg

Du kan ikke revidere leverandørene bak selskapene du bruker. Du kan imidlertid begrense hvor mye en enkelt lekkasje koster deg.

  • Anta at lekkede detaljer vil bli gjenbrukt. Navn, e-postadresser og bestillings- eller leveringsinformasjon gjør svindelmeldinger overbevisende. Behandle uventede meldinger som refererer til ekte transaksjoner med mistenksomhet, selv når detaljene ser riktige ut.
  • Verifiser gjennom offisielle kanaler. Hvis en melding hevder å være fra en forhandler, kurer eller reiseside, gå direkte til selskapets app eller nettsted i stedet for å bruke lenken eller telefonnummeret som er oppgitt.
  • Bruk unike passord og flerfaktorautentisering. En lekkasje hos én tjeneste bør ikke åpne døren til en annen. En passordbehandler gjør unike passord realistisk.
  • Følg med på varsler om datainnbrudd. Selskaper som rammes av en lekkasje kunngjør det vanligvis, så sjekk offisielle uttalelser og endre påloggingsinformasjon raskt når du er berørt.
  • Del mindre som standard. Data som aldri ble samlet inn, kan ikke lekkes av en leverandør. Hopp over valgfrie felt og unngå å holde unødvendige kontoer åpne.

En VPN beskytter deg ikke mot et datainnbrudd hos et selskap som holder dataene dine, så det bør ikke behandles som en løsning på dette problemet. Det hjelper med nettverkspersonvern, ikke leverandørsikkerhet.

Viktige punkter

Teradas budskap er at datainnbrudd hos tredjepartsleverandører i Japan er et symptom på et system som lener seg for hardt på enkeltpersoner, på et tidspunkt da AI-assisterte angrep beveger seg raskere enn folk kan respondere. Organisasjoner trenger forsvar som ikke henger på én person eller én leverandør. Enkeltpersoner trenger vaner som forutsetter at en lekkasje til slutt vil skje.

Hvis du vil ha et konkret neste steg, start med vår sjekkliste etter datainnbrudd for Seicomart- og Yamato-hendelsene, og les deretter om hvordan lekkede data driver oppfølgende phishing-svindel slik at du kan gjenkjenne meldingene som vanligvis kommer neste gang.