适用对象：曾在 Abahouse International 日本网上商店购物的人（包括已退会会员），以及经营网上店铺的人。本文基于公司的官方通知撰写，不涉及攻击或诈骗手法。
事态发展中：本文将随机构发布更多信息而更新
截至2026年10月11日尚不清楚
- 受影响人数
- 被获取数据的范围
- 原因细节
- 外部调查结果
在10月9日的后续通报中，公司表示入侵途径已被切断，且尚未确认进一步扩散。公司未公布人数，也未说明被获取的数据内容。公司表示，如果调查发现客户需要知道的新情况，将在同一页面发布。
客户今天应该做什么
确认自己是否受到影响——已退会会员也收到了邮件
公司表示无法完全确定被获取的内容，因此根据购买记录等信息，联系了其判断可能受影响的客户。会员退会一个月后，公司会删除会员数据，但基于法律和会计原因，会将过去的订单记录保存一段时间；公司表示无法排除这些订单遭到访问的可能，因此已退会会员也收到了同样的邮件。
邮件于10月2日发出，日文邮件主题的中文意思为“重要：因未经授权访问，会员信息可能泄露”。如果你收到了该邮件，请假定你的数据可能已泄露，并采取以下措施。
如果收到“退款”或“缺货”邮件，请通过 My Page 核实，而不是点击链接
公司表示，已有假冒 Abahouse、以“退款”或“缺货”为由的可疑邮件出现。如果你收到此类邮件，请不要使用其中的链接或电话号码；请自行打开官方网站，在 My Page 中查看订单记录，或联系客户服务中心。
如果确实存在退款或缺货商品，订单记录或客服中心会显示相关信息。切勿在通过邮件链接打开的页面中输入密码、卡号或安全码（如何识别这类页面：什么是网络钓鱼？）。
不要回应 LINE 邀请或催促你的期限
公司指出了三个警示信号：
- 邮件来自与公司无关的地址，例如免费网络邮箱
- 要求你通过 LINE（在日本广泛使用的即时通讯应用）联系，例如通过“官方LINE”账号
- 设定了“下周三前”之类的期限，催促你尽快办理退款
只要符合其中任何一条，都请不要回复，也不要添加该 LINE 账号。
更改 AMC 密码，并停止重复使用
作为预防措施，公司建议更改你的 AMC（Abahouse Members Club）登录密码。
如果你在其他服务上使用相同的密码，也请一并更改。要为每项服务使用不同的密码，密码管理器是切实可行的方法。
检查信用卡账单
公司系统中不存放卡号，且尚未确认卡号泄露。即便如此，公司仍请客户检查账单，查看是否有无法辨认的扣款。这也包括因假邮件而被骗、输入了卡信息的情况。
如果你点击了链接、输入了信息或已转账，请立即求助
公司表示，如果你打开了可疑邮件中的链接或遭受了损失，应立即联系发卡机构或银行。
在日本，你还可以拨打警察咨询电话（#9110）或消费者热线（188）。越早报告，阻止付款的机会就越大。
发生了什么（来自 Abahouse International 的通知）
2026年10月2日，Abahouse International Co., Ltd. 在其企业网站和网上商店发布了关于因未经授权访问而可能发生个人数据泄露的致歉与报告通知，并于10月9日发布了后续通报。以下内容均依据公司通知中的表述。
2026年9月27日晚至9月28日
据公司称，境外第三方可能在此期间实施了未经授权的访问。9月28日
多位客户反映收到了与其订单详情相符的可疑退款邮件。公司开始内部调查。调查期间
发现部分会员和订单数据遭到未经授权的访问痕迹。公司表示，已识别的访问途径已被切断。10月2日
公司向其判断可能受影响的人员（包括已退会会员）发送了邮件，发布了通知，并向个人信息保护委员会作了报告。10月4日
首份通知中“受影响范围”的部分已作修订：由最初表述的所有客户可能受影响，改为表示公司已根据购买记录等信息联系了其判断可能受影响的客户，并补充说明了已退会会员的情况。10月9日
公司发布后续通报：入侵途径已被切断，尚未确认进一步扩散，已向警方提交损害报告，并且尚未收到经济损失的报告。
- 对象
- 公司根据购买记录等信息判断可能受影响的客户（10月2日发送邮件）。对于已退会会员，会员数据在退会后一个月删除，但公司表示无法排除其保存一段时间的过去订单记录遭到访问的可能
- 项目
- 会员ID、姓名、地址、电话号码、电子邮箱、出生日期、性别、订单信息（下单日期和时间、商品名称、金额、配送地址等）
- 人数
- 未公布（被获取数据的范围尚未确定）
- 信用卡
- 卡号和安全码由支付服务商管理（代店铺处理信用卡支付的公司）。未确认泄露
- 原因
- 据信是境外第三方的未经授权访问。先是对内部系统的未经授权登录，随后利用系统漏洞植入并运行恶意程序，访问了数据库
- 次生危害
- 已出现假冒公司、以“退款”或“缺货”为由的可疑邮件
- 措施
- 发现未经授权访问的账户已被暂停，相关系统的密码已更改，入侵途径已切断；网上商店管理系统已加强访问限制和身份验证；已加强对登录的日志记录和监控（10月9日后续通报）
- 经济损失
- 截至10月9日，尚未收到报告
- 报告对象
- 个人信息保护委员会（日本个人数据保护主管机构）；已向警方提交损害报告（10月9日后续通报）
- 联系方式
- 公司客户服务中心：免费电话 0120-597-537（工作日日本时间10:00–17:00），或 abahouse.jp/contact 的表单（列于10月9日后续通报中；请使用这些方式，而不是邮件中的联系方式）
公司数据库（会员数据和网上商店订单）
据信未经授权的访问发生在9月27日晚至9月28日。前会员的过去订单记录曾保存一段时间
↓ 可能泄露的数据
会员数据
会员ID、姓名、地址、电话号码、电子邮箱、出生日期、性别
订单数据
下单日期和时间、商品名称、金额、配送地址
↓ 引用真实订单的假邮件出现
以“退款”或“缺货”为由的邮件
来自无关地址，引导你添加“官方LINE”账号，设定期限催促你
↓ 不要使用其中的链接或电话号码
自行打开官方网站，查看 My Page 中的订单记录
真实的退款或缺货商品会在那里或客服中心显示
此处的不寻常之处：假邮件在泄露被知晓之前就已出现
在许多泄露事件中，利用事件进行的诈骗信息会在公司宣布后增多。这次的顺序却相反：客户收到假退款邮件是泄露被发现的途径。
也就是说，在10月2日公开通知之前，利用泄露订单数据的信息就已经在发送。对于在那之前收到的邮件也请保持警惕。
为什么与你订单相符的邮件仍可能是假的
很多人以为，如果邮件中显示的商品名称和金额正确，它就一定来自店铺。这种想法认为，只有店铺才知道你买了什么。
在这次事件中，这一推理并不成立。下单日期、商品名称、金额和配送地址都可能已经泄露，因此假邮件可以引用你的真实订单。公司本身也提醒，即使邮件中包含与你实际订单相符的信息，也可能是假的。
不能证明邮件是真的
- 下单日期、商品名称和金额都是正确的
- 邮件中出现了你的姓名、地址和电话号码
- 带有店铺名称和标志
你可以自行核实的内容
- 你的 My Page 订单记录中是否显示退款或缺货商品
- 从官方网站联系的客服中心是否说法一致
- 发件人地址是否确实属于公司
在本次事件之前，就已经有利用退款或缺货商品把人引导到 LINE 的诈骗。2024年7月，日本国民生活中心曾警告称，此类信息以“您的商品缺货，我们将为您退款”开头，随后把对话转到 LINE，并以退款手续的名义，实际让客户汇出钱款。
收到退款通常不需要你操作应用程序或银行账户。如果“退款”过程要求你提供银行信息或使用支付应用，请立即停止该对话。
已知与未知的情况
以下内容基于截至2026年10月11日公司发布的通知（10月4日修订的首份通知，以及10月9日的后续通报）。我们将随着后续信息发布更新状态栏。
| 项目 | 公司的说法 | 状态 |
|---|---|---|
| 未经授权的访问 | 发现部分会员和订单数据遭到访问的痕迹 | 已确认 |
| 发生时间 | 据信为9月27日晚至9月28日，由境外第三方实施 | 估计 |
| 涉及数据 | 会员ID、姓名、地址、电话、电子邮箱、出生日期、性别、订单详情 | 可能 |
| 受影响对象 | 根据购买记录判断可能受影响的客户已被单独联系；对于已退会会员，公司无法排除其过去订单记录遭到访问的可能 | 可能 |
| 首份通知的修改 | 10月4日修订了“受影响对象”部分（原表述为所有客户可能受影响）。未说明修改原因 | 未说明 |
| 卡号和安全码 | 未存放在公司系统中；未确认泄露 | 未确认 |
| 人数与被获取数据的范围 | 未说明；正与外部专家共同调查 | 调查中 |
| 原因 | 未经授权的登录导致恶意程序被植入并运行；细节仍在调查中 | 部分披露 |
| 进一步扩散 | 入侵途径已切断；尚未确认进一步扩散 | 已确认 |
| 经济损失 | 尚未收到报告（截至10月9日） | 未确认 |
| 警方与监管机构 | 已通知委员会；已向警方提交损害报告 | 已确认 |
面向经营网上店铺的人
公司给出的原因是对内部系统的未经授权登录，以及利用该系统的漏洞。在10月9日的后续通报中，公司表示已限制网上商店管理系统的访问、加强了身份验证，并重置了管理用户的密码。原因的详细情况尚未公布，因此本节只列出对于持有同类数据的店铺值得检查的要点。
决定已退会会员的订单数据保存多久
在本次事件中，公司在会员退会一个月后删除了会员数据，但基于法律和会计原因保存了过去的订单记录一段时间，并表示无法排除这些订单遭到访问的可能。有些记录确实需要出于法律或会计目的保存。
即便如此，也应为每类数据设定保存期限，期限届满后自动删除数据，或去除姓名和联系方式，只保留用于报表的数字。人工删除难以持久。
管理员登录要求多因素认证
据通知，此次入侵始于对内部系统的未经授权登录。管理面板、远程访问以及能够访问客户数据库的云端管理账户，都应要求密码之外的额外验证（多因素认证）。请参阅如何选择多因素认证。
将“收到可疑邮件”的反馈视为调查的信号
此次泄露是通过客户咨询发现的。如果你的客服部门收到多起引用真实订单详情的可疑邮件反馈，不要只回复一条诈骗提醒，而应事先设定好将这些信息转交给系统负责人的流程。
如需减少假冒你自己域名的邮件，请参阅邮件欺骗与 SPF、DKIM、DMARC。
关于另一起网上店铺案例，请参阅APORITO 网上商店（RIZAP）信用卡数据事件；关于假退款信息是主要风险的案例，请参阅Trenitalia 数据泄露事件。
信息来源（公开记录）
本文中的事实来自以下公开来源。对于未披露的入侵细节和受影响人数，本文不做推测。
- Abahouse International Co., Ltd.，关于因未经授权访问而可能发生个人数据泄露的致歉与报告通知（2026年10月2日发布，10月4日修订；日文）— abahouse.co.jp（网上商店版本：abahouse.jp）
- Abahouse International Co., Ltd.，关于因未经授权访问而发生个人数据泄露的后续报告（2026年10月9日；日文）— abahouse.co.jp
- 日本国民生活中心，关于“通过支付应用退款”诈骗的警告（2024年7月31日；日文）— kokusen.go.jp
更新记录
2026-10-11：根据公司10月4日修订的首份通知，更新了受影响对象的内容。原表述为所有客户可能受影响；修订后的通知称，公司已根据购买记录等信息联系了其判断可能受影响的客户。对于已退会会员，我们现在采用公司的说明，即无法排除其过去订单记录遭到访问的可能（会员数据在退会一个月后删除）。补充了据信由境外第三方实施的访问，增加了客服电话和表单，并删除了一个已失效的来源链接。
2026-10-10：纳入公司10月9日的后续通报：入侵途径已切断，尚未确认进一步扩散，增加了措施，已向警方提交损害报告，并且尚未收到经济损失的报告。新增了状态框和“已知与未知”表格。人数和被获取数据的范围仍未公开。
2026-10-03：首个版本，依据 Abahouse International 2026年10月2日的通知撰写。待公布人数或调查结果时将更新。
延伸阅读
- 相关：and ST HD 数据泄露（约250万条客户记录）
- 类似案例：烧肉王应用数据泄露（约1079万条记录） / FANCL 与 Attenir 网上商店数据泄露
- 后续诈骗：什么是网络钓鱼？ / 假病毒警告（技术支持诈骗）
- 假退款与补偿信息：Trenitalia（意大利，延误退款） / TVING（韩国，补偿） / Booking.com（预订信息）
- 密码：如何选择密码管理器 / 如何选择多因素认证
- 同一时期的其他日本案例：Times Car 数据泄露 / APORITO 网上商店（RIZAP）
- 其他2026年事件：数据泄露与网络攻击一览（日本及全球）