安全指南

Benefit One“Toku-Kai”受托方数据泄露（29,465 人）：姓名、出生日期和邮箱地址外泄，会员应如何应对

2026 年 10 月 28 日，Benefit One 宣布，受托方系统遭未经授权访问，导致 Credit Saison 持卡人福利服务 Toku-Kai 的 29,465 名会员个人信息泄露。泄露了什么、为何不含银行卡信息、会员该怎么做，以及尚不清楚的事项。

发布于 2026-10-30 更新于 2026-10-30 最后核实 2026-10-30 4 分钟阅读

本页目录

适用对象：曾登记 Benefit One 提供的、面向 Credit Saison 持卡人的福利服务 Toku-Kai 的人（包括已退会者），以及将业务外包给受托方的企业。本文基于 Benefit One 的官方通知，不涉及攻击手法。

事态发展中：本文将随机构发布更多信息而更新

截至 2026 年 10 月 30 日

尚不清楚

原因（攻击者如何入侵）
最终受影响人数
之后是否发生滥用
个别通知是否全部完成
Toku-Kai 何时恢复服务

公司在 10 月 28 日的通知中写明，调查仍在继续，人数可能变化，并将在其网站上及时公布新的调查结果。截至 10 月 30 日，公司新闻列表中尚未出现关于此事的后续通知（第二次报告）。

现任和前任 Toku-Kai 会员今天应该做什么

确认自己是否受到影响（已退会者也包括在内）

根据通知，受影响者是登记过 Toku-Kai 的 29,465 人，该数字包含部分已退会者。公司称将通过登记的邮箱地址逐一联系受影响会员。对于无法联系到的人（例如已退会者），公司称以公告和咨询窗口代替个别通知。

通知称，您可以向 Benefit One 咨询窗口（邮箱 security-support@benefit-one.co.jp）询问自己是否受到影响。要核实收到的邮件是否真实，请不要使用其中的链接，而是与您自行找到并打开的官方网站上公司的公告进行比对。

不要打开冒充该公司或其合作方的消息中的链接

姓名、出生日期、性别、邮政编码、邮箱地址和客户编号凑在一起，就有可能写出姓名和编号都正确、足以乱真的假消息。公司提醒用户警惕冒充公司、合作方或受托方的可疑邮件、电话和短信，并称从不向会员索要信用卡号或密码。

由于公司计划向受影响会员发送邮件，因此也可能出现外观相似的“确认您是否受影响”或“重新登记银行卡”的假冒消息。凡是索要银行卡号或密码的消息，一律视为假冒，并在自行打开的官方网站上核实（识别方法：什么是网络钓鱼？）。

通知并未要求更换银行卡号。作为预防，请查看账单

公司称，公司及受影响的系统均不保存信用卡号、有效期和安全码。这些信息由支付处理机构管理，该机构的系统未被入侵，因此公司称没有银行卡数据泄露。通知中没有建议更换银行卡号。

公司还称，其用于对接支付系统的部分认证相关信息可能已泄露，与管理编号结合后，原本可以对会费支付进行欺诈性处理。公司已于 10 月 26 日更换了该信息，并称此途径已无法再被用于欺诈。作为预防措施，请查看账单中是否有自己不认识的 Toku-Kai 会费扣款。

通知并未要求更改密码

泄露项目清单中不含密码，公司的通知也没有要求会员更改密码。如果您想借此机会检查在其他服务上使用同一邮箱地址时的弱密码或重复密码，可以考虑使用密码管理器，但这并非应对本次事件的必需步骤。

受托方遭入侵，合作方会员的数据外泄

根据公告，泄露的数据来自一家受托方运营的系统，该系统用于 Benefit One 向合作方会员提供的服务。公司声明，数据并非从 Credit Saison 管理的系统泄露。

在会员看来，银行卡公司、提供服务的公司，以及承担其业务的受托方都牵涉其中，而这次未经授权的访问发生在受托方的系统中。同类的过往案例有JR 东日本、VIEW Card 及 JR 九州的邮箱泄露，当时多家机构就同一原因分别发布了公告。本次的发展未必与之相同。

Credit Saison

向其持卡人提供该服务。数据并非从其系统泄露

↓→

Benefit One

提供 Toku-Kai

↓→

受托方的系统

未经授权访问发生的位置

会员数据从受托方运营的系统泄露（公司公告）。

相关各方以及未经授权访问发生的位置（依据公告）

发生了什么（依据 Benefit One 的公告）

以下内容基于 Benefit One 2026 年 10 月 28 日的公告（PDF）以及 Credit Saison 同日的通知。

2026 年 10 月 14 日 13:45
受托方发生未经授权的访问，并断断续续持续到 10 月 20 日 14:05。
10 月 21 日
受托方发现部分未经授权的访问（10:30）。Benefit One 收到受托方的报告（11:40），并暂时停止了该服务（17:00）。
10 月 23 日
向个人信息保护委员会报告（初步报告）。
10 月 24 日至 25 日
受托方发现了 21 日时尚未查明的额外未经授权访问。Benefit One 于 25 日 18:50 收到第二次报告。
10 月 26 日
为防止损害扩大，Benefit One 更换了用于对接支付系统的认证相关信息。
10 月 27 日
19:00 收到受托方的第三次报告，认识到部分认证相关信息可能已泄露。
10 月 28 日
Benefit One 确认，由于 10 月 26 日的更换，通过该途径进行欺诈性处理已不再可能。发布致歉和通知。

29,465

受影响人数（含部分已退会者；可能变化）

约 1 周

间断性未经授权访问的期间（10 月 14 日至 20 日）

不包含

银行卡号等数据（公司表示）

已暂停

Toku-Kai（自 10 月 21 日起；恢复日期未定）

泄露了什么（依据 Benefit One 的公告）

涉及的服务: Toku-Kai（面向 Credit Saison Co., Ltd. 持卡人的服务）。公司称数据并非从 Credit Saison 的系统泄露
泄露项目: 姓名、注音假名、出生日期、性别、邮政编码、邮箱地址、客户编号、入会和退会信息，以及用于会费支付处理的管理编号。具体包含哪些项目因会员而异，取决于其登记内容
关于管理编号: 用于将会员信息与支付信息关联的编号；不是信用卡号
可能泄露，与会员数据无关: 公司用于对接支付系统的部分认证相关信息。与管理编号结合后，原本可以对会费支付进行欺诈性处理；已于 10 月 26 日更换
称不包含: 银行卡号、有效期和安全码等银行卡信息（由支付处理机构管理，其系统未被入侵）
滥用情况: 核查了截至更换认证信息的期间，未发现可归因于本次事件的欺诈性支付。尚未确认存在因这些数据被滥用而造成的损害
已采取的措施: 暂时停止服务，封堵已知的未经授权访问途径，更换认证相关信息
正在进行的措施: 与相关方及受托方共同调查，由第三方专业公司调查，向个人信息保护委员会报告，向警方咨询，调查范围和原因

已知与未知的内容

截至 2026 年 10 月 30 日的情况。有后续信息时，本表的状态列将予以改写。

项目	公告内容	状态
未经授权访问的期间	2026 年 10 月 14 日 13:45 至 10 月 20 日 14:05 间断发生。10 月 24 日至 25 日又发现了 21 日时尚未查明的额外访问	已确认（公司）
人数	29,465（含部分已退会者）。随着调查继续可能变化	已确认（目前；可能变化）
姓名、注音假名、出生日期、性别、邮政编码、邮箱地址	因会员而异（取决于登记内容）	已确认泄露（公司）
客户编号、入会和退会信息	同上	已确认泄露（公司）
用于会费支付处理的管理编号	不是信用卡号	已确认泄露（公司）
用于对接支付系统的认证相关信息	部分可能已泄露。已于 10 月 26 日更换	有可能（公司）
银行卡号、有效期、安全码	不保存；未泄露	未包含（公司）
密码	泄露项目清单中未列出	未说明
欺诈性支付处理	未发现可归因于本次事件的情况	未确认（公司）
因滥用造成的损害	目前尚未确认	未确认（公司）
原因和入侵途径	受托方的系统遭到第三方未经授权的访问。详情调查中	调查中
个别通知	逐一发送至登记的邮箱地址	计划中
Toku-Kai 恢复服务	查明原因并完成防范措施之后；时间将在公司网站公布	未定

如何理解：“未确认”不等于“未发生”

公司写明欺诈性支付和滥用造成的损害“尚未确认”。公司称调查仍在继续，人数可能变化。姓名、出生日期和邮箱地址已经泄露，今后可能被用于假冒消息，因此“不包含银行卡数据”与“需要警惕消息”是两回事。

泄露项目的组合可能导致什么

一般而言，如下组合可能导致此类滥用。这并不意味着本次已经发生。

姓名 + 出生日期 + 邮箱地址 + 客户编号：可以写出姓名和编号都正确、足以乱真的“请确认”或“手续通知”邮件
邮箱地址 + 服务名称（Toku-Kai）：成为冒充“Toku-Kai 费用”“退会手续”或“重新登记银行卡”的消息的切入点
入会和退会信息：已退会者也可能收到冒充“退会确认”的消息

面向使用受托方的企业：已披露的时间线可供核查什么

原因尚未公布。本节不评价公司或受托方的应对，仅依据已披露的时间线，限于使用受托方的企业可以在自己一侧核查的内容。

受托方事后可能发现更多未经授权的访问。在时间线中，10 月 24 日至 25 日发现了 21 日时尚未查明的额外访问，报告分三次到达。请考虑能否在合同中预先约定：一次报告未必是最后一次，以及中期更新的频率。
让支付对接的认证信息保持可更换。通知称，公司为防止损害扩大更换了对接的认证信息，之后又收到受托方的报告，称其中一部分可能已泄露。一般而言，如果您把对接凭据交给受托方，了解随时更换它们的步骤，以及更换时会影响什么，可以缩短控制损害的时间。
盘点受托方持有的内容。本次受托方的系统持有从会员姓名到入会和退会信息，以及支付管理编号的各类项目。请定期检查受托方持有的项目是否在业务所需的范围内，以及是否需要保留已退会会员的信息。

参考来源（公开记录）

本文事实基于以下公开信息。尚未披露的入侵途径和手法不做推测。

Benefit One Inc.，《关于我方外包受托方遭未经授权访问导致合作方会员个人信息泄露的致歉与通知》（2026 年 10 月 28 日，PDF，日文）— corp.benefit-one.co.jp
Credit Saison Co., Ltd.，《关于 Benefit One Inc. 提供的 Toku-Kai 个人信息泄露》（2026 年 10 月 28 日，日文）— saisoncard.co.jp
ITmedia NEWS（2026 年 10 月 29 日，日文）。用于确认与官方公告一致 — itmedia.co.jp

更新记录

2026-10-30：首次发布。依据 Benefit One 10 月 28 日的公告（PDF）及 Credit Saison 同日的通知。已确认截至 10 月 30 日，公司新闻列表中尚无关于此事的后续通知（第二次报告）。公司称将公布新的调查结果，相关信息发布后本文将予以更新。

FAQ

QBenefit One 的 Toku-Kai 泄露了什么？

根据 Benefit One 2026 年 10 月 28 日的通知，泄露项目为姓名、注音假名、出生日期、性别、邮政编码、邮箱地址、客户编号、入会和退会信息，以及用于会费支付处理的管理编号。具体包含哪些项目取决于各会员的登记内容。公司称不包含银行卡号等银行卡信息。

Q我是否受到影响？

公司称已确认受影响者为 29,465 人，均为面向 Credit Saison 持卡人的服务 Toku-Kai 的会员，其中包括已退会者。随着调查继续，人数可能变化。公司表示将通过登记的邮箱地址逐一联系受影响会员。对于无法联系到的人（例如已退会者），公司将以公告和咨询窗口代替个别通知，您可以向咨询窗口询问自己是否受到影响。

Q我的银行卡信息或密码是否泄露？

公司称，公司及受影响的系统均不保存银行卡号、有效期和安全码，这些信息由支付处理机构管理，而该机构的系统未被入侵，因此没有银行卡数据泄露。公司列出的泄露项目中不含密码。不过，公司用于对接支付系统的部分自有认证相关信息可能已泄露，公司已于 10 月 26 日将其更换。

Q事件是由什么引起的？

尚未公布。公司称外包受托方运营的系统遭到第三方未经授权的访问，详细原因仍在调查中。公司称正与受托方一起调查，其中包括由第三方专业调查公司进行的调查。

Q如果有人自称是 Benefit One 或 Credit Saison 联系我，怎么办？

公司提醒用户警惕冒充公司、合作方或受托方的可疑邮件、电话和短信。公司称从不向会员索要信用卡号或密码。不要打开此类消息中的链接；请通过自行打开的官方网站，或通知中列出的咨询窗口核实。

Q是否发生了会费的欺诈性支付？Toku-Kai 何时恢复服务？

公司称，会费支付的欺诈性处理原本是可能发生的，但该支付系统仅供公司收取本服务的费用，他人无法借此取款。公司核查了从获取泄露数据的 10 月 14 日起，到更换认证信息为止的期间，称未发现可归因于本次事件的欺诈性支付。Toku-Kai 自 10 月 21 日起暂停，将在查明原因并落实防范措施后恢复。公司称确定时间后将在其网站公布。