适用对象：通过官方应用、官方线上商店或网页在日本注册过 Bookoff 会员的人（包括已退会会员），以及运营持有会员数据的服务的人。本文基于 BOOKOFF GROUP HOLDINGS LIMITED 的官方通知，不涉及攻击手法。
持续更新：机构每次发布新信息，本文都会更新
截至 2026 年 10 月 24 日尚不清楚
- 攻击者如何入侵（公司称不予披露细节）
10 月 13 日的第二次报告给出了受影响人数、涉及的服务、可能泄露的数据以及不涉及的数据；10 月 16 日的更正在数据项目中补充了“职业”和“昵称”。10 月 23 日的通知称，截至 10 月 22 日已向所有确认可送达的地址发送了个别邮件，会员网站上增加了确认是否受影响的网页查询功能，专用免费电话已于 10 月 22 日开通。10 月 23 日的通知未显示数字有任何变化。公司正在与外部专家一起调查原因，并表示一旦有新的事实将及时公布。
Bookoff 会员今天应该做什么
确认自己是否受影响（应用、线上商店和网页会员）
根据第二次报告，受影响的是日本 Bookoff 的应用会员、线上商店会员和网页会员，包括已退会会员。仅使用会员卡、从未通过应用或网页注册的人不在其中。
受影响和不受影响的服务见下文“事件经过”中的图。BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF、官方线上商店等的会员受影响；Booklog、Aoyama Book Center、Japan TCG Center 等使用独立系统，不受影响。
10 月 23 日，公司增加了Bookoff 会员网站上的网页查询功能，可告知你是否受影响。使用方法（根据公司的通知和 FAQ）：
- 从公司通知或你自己打开的 Bookoff 官方网站进入 Bookoff 会员网站（member.bookoff.co.jp），不要使用邮件或短信中的链接
- 使用在 Bookoff 注册的电子邮箱地址和密码登录，并按屏幕提示确认是否受影响
- 如果注册过多个电子邮箱地址或多个会员账号，请逐个账号确认
- 如果因为已退会等原因无法登录，请联系专用服务台（见最后一步）
公司表示，没有收到个别邮件并不意味着没有受影响。把会员卡信息转移到应用或网页的会员也可能受影响。如果你通过应用或网页注册过，请不要等待查询结果，同时采取以下措施。
修改官方应用和线上商店的密码，以及共用该密码的其他服务
不要点击自称来自 Bookoff 的邮件、短信或电话中的链接
公司警告，可能会收到冒充集团或其合作方的邮件、短信和电话。公司请会员不要打开意外收到的消息中的链接或附件，也不要输入个人信息或登录信息。
公司称，集团绝不会通过邮件、短信或电话索要密码、信用卡信息或银行账户信息（10 月 9 日的通知中还列出了验证码）。凡是索要这些的都是假的（识别方法：什么是网络钓鱼？）。
即使是真正的通知邮件，也要通过官方入口确认
公司自 2026 年 10 月 15 日（星期四）起分批向受影响会员的注册地址发送邮件，并称对所有确认可送达的地址的发送已于 10 月 22 日（星期四）完成。邮件主题为“不正アクセスによる個人情報漏えいに関するお詫びとお知らせ”（关于因未经授权访问导致个人信息泄露的致歉和通知），FAQ（截至 10 月 23 日）给出的发件人为“bookoff@2902.net”。由于地址变更或邮件设置，邮件可能收不到，没有收到并不意味着没有受影响，因此请使用上述网页查询确认。发件人地址可能被伪造，所以仅凭发件人一致不能证明邮件是真的。
公司称，这些邮件绝不会要求你输入或回复密码、信用卡信息或银行账户信息，也不会包含指向密码修改页面的链接。主题相同但带有密码修改页面链接，或要求输入或回复密码、卡信息、银行信息的消息，不符合官方的说明。请不要使用邮件中的链接，而通过官方联系方式确认。请在官方应用中，或在通过自己的书签或搜索打开的官方网站上查看内容。
留意不认识的积分使用或其他异常
公司请会员在发现可疑联系或不认识的使用情况时联系其咨询窗口。如果能登录官方应用或线上商店，请查看积分余额、使用记录和登记信息中是否有自己没有做过的更改。公司称，截至 10 月 13 日，未发现会员数据被改写，也未发现积分被滥用。
使用官方通知中列出的联系方式
10 月 22 日（星期四），公司开通了本次事件的专用免费电话 0120-300-663（10:00–18:30，每天，日语）。在此之前，公司引导人们联系 Bookoff 集团客户服务台。另一个联系方式是 Bookoff Group Holdings 网站上的专用咨询表单（均列在 10 月 23 日的通知中）。请通过你自己打开的官方网站上的通知查找这些方式，不要使用你收到的消息中的号码或链接。
事件经过（据 Bookoff Group Holdings）
以下内容基于公司 2026 年 10 月 9 日的通知（第一次报告，证券交易所披露）、10 月 13 日的第二次报告（证券交易所披露）、10 月 16 日对第二次报告的更正（证券交易所披露）、10 月 23 日关于网页查询和免费电话的通知，以及 FAQ（截至 10 月 23 日）。
2026 年 10 月 4–6 日
BOOKOFF CORPORATION 会员管理系统中管理的会员数据被从外部窃取（第二次报告的调查结果）。10 月 6 日（周二）
确认第三方对会员管理系统的未授权访问。确认之后
封锁了来自攻击源的通信和所用路径，并加强了访问控制和监控。已知的数据窃取路径已被控制。10 月 9 日（周五）
发布第一次报告，称最多约 643 万条记录（会员编号）。10 月 13 日（周二）
发布第二次报告和 FAQ。人数确定为 6,383,279 人（按会员编号统计为 6,427,735 条记录），并说明涉及的服务、不涉及的数据以及修改密码的请求。公司称已向个人信息保护委员会报告并咨询了警方。10 月 15 日（周四）起
开始分批向受影响会员的注册地址发送邮件（10 月 22 日完成）。FAQ 已修订（截至 10 月 15 日），并给出了发件人地址。10 月 16 日（周五）
发布对第二次报告的更正。“职业”和“昵称”此前被遗漏在可能泄露的数据之外，现已补充。公司称记录数、人数和报告的其余部分不变。10 月 22 日（周四）
完成向所有确认可送达的地址发送个别邮件。专用免费电话（0120-300-663）开通。10 月 23 日（周五）
宣布在 Bookoff 会员网站上增加确认是否受影响的网页查询功能。FAQ 更换为截至 10 月 23 日的版本。
- 系统
- 由合并子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 会员管理系统
- 人数和记录数
- 6,383,279 人（现有会员 6,170,908 人，已退会会员 212,371 人）。按会员编号统计为 6,427,735 条记录。记录数是系统日志显示数据被发送到外部的会员编号的数量；人数则把使用同一电子邮箱地址注册的多条会员记录算作一人
- 受影响会员
- 应用会员、线上商店会员和网页会员。仅使用会员卡、从未通过应用或网页注册的人不在其中
- 项目
- 作为会员信息登记的姓名、出生日期、性别、职业、昵称、电子邮箱地址、电话号码、邮政编码和地址，以及密码哈希值、积分卡号、会员编号（职业和昵称由 10 月 16 日的更正补充）。并非每位会员的所有项目都泄露
- 密码
- 哈希值，公司称其无法直接还原为密码。请受影响的会员修改官方线上商店和应用的密码
- 不包含
- 信用卡信息等支付数据；银行账户信息；门店收购时填写的地址和从身份证件读取的文字；订购时与会员地址分开填写的配送地址；邮寄收购的上门取件地址和身份证件图像
- 公开与滥用
- 截至 10 月 13 日，未发现数据被公开、积分被滥用或会员数据被改写
- 后续措施
- 与外部专家一起调查原因，对集团所有系统进行紧急检查，增加安全措施并采取长期防范措施。已向个人信息保护委员会报告并咨询了警方
受影响（Bookoff 会员管理系统）
BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, BOOKOFF official online store, あそビバ (Asobiba), BOOKOFF FASHION, BINGO, B·SPORTS, B·STYLE, Rehello by BOOKOFF (stores)
不受影响（由独立系统管理）
hugall, aidect, Rehello by BOOKOFF (online), Japan TCG Center, Booklog, Aoyama Book Center, ブックオフおかたづけサービス (Bookoff Okatazuke，整理清理服务)
已知和未知的情况
截至 2026 年 10 月 24 日的状况。后续报告发布时，状态一栏将会更新。
| 项目 | 公司的说法 | 状态 |
|---|---|---|
| 从外部窃取数据 | 会员数据在 10 月 4 日至 6 日期间被从外部窃取 | 已确认泄露（公司） |
| 人数和记录数 | 6,383,279 人（按会员编号统计为 6,427,735 条记录） | 已确认泄露（公司） |
| 会员和服务 | 日本使用 Bookoff 会员管理系统的各项服务中的应用、线上商店和网页会员（仅使用会员卡者不在其中） | 已确认泄露（公司） |
| 数据项目 | 姓名、出生日期、性别、职业、昵称、电子邮箱、电话、邮政编码和地址、密码哈希值、积分卡号、会员编号（因人而异；职业和昵称由 10 月 16 日的更正补充） | 可能（公司） |
| 支付数据和银行信息 | 不在该系统中管理 | 不包含（公司） |
| 身份证件（门店收购时读取的文字、邮寄收购的图像） | 不在该系统中管理 | 不包含（公司） |
| 公开、积分滥用或改写 | 截至 10 月 13 日未发现 | 未发现（公司） |
| 原因和入侵路径 | 因公开可能招致进一步攻击而不予披露 | 调查中 |
| 修改密码的请求 | 请修改官方线上商店和应用的密码 | 已请求 |
| 个别通知 | 自 10 月 15 日起分批发送到注册地址；对所有确认可送达的地址的发送已于 10 月 22 日完成（发件人 bookoff@2902.net）。没有收到并不意味着没有受影响 | 已确认（公司） |
| 如何确认是否受影响 | 10 月 23 日在 Bookoff 会员网站上增加了网页查询；无法登录者请联系专用服务台 | 已确认（公司） |
如何理解：“未发现滥用”不等于“安全”
公司的说法是，截至 10 月 13 日，未发现泄露的数据被公开或积分被滥用。泄露本身已经确认。假消息可能在泄露很久之后才出现，所以请至少在数月内保持警惕。
这些数据组合可以被用来做什么
一般来说，以下组合可能被用于以下滥用。这并不表示本案中已经发生。
- 姓名 + 地址 + 电话号码 + 电子邮箱地址：写出带有正确姓名和地址、以假乱真的“致歉”或“请确认”消息。职业或昵称会让它看起来更像针对个人
- 电子邮箱地址 + 密码哈希值：如果密码容易猜到，就可能被破解出来，并拿到共用该密码的其他服务上尝试
- 会员编号或积分卡号 + 出生日期：可用于在电话或客服请求中冒充会员的材料。知道这些号码并不能证明某人的身份
在过去的案例中，2026 年 9 月公布的 Seicomart 应用数据泄露，在首次公布约 57 万个账号之后，数字也在后续报告中确定。本案中，第二次报告把第一次报告的“最多约 643 万条记录（会员编号）”确定为 6,427,735 条记录和 6,383,279 人。
点击邮件或短信中的链接
只能根据措辞来判断真假
↓→
有可能在假登录页面输入密码
通过官方应用或自己打开的网站进入
把邮件仅仅当作有通知存在的提示
↓→
你看到的始终只有真正的通知，无需判断
本站看法：真通知和假消息会在同一周内出现
本案中，公司事先公布了向受影响会员发送邮件的开始日期（10 月 15 日）和邮件主题。知道这些邮件何时到达、叫什么名字，对发送假消息的人同样有帮助。区分它们最可靠的办法不是看措辞，而是自己选择入口。如果从不使用邮件中的链接，始终通过官方应用或自己打开的网站进入，就可以不依赖消息中的链接，把消息与官方通知进行对照。
对持有会员数据的服务：让泄露通知与假消息可以区分
公司不披露原因的细节，因此本节不讨论如何防止入侵。从通知中可以得出两点：数据中包含密码哈希值，公司通过电子邮件联系受影响的人。以下步骤仅限于你可以为自己的服务事先决定的事项。本节不评价公司的应对。
不要在泄露通知邮件中放置登录链接
泄露通知邮件会成为仿冒假邮件的模板。如果通知写着“请在此登录修改密码”，假邮件就可以使用完全相同的版式。
如果通知不含任何链接，而是写“请在官方应用或官方网站上查看通知”，就可以始终如一地告诉用户不要点击任何链接。事先在网站上公布发件人地址和邮件主题也有帮助。Bookoff 的第二次报告同样公布了邮件主题，并称其邮件不会链接到密码修改页面。
来源（公开记录）
本文中的事实基于以下公开信息。本文不对未公开的入侵路径或方法进行推测。
- BOOKOFF GROUP HOLDINGS LIMITED，关于因未经授权访问导致个人信息泄露的致歉通知（第二次报告）（2026 年 10 月 13 日，证券交易所披露，日语）— PDF
- 同一公司，对第二次报告的更正（2026 年 10 月 16 日，证券交易所披露，包含更正后的第二次报告全文，日语）— PDF
- 同一公司，关于因未经授权访问导致个人信息泄露一事增加网页查询功能和开通专用免费电话的通知（2026 年 10 月 23 日，日语）— PDF
- 同一公司，关于因未经授权访问导致个人信息泄露的常见问题（2026 年 10 月 13 日发布，已更换为截至 10 月 15 日和 10 月 23 日的版本；10 月 24 日查阅，日语）— PDF
- 同一公司，关于因未经授权访问导致个人信息泄露的致歉通知（第一次报告，2026 年 10 月 9 日，证券交易所披露，日语）— PDF
- Bookoff 官方网站新闻（第一次报告，同日，日语）— bookoff.co.jp
- Bookoff Group Holdings 针对本次事件的咨询页面（2026 年 10 月 10 日查阅，日语）— bookoffgroup.co.jp
更新记录
2026-10-24：反映了 10 月 23 日的通知。Bookoff 会员网站现在有确认是否受影响的网页查询功能，因此在第一步中增加了使用方法。同时反映了截至 10 月 22 日已向所有确认可送达的地址发送个别邮件（没有收到并不意味着没有受影响），以及专用免费电话（0120-300-663）已于 10 月 22 日开通，并更换了联系方式。数字没有变化，原因仍未公布。
2026-10-17：反映了一项更正。10 月 16 日，公司更正了第二次报告，称可能泄露的数据中遗漏了“职业”和“昵称”。这两项已补充到本文的各处列表中（摘要、FAQ、事实清单和表格）。公司称数字和报告的其余部分不变。同时在来源中增加了更换后的 FAQ（截至 10 月 15 日）中给出的发件人地址和更正通知。
2026-10-14：反映了 10 月 13 日的第二次报告和 FAQ。将人数更新为 6,383,279 人（按会员编号统计为 6,427,735 条记录，其中 212,371 人为已退会会员），并增加了受影响会员（应用、线上商店和网页会员）、受影响和不受影响的服务、数据被窃取的时间段（10 月 4–6 日）、不涉及的数据（包括从身份证件读取的文字）、修改密码的请求，以及 10 月 15 日起的个别邮件（邮件主题，不含密码修改页面链接）。公司称不披露原因的细节。
2026-10-10：初版，基于公司 10 月 9 日的通知和其咨询页面上的 FAQ（10 月 10 日查阅）。公司称将在后续报告中公布受影响人数和涉及的数据，届时本文将更新。
延伸阅读
- 相关：Treasure Factory 数据泄露（746,277 条记录）
- 同期的其他会员数据案例：Seicomart 应用数据泄露 / Yakiniku King 应用数据泄露 / MrMax 应用和线上商店数据泄露 / SourceNext 会员数据泄露（含密码）
- 密码：如何检查你的密码是否泄露 / 密码管理器指南
- 诈骗后续：什么是网络钓鱼？
- 2026 年的其他案例：2026 年的数据泄露和网络攻击