适用对象：通过Carsensor.net（含应用程序）联系过二手车经销商或发表过评价的人员、使用C-MATCH的经销商，以及通过服务将客户咨询转交给业务合作方的运营者。本文基于Carsensor运营公司Recruit株式会社的官方通知撰写，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
截至2026年10月22日13:30（日本时间）尚不明确
- 是否确实有数据泄露（通知称“可能泄露”）
- 原因及路径的详情（调查中）
- 受影响人员将如何及何时被逐一联系（邮寄、电子邮件或其他）
- 记录数量对应的实际人数
- 个体经营者经销商的银行账户记录受影响的数量
- 是否已咨询或通报警方（未提及）
公司表示原因和完整范围仍在调查中。截至10月19日的Carsensor.net通知称，公司将在各服务网站上公布恢复日期的大致安排，并将在调查推进过程中及时公布应当披露的事实。
10月22日，Carsensor.net首页的通知被替换为“关于Carsensor.net服务恢复的注意事项及请求”。通知称，自2026年10月22日13时左右起，服务已开始分阶段恢复，优先恢复已确认安全的服务和功能。暂停期间的库存和价格变动可能尚未反映在车源信息中，因此请在到店或签约前直接与经销商确认。暂停前发给经销商的咨询回复也可能延迟。
通知未给出后续公告的时间。截至2026年10月22日，公司新闻稿列表中尚未出现后续公告。
确认您是否受影响
通知涵盖以下四组人员。数量为公司确认的最大值，统计的是记录条数，而非人数。
| 类别（据公司称） | 记录数 | 项目 |
|---|---|---|
| 通过Carsensor.net（含应用程序）联系二手车经销商的人员 | 3,210,421 | 姓名和住址（3,176,375）／姓名、住址、咨询内容、年龄段、性别（33,247）／姓名、住址、咨询内容、电话号码、传真号码、电子邮件地址（799） |
| 在Carsensor.net（含应用程序）发表评价的人员 | 5,289 | 姓名（5,285）／姓名和电子邮件地址（4） |
| 在C-MATCH注册的二手车经销商 | 483,168 | 代表及工作人员的姓名和电话号码；二手车经销许可证号、许可证持有人姓名及发证都道府县；登录ID。个体经营者还包括营业所或柜台地址、邮政编码、电话号码、传真号码及自动扣款银行账户信息 |
| 公司员工（包括前员工）、现任或前任承包商的工作人员或个体经营者，以及现任或前任销售代理的工作人员 | 10,673 | 姓名、电子邮件地址、登录ID |
| 合计 | 最多3,709,551 | 每一组均包括公司分配的内部管理ID |
据公司称，联系经销商的人员的“住址”原则上只精确到市或町村。但最多447,670条记录可能包含精确到门牌号、楼栋名称和房间号的完整住址。
仅在网站或应用程序上浏览过车辆的人员不在名单之中。公司表示将逐一联系受影响人员，但未说明方式。
联系过经销商或发表过评价的人今天应做什么
不要打开意外信件、邮件或短信中的链接或附件
公司警告，可能会收到滥用数据的可疑联系，并请大家不要打开电子邮件、短信或信件，不要接听电话，不要打开其中的链接，也不要打开附件。
大部分记录只包含姓名和住址，因此收件人信息正确的信件比电子邮件或电话更需要警惕。辨别假冒信息的基本知识见什么是网络钓鱼。
通过通知页面核实任何补偿或退款的提议
公司表示将逐一联系受影响人员。这意味着真实与虚假的联系可能会大致同时到达。
即使信件或邮件提供“事件补偿”、“退款”或“问卷奖励”（本站举例），也请不要使用其中的电话号码、网址或二维码。请自行通过搜索打开Recruit的通知页面，并联系其中列出的联系方式。
不要回应提及您咨询过的车辆的联系
咨询内容包含在33,247条和799条记录之中。一般来说，提到您咨询过的车型或经销商的联系看起来会更加可信。
即使联系声称来自经销商，知道您咨询过什么也不能证明其真实性。不要当场回复；请自行查找经销商的电话号码并回拨。
如果您重复使用密码，请更换
公司表示登录密码不包括在内，也未要求任何人更改密码。
另外，如果您在多个服务中使用相同的密码，现在是将它们改为不同密码的好时机。这是本站的一般建议，并非公司的指引。密码管理器有助于记录和管理密码。
如果您已提供个人信息或付款，请联系咨询窗口和警方
请将疑问发送至通知页面列出的专门咨询窗口（通过Recruit帮助页面以电子邮件咨询）。
如果您在收到可疑联系后支付了款项或提供了卡号，还请联系您的信用卡公司或银行，以及日本的警察咨询专线（#9110）。
使用C-MATCH的经销商应做什么
警惕知道您登录ID的人发来的重新登录请求
经销商的泄露项目包括代表及工作人员的姓名和电话号码，以及登录ID。公司表示登录密码不包括在内。
一般而言，登录ID加上工作人员的姓名，就可能让人冒充服务运营方，制造索要密码的假联系。如果您收到关于“服务恢复后重新登录”或“确认账户”的联系（本站举例），请不要通过其中的链接输入任何信息；请通过书签或官方指引打开服务。
个体经营者：留意有关自动扣款账户的联系
对于个体经营者，自动扣款银行账户信息也在泄露项目之中。全国银行协会警告，有人会冒充银行工作人员骗取账户信息或PIN码（这是一般性警告，并非针对本次事件）。
如果您收到“扣款失败”或“账户需要核实”之类的联系，请不要使用其中的电话号码或网址；请自行与您的银行或公司的官方联系方式核实。如果您发现不认识的扣款，请立即联系银行。关于如何看待银行信息泄露，也可参阅Lashinbang相关文章。
告知员工其姓名可能被假冒联系利用
员工姓名和电话号码在泄露项目之中。一般而言，提及某位员工的电话或邮件，在企业内部往往会被视为真实。
建议在企业内部约定：如果有自称C-MATCH或Carsensor的联系要求变更付款信息或提供登录信息，员工不会立即处理，而是通过其他途径进行核实。
发生了什么（据Recruit通报）
株式会社Recruit于2026年10月21日发布了《关于因未经授权访问Carsensor.net及C-MATCH导致的个人数据泄露的致歉与通知》。以下内容均基于该通知及Carsensor.net上的通知。
2026年10月17日（周六）
发现外部对Carsensor.net相关系统的可疑访问。当日17时左右起，包括Carsensor.net、Carsensor应用程序及C-MATCH在内的所有Carsensor.net相关服务均被暂停。10月20日（周二）
调查确定了因外部未经授权访问而可能泄露的个人数据项目及记录数量（上限）。10月21日（周三）
发布通知。公司表示已向个人信息保护委员会提交初步报告。设立了专门咨询窗口。10月22日（周四）
自13时左右起，已确认安全的服务和功能开始分阶段恢复。Carsensor.net的通知已被关于服务恢复的通知取代。
通知未说明未经授权访问始于何时。10月17日是公司发现可疑访问的日期。
- 运营方
- 株式会社Recruit
- 涉及服务
- Carsensor.net（二手车信息网站，含应用程序）；C-MATCH（面向二手车经销商的业务支持服务）
- 数量
- 最多3,709,551条记录（可能泄露的记录）
- 项目
- 如上表所示。每组均包括公司分配的内部管理ID
- 不包括
- 信用卡等支付数据及登录密码（所有组别）
- 原因
- 第三方未经授权访问。原因及范围的详情仍在调查中
- 向监管机构报告
- 已向个人信息保护委员会提交初步报告
- 联系受影响人员
- 逐一联系。无法取得联系的人员将通过通知获知，并可使用咨询窗口
- 二次损害
- 截至10月21日，公司所知范围内未确认
- 防范措施
- 公司表示将查明原因，并以集团为单位研究和实施进一步措施。未给出具体内容
- 联系方式
- 通知中列出的专门咨询窗口（Recruit帮助页面；可通过电子邮件咨询）
已知与未知的信息
截至2026年10月22日的状态。发布后续公告时，状态栏将随之更新。
| 项目 | 通知内容 | 状态 |
|---|---|---|
| 发现与暂停 | 10月17日发现可疑访问；当日17时左右起暂停所有相关服务 | 已确认（公司） |
| 原因 | 第三方未经授权访问；详情调查中 | 已确认（公司）／详情调查中 |
| 数量 | 最多3,709,551条记录（记录数，非人数） | 可能（公司） |
| 联系经销商的人员的姓名和住址 | 3,210,421条记录；住址原则上只精确到市级（最多447,670条可能包含完整住址） | 可能（公司） |
| 咨询内容、年龄段、性别、电话、电子邮件 | 部分联系经销商的人员（33,247条和799条记录） | 可能（公司） |
| 经销商工作人员信息及登录ID | 483,168条记录 | 可能（公司） |
| 个体经营者经销商的自动扣款银行账户信息 | 包括在内（未给出数量） | 可能（公司） |
| 员工及承包商工作人员的姓名、电子邮件及登录ID | 10,673条记录 | 可能（公司） |
| 信用卡等支付数据 | 不包括 | 不包括（公司） |
| 登录密码 | 不包括 | 不包括（公司） |
| 未经授权访问的开始时间及路径 | 未说明 | 未提及 |
| 数据被滥用 | 截至10月21日未确认二次损害 | 未确认（公司） |
| 逐一联系受影响人员 | 将逐一联系（方式未说明） | 进行中（公司） |
| 向个人信息保护委员会报告 | 已提交初步报告 | 已确认（公司） |
| 咨询或报告警方 | 未说明 | 未提及 |
| 服务恢复 | 自10月22日13时左右起分阶段恢复，优先已确认安全的服务和功能 | 分阶段恢复中 |
| 暂停后的车源信息及咨询回复 | 库存和价格变动可能尚未反映；暂停前的咨询回复可能延迟 | 公司提醒注意 |
如何理解：可能泄露与不包括
这些数量和项目是“可能泄露”的数据。尚未确认全部3,709,551条记录均已泄露，也未确认它们没有泄露。
只有信用卡等支付数据和登录密码被明确说明不包括在内。上述数量也不是人数；通知并未说明同时联系多家经销商的人如何计数。
各项目组合可能被如何利用
以下是一般情况下可能发生的情况，并不意味着本案中已经发生。公司表示截至10月21日未确认任何二次损害。
姓名 + 住址（联系经销商的人员）
↓→
收件人信息正确的、提供补偿、退款或问卷的信件
→ 不要使用随附的号码或二维码；请通过通知页面核实
姓名 + 住址 + 咨询内容
↓→
冒充经销商、提及您咨询过的车辆的联系
→ 知道详情并不能证明真实性／请通过自行查找的号码回拨
工作人员姓名 + 电话 + 登录ID（经销商）
↓→
冒充运营方、索要密码或变更付款信息的联系
→ 不要通过链接输入任何信息／通过其他途径核实
通知中明确说明不包括的内容
- 信用卡等支付数据
- 登录密码
可能泄露的项目（据公司）
- 姓名和住址（不易更改）
- 咨询内容、年龄段、性别（部分记录）
- 电话号码和电子邮件地址（部分记录）
- 经销商登录ID和许可证号；个体经营者的自动扣款银行账户信息
住址长期不会改变，因此一般而言，之后很长时间内都可能被用于以其他借口发来的联系。请在一段时间内对提及此次事件的联系保持警惕。
另外，在过去的案例中，2026年10月的Bookoff会员数据泄露，首次报告的“最多约643万条记录（会员编号）”在第二次报告中被确认为人数（6,383,279人）。本次事件未必会出现同样的情况。
面向通过服务将客户咨询转交给业务合作方的运营者
公司未披露原因的细节，因此本文不说明如何预防。本节不评价公司的应对。通知确实说明，在同一事件中，四类性质颇为不同的人员的数据（咨询者、合作经销商，以及公司自身及承包商的工作人员）受到影响；并且，尽管住址“原则上只精确到市级”，仍有相当数量的记录可能包含完整住址。以下要点仅限于基于此可以事先检视的内容。
衡量规则与实际存储数据之间的差距
公司表示，联系经销商的人员的住址原则上只精确到市级，但又提供了最多447,670条可能包含街道级住址的记录。
一般而言，即使表单设计为只收集市级信息，自由填写字段和旧数据格式仍可能保存比设计意图更详细的内容。依据实际数据而非设计文档核对所存储的项目，有助于在发生泄露时迅速、准确地说明受影响的范围。
列出各系统保存了哪些群体的数据
用户、合作方、员工和承包商的数据各自有不同的用途和保存需求。一般而言，围绕某一服务建立的相关系统往往会对每类群体都收集一部分数据。
请为每个系统列出其保存了哪些群体的数据、哪些项目、保存多长时间，并决定已转交的咨询记录是否可以从日常使用的画面中删除。如果将群体和项目分开管理，在事件发生当天就更容易回答“我是否受到影响？”
事先决定如何联系人员以及如何让人识别假冒
本文涉及的大多数人员，其记录中只有姓名和住址，没有电子邮件或电话号码。一般而言，单独联系这些人的途径有限，真假联系可能会大致同时到达。
在事件发生前，应确定用于重要通知的渠道和发件人，并明确声明绝不会索取的内容，然后在官方网站上公布。这有助于人们辨别真伪。关于电子邮件发件人伪造防护，请参阅防范伪造邮件的SPF、DKIM与DMARC。
资料来源（公开记录）
本文的事实基于以下公开信息。对于未披露的原因及访问路径细节，本文未作任何推测。
- 株式会社Recruit，《关于因未经授权访问Carsensor.net及C-MATCH导致的个人数据泄露的致歉与通知》（日文，2026年10月21日）— recruit.co.jp（PDF：recruit.co.jp）
- 株式会社Recruit，《关于Carsensor.net未经授权访问的情况》（咨询窗口页面，日文，2026年10月21日更新）— recruit-help.jp
- Carsensor.net，《关于Carsensor.net服务恢复的注意事项及请求》（首页通知，日文，2026年10月22日更新）— carsensor.net
- 株式会社Recruit新闻稿列表（2026年10月22日查阅；未见关于本事件的后续公告）— recruit.co.jp
- 全国银行协会，《谨防假冒全国银行协会网站》（日文；一般性警告）— zenginkyo.or.jp
更新记录
2026-10-22（日本时间13:30）：补充了10月22日约13时起服务分阶段恢复的内容，以及更新后的Carsensor.net通知（关于车源信息和咨询回复的注意事项）。依据通知更正了对员工及承包商群体的描述。
2026-10-22：首版，依据Recruit于10月21日发布的通知、Carsensor.net的通知及公司新闻稿列表（10月22日查阅）撰写。原因及范围的详情仍在调查中；发布后续公告时本文将予以更新。
延伸阅读
- 同期事件：NIFTY line申请系统入侵 / H2O ID数据泄露 / 漫画Cmoa会员数据泄露
- 防范后续诈骗：什么是网络钓鱼 / 智能手机安全基础
- 密码：选择与使用密码管理器 / 如何检查密码是否已泄露
- 其他汽车相关服务：Cariteco（名铁协商）勒索软件事件
- 2026年其他事件：数据泄露与网络攻击列表