适用人群：负责公司或个人网站安全的任何人。这不是对单个事件的报道，而是将2026年8月日本机构披露的事件放在一起时呈现的模式。所有事实均来自这些披露和相关报道，不包含对原因的推断。
按入侵途径分类
依据各机构公布的内容整理；数字和原因仅为其披露的内容。
| 披露日期 | 机构 | 起点 | 类别 |
|---|---|---|---|
| 8月3日 | Kodansha | 企业邮箱：联系人信息被窃取，并有冒充该员工的邮件被发送给部分联系人 | 凭据 |
| 8月4日和7日 | Innovation Co. | GitHub凭据：公司披露了两项失误：配置中硬编码令牌，以及代码仓库中存储个人数据 | 凭据 |
| 8月13日 | Charm | 未经授权访问电商网站（约230,000条记录，包括密码哈希值） | 直接 |
| 8月14日 | Nichirei | 勒索软件（7月13日系统故障；员工数据可能泄露） | 直接 |
| 8月17日和19日 | Sakura Internet | 服务提供商的管理环境，随后是合同管理系统（涉及至多1,360,563个会员账户） | 凭据 / 服务提供商 |
| 8月20日 | 2025大阪世博会协会 | 某分包商的Microsoft 365，起点为5月13日收到的钓鱼邮件 | 凭据 / 供应商 |
| 8月20日 | VOISING | 一个BI工具（至多约170,000人） | 凭据 / SaaS |
| 8月 | JST（据报道） | 邮箱被访问（约16,000封邮件） | 凭据 |
| 8月12日 | OCS、ANA Group（据报道） | 应用程序中的漏洞 | 直接 |
如何解读这些数字
以上数字是披露时的公布内容，且大多数调查仍在进行中。尤其是Sakura Internet的1,360,563，是可能涉及的会员记录数量，并非已确认的泄露数字；该公司表示尚未确认有数据被外传。不将仍在调查中的数字视为最终结果，是阅读此类报道的基本能力。
为什么仅保护自身系统还不够
起点：你无法控制的合法账户
供应商的M365 / 一个BI工具 / 一个邮箱 / 一个GitHub令牌 / 服务提供商的控制台
攻击者执行普通操作
用被盗凭据正常登录并正常读取数据
你的服务器（未受影响）
补丁、WAF和CSP不适用于这一途径
被利用的漏洞意味着有人通过某个缺陷闯入，因此修复该缺陷即可阻止。被盗凭据意味着有人正常登录，因此没有可修复的缺陷。需要保护的是凭据本身：谁持有它、它存放在哪里，以及它保持有效多长时间。
在这里行不通的做法
- 打补丁——对不利用任何漏洞的攻击毫无作用
- WAF / IPS——合法登录看起来并不异常
- “我们太小，不会成为目标”——真正的目标是供应商或服务提供商，而你作为其客户受到影响
- 更换托管模式——VPS无法阻止凭据被盗
有效的做法
- 多因素认证，尤其是邮箱、代码托管和SaaS管理员账户
- 短期有效、权限范围窄的凭据——淘汰长期有效的令牌
- 梳理能够访问你数据的供应商和SaaS清单
- 不在配置中硬编码密钥；不在代码仓库中存放个人数据
- 以“已被读取”为前提进行规划——减少可被窃取的内容
应该做什么
列出你所依赖的外部服务和分包商
包括托管、SaaS、BI工具、邮件平台、代码托管，以及分包商。没有这份清单，新闻出现时你甚至无法回答“我们是否在影响范围内？” 如何建立清单：资产清单检查表。
优先为邮箱和代码托管启用多因素认证
上述多个起点都是邮箱和代码托管凭据。这两类账户都可以用来重新发放其他所有凭据，因此应优先于其他账户。→ 如何选择多因素认证
梳理长期有效的凭据，缩短其有效期并收窄权限范围
配置文件中的密钥、无过期时间的访问令牌、可在所有代码仓库中使用的密钥。假设凭据会被窃取，并让窃贼能获得的内容变少、有效期变短。 → .env和API密钥的风险所在 / 在提交时阻止密钥泄露
提前梳理服务提供商遭入侵时会发生什么
当收到服务提供商遭入侵的通知时，你究竟会损失什么？ 提前回答这个问题，决定了你当天该怎么做。→ 网站托管服务商遭入侵时该怎么办
假设机会型钓鱼会随之出现
重大事件之后总会出现假借其名义的邮件。在一起8月案例中，已披露有冒充该员工的邮件被发送给被窃取的联系人。不要点击“事件通知”邮件中的链接，请自行打开官方网站。→ 什么是钓鱼
本站观点：这不只是大公司的问题
表格中列出的是大型机构，但入侵的起点与规模无关：一个邮箱、SaaS管理员权限、留在代码仓库中的凭据。对于个人开发者同样如此，甚至可以说风险更大，因为小型运营方更依赖外部服务，而且一个凭据往往能访问更多内容。我们的立场是一贯的：眼下，不要把凭据发放得比需要的范围更广，也不要让闲置凭据留在原处，这比试图让系统变得无法入侵更有用。仍应将打补丁作为基本要求，同时把重点转向凭据。
信息来源
事实来自各机构的披露和相关报道。除已公布的内容外，不对原因或责任作任何推断。
- Sakura Internet — 首次报告（8月17日） / 第二次报告（8月19日，8月26日更新） / 常见问题
- 2025大阪世博会协会 — 关于某分包商未经授权访问的报告（8月20日）
- Kodansha — 个人数据暴露通知（8月3日）
- Charm — 未经授权访问通知（8月13日）
- Innovation Co. — GitHub事件最终报告（8月7日）
- 关于Nichirei的报道 — @IT（8月15日）
- 关于VOISING的报道 — ITmedia NEWS（8月21日）
延伸阅读
- 始于账户或供应商登录的近期案例：Navigate360 P3（Crime Stoppers举报平台） / ASOS（英国，客户数据）
- 承包商的云密钥被滥用的求职网站案例：MyBRANDS
- 2026年所有事件（日本及全球）：数据泄露和网络攻击列表，以及入侵途径的差异
- 对比2026年的主要案例：KDDI、Aflac、数字厅和Sakura Internet的共同点
- 当VPN是入侵途径时：VPN设备是勒索软件的主要入侵途径：数字厅遭入侵后的远程访问防御
- 准备工作：资产清单检查表 / 如何选择多因素认证
- 服务提供商遭入侵时：网站托管服务商遭入侵时该怎么办
- 开发用云凭据被盗时：日经未经授权访问事件（约183万条记录）
- 云运营凭据被获取时：Digital Arts云服务未经授权访问
- 凭据被盗：单次npm install如何窃取你的凭据 / .env和API密钥的风险所在
- 设计：密码重置设计缺陷——服务自身的重置流程将凭据发放给攻击者
- 案例：KADOKAWA勒索软件事件（2024）——以钓鱼窃取凭据作为入口