适用对象：曾在大和证券开户并通过网上方式联系过公司的客户，以及使用外部服务处理客户咨询的企业。本文依据大和证券株式会社的官方通告，以及外包商和其他使用同一外包商服务的公司（Citizen Watch、Sompo Japan、ORIX人寿保险、东武铁道和au Jibun Bank）的通告撰写，不涉及攻击技术细节。
客户今天应该做什么
在消息箱中查看自己是否受到影响
根据公司官网，受影响的客户于10月5日通过网上交易中的消息箱（お知らせBOX）被单独通知。请自行从书签或官方应用程序登录，不要通过邮件中的链接登录，并在那里查看。
如有疑问，请致电专线（0120-851850，日本时间上午9点至下午5点，周末及节假日休息）。请使用公司官网公布的号码，不要使用你收到的信息中提供的号码。
切勿通过邮件或短信中的链接登录
可能泄露的信息包括你的姓名、邮箱地址、账户号码以及咨询内容。这些信息组合在一起，就能伪造出包含正确姓名、正确账户号码以及提及你过往咨询的信息。
公司的网络钓鱼提示页面告诉客户不要通过邮件登录网上交易。即使信息中提到安全核查、道歉或赔偿，也请不要打开链接；请从你平时使用的书签或官方应用程序登录（如何识别假冒信息：什么是网络钓鱼？）。
切勿将ID、密码、PIN或一次性密码告诉任何人
公司要求客户切勿在收到可疑信息时提供交易ID、密码、PIN或一次性密码。如果有来电者称是“为了确认您的身份”，同样适用此规则。
知道你的姓名和账户号码的来电者并不能证明什么。而这恰恰是可能已经泄露的信息。
检查操作历史
登录网上交易后，打开“お手続き・サポート”（手续与支持）菜单，选择“操作履歴”（操作历史），查看最近的登录和手续记录。
如果你发现有你未进行的登录、交易或变更，请立即更改密码并联系公司。如果你在其他地方使用相同的密码，也请在那里更换（查看方法：如何检查密码是否已泄露）。
事件经过（依据大和证券的通告）
大和证券株式会社于2026年10月5日发布通告，称因外部外包商遭到未经授权访问，客户信息可能已泄露。以下内容均来自该通告。
2026年10月2日约晚上8:33至10月3日上午8:01
据外包商称，在此时段内对外包商服务器发生了未经授权访问。10月3日
外包商告知公司，已发现有人访问并获取公司客户信息的痕迹。10月5日
公司宣布此次事件，并通过网上交易的消息箱单独联系受影响的客户。
- 地点
- 外包商的服务器，该外包商提供公司用于管理客户在线咨询的服务
- 范围
- 约11万名客户的咨询相关数据；包括无法识别身份的咨询在内，约22万条记录
- 项目
- 已收到的咨询记录中的姓名、邮箱地址、账户号码及其他信息
- 账户
- 公司表示，这些数据无法用于访问证券账户或交易，包括网上交易
- 公司系统
- 访问仅限于外包商的服务器；未发现公司系统遭到未经授权访问
- 原因
- 公司通告中未说明。公司表示将审查外包商的根本原因调查（外包商的说明见下一节）
- 外包商的应对
- 外包商报告已进行紧急安全加固，目前尚未发现进一步的未经授权访问或泄露
- 联系方式
- 专线0120-851850（日本时间上午9点至下午5点，周末及节假日休息）
外包商的通告及其他受影响公司
10月6日，提供咨询管理服务的外包商及其母公司各自发布了通告。通告显示，未经授权访问并不限于大和证券：它波及了同一服务器上运行的多家客户公司的环境。外包商的通告未透露这些客户公司的名称。
- 经过
- 从10月2日约晚上8:30至10月3日约上午8:00，第三方未经授权登录了该服务的管理网站，并在外包商管理的一台服务器上植入了未经授权的程序。同一服务器上运行的客户环境的数据库中的咨询数据可能已被获取
- 范围
- 同一服务器上客户环境中存储的咨询数据（最多五家公司）
- 记录数
- 按每次咨询计算最多713,126条，同一人的多次咨询分别计算。实际人数仍在确定中
- 项目
- 姓名、邮箱地址、咨询内容等（各客户公司的项目有所不同）
- 发现经过
- 10月3日上午，数据库监控发出警报后开始调查；当天约上午8:00切断了访问
- 应对措施
- 更改了用于未经授权登录的账户密码，隔离了未经授权的程序，更改了所有环境的管理员密码，并更改了设置，使上传的文件无法作为程序运行等。外部专家正在进行取证调查（查找入侵痕迹），此事件已向日本个人信息保护委员会报告
- 计划措施
- 根据调查结果，加强管理员认证（包括多因素认证）、环境之间的隔离、加强监控，并定期进行第三方漏洞评估（依据外包商的通告）
- 二次损害
- 截至10月6日未发现
此后，其他客户公司也发布了通告，称同一外包商已向其报告该事件。以下是截至10月10日本站可以确认的官方通告。
| 公司（日期） | 涉及的服务 | 数量（按各公司表述） | 其自身数据 |
|---|---|---|---|
| 大和证券（10月5日） | 管理网上咨询 | 约11万人（约22万条记录） | 可能已泄露（公司表示） |
| Citizen Watch（10月6日） | 品牌网站的联系表单 | 约10万人（提供专门咨询表单） | 可能已泄露（公司表示） |
| Sompo Japan（10月7日） | SMILING ROAD的常见问题及咨询 | 约6万条记录，按每次咨询计算 | 可能已泄露（公司表示） |
| ORIX人寿保险（10月8日） | 管理其官网的咨询 | 约26,500条记录（包括重复咨询） | 可能已泄露（公司表示） |
| 东武铁道（10月7日） | 客服中心联系表单 | 未说明 | 未发现被查看或获取的迹象（公司表示） |
| au Jibun Bank（10月9日） | 常见问题及邮件联系表单 | 未说明 | 不在最多五个环境之列；未发现泄露（公司表示） |
Citizen Watch株式会社（10月6日）宣布，同一外包商已报告其用于处理其网站联系表单咨询的系统遭到未经授权访问。
- 范围：Citizen、Bulova和Frederique Constant品牌的咨询，约10万人
- 项目：姓名、地址、电话号码、邮箱地址等。如果客户在咨询栏中填写了银行账户或信用卡信息，这些信息也可能已泄露
- 时间段：2026年10月2日约晚上8:33至10月3日上午8:01（与大和的通告相同）
- 公司表示将单独联系受影响的客户；截至10月6日未发现二次损害
- 联系方式：通告中列出的专门咨询表单（contact.citizen.co.jp，日语）
Sompo Japan Insurance Inc.（10月7日）宣布了其面向企业的互联行车记录仪服务SMILING ROAD的事件。该服务主要使用同一外包商的服务器处理常见问题及客户企业员工的咨询。
- 数量：按每次咨询计算约6万条记录（同一人的多次咨询分别计算）
- 项目：姓名、电话号码、地址、邮箱地址、雇主信息（公司、部门、行业、机构名称等）、驾驶员ID、驾驶警示数据（类型和时间）、设备信息（如行车记录仪序列号）、申请编号，以及咨询内容（主题和正文）
- 不包括：银行账户、信用卡及个人编号（My Number）卡信息
- 时间段：2026年10月2日约晚上8:33至10月3日上午8:01（与大和的通告相同）
- 公司表示将单独联系受影响的客户，截至通告发布时未发现滥用情况。其专线为0120-268-567（工作日上午9点至下午5点，日本时间）
ORIX人寿保险株式会社（10月8日）宣布了其用于管理官网咨询的同一外包商服务的事件。
- 数量：约26,500条记录（包括同一客户的重复咨询）
- 项目：姓名、出生日期、地址、电话号码、邮箱地址、保单号码，以及咨询内容（包括客户报告的医疗信息）
- 不包括：可能导致经济损失的信息，如个人编号（My Number，日本国民编号）或信用卡号码
- 公司表示将通过信件或邮件单独联系受影响的客户，截至通告发布时未发现二次损害。其客户服务中心为0120-330-053（周一至周五，日本时间上午9点至下午5点）
其他使用同一外包商服务的公司表示，未发现对其自身数据的影响。
- 东武铁道株式会社（10月7日）：表示其客服中心联系表单所用服务的提供方已通知其，并且根据外包商的说法，目前的调查尚未发现东武相关信息被查看或获取的迹象。作为预防措施，公司请客户不要打开可疑邮件中的链接或附件
- au Jibun Bank株式会社（10月9日）：表示其常见问题及邮件联系表单所用服务的提供方已通知其，其不在外包商所公布的最多五个客户环境之列，并且未发现未经授权访问数据或登录的迹象，也未发现客户数据泄露
外包商表示涉及最多五家公司。据本站截至10月10日可以确认的信息，有四家公司宣布其客户数据可能已泄露：大和证券、Citizen Watch、Sompo Japan和ORIX人寿保险。其余客户尚未被公开点名，本文不对其身份作任何推测。
岩手银行和四国银行也发布了通告，将大和的公告转告给其自身客户。两家银行均是作为大和的业务合作伙伴这样做的；两份通告均未表明该银行本身是外包商服务的客户。
各方公布的数量单位不同：外包商、Sompo Japan和ORIX人寿保险按每次咨询计算；大和证券同时给出记录数和人数；Citizen Watch给出人数。因此这些数字不能直接相加或相减。
也请将你在咨询中填写的内容视为可能已泄露
大和的通告将项目列为“姓名、邮箱地址、账户号码等”，并未说明咨询文本如何处理。而外包商的通告则将咨询内容列入项目之中。
如果你记得曾在咨询中填写过信用卡号码、银行账户或出生日期，稳妥的做法是假定这些信息也可能已泄露（本站观点）。如果是信用卡，请拨打卡背面的号码联系发卡机构，询问是否需要重新发卡。
泄露的数据可能被用于什么
单独来看，这些项目都不罕见，但组合在一起，就能让诈骗信息显得真实可信。本案的特殊之处在于，除了姓名和联系方式，还包括账户号码以及客户咨询的内容。
姓名 + 邮箱 + 账户号码
↓→
带有正确姓名和账户号码的虚假登录请求
→ 切勿通过链接登录 / 使用通行密钥
姓名 + 过往咨询内容
↓→
以“关于您最近的咨询……”开头的虚假电话或邮件
→ 切勿提供PIN或一次性密码 / 通过官方号码回拨
据通告未发现的内容
- 公司自身系统遭到访问
- 欺诈性交易（截至10月5日）
- 数据被公布或扩散（截至10月5日）
- 仅凭这些数据访问账户或交易（公司表示不可能）
可能已泄露
- 姓名
- 邮箱地址
- 账户号码及其他信息
- 咨询内容（已收到的咨询记录）
如何理解：“这些数据无法用于交易”并不等于“无需任何行动”
公司表示，可能泄露的数据本身不足以访问账户或进行交易。这意味着仅凭这些数据是不够的。
如果你在虚假邮件或网站上输入了ID和密码，情况就不同了。日本金融厅曾警告，利用伪装成证券公司的假网站窃取登录ID和密码后进行的欺诈性交易十分频繁（金融厅警告，日语）。登录信息很可能是下一个目标，因此不通过链接登录，并使用通行密钥，是核心的防护措施。
每个人的咨询内容各不相同。如果你还记得自己咨询过什么，当信息提到该话题时，你就能察觉可能是泄露的数据被利用了。
面向使用外部服务处理客户咨询的企业
数据并非存储在公司自身的系统中，而是存储在用于管理咨询的外包商服务器上。外包商表示事件始于对管理网站的未经授权登录，但这种登录是如何实现的尚未披露，因此本节只谈适用于任何类似系统的要点。咨询台系统本身成为入侵目标的案例，见DIVD事件。这里我们补充与咨询记录相关的具体要点。
不要让咨询表单以自由文本形式收集账户号码
客户经常在咨询表单的留言栏中填写账户号码、出生日期，甚至有时填写密码。如果需要身份核实，请让客户从已登录的页面提交咨询，并且不要在咨询记录中保存这些号码。
第一步可以是在表单提交时检测类似账户或电话号码的字符串，并在保存前对其部分内容进行遮盖。一些咨询管理服务提供敏感数据遮蔽功能，或可在内容存储前进行处理。
为已结束的咨询设定保留期限，并在期限届满时删除
咨询结束后，其记录很少再被使用，但一旦发生泄露，每条记录都会暴露。应决定旧记录的保留时长，并使其在期限届满时自动删除。
如果由外包商存储，应在合同中规定保留期限和删除方式，并至少每年核查一次删除是否真正执行。合同结束后数据未被删除的案例，见2026年事件一览中的ApplyNow条目。
列出持有客户数据的外包商，并明确数据量和通知期限
列出所有持有客户或求职者数据的外部服务：咨询管理、邮件发送、问卷调查、招聘等。对每一项，记录其持有的记录数量和项目，以及如果发现未经授权访问，必须在多少小时内通知你。
从持有记录最多的外包商开始，检查其管理后台是否具备多因素认证、来源IP限制以及大量导出警报（背景知识：认证与授权）。
还应询问你的数据是否与其他客户的环境位于同一服务器上。本案中，同一服务器上最多五家公司的环境受到影响。如果你的数据是共享的，应确认另一位客户一侧的入侵是否可能波及你的数据。
信息来源（公开记录）
本文事实依据以下公开信息。对于未披露的方法或原因，我们不作推测。
- 大和证券株式会社，关于因外部外包商遭到未经授权访问而可能导致客户信息泄露的通告（2026年10月5日，日语）——公司公告（PDF）
- 大和证券官网通告（通过消息箱单独联系客户，日语）——daiwa.jp
- 大和证券，网络钓鱼警告（日语）——daiwa.jp
- 大和证券，安全设置（通行密钥、操作通知、操作历史；日语）——daiwa.jp
- [外包商的母公司]，关于合并子公司因未经授权访问导致个人信息泄露的致歉与通告（当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ，2026年10月6日，日语）——外包商母公司通告（PDF）
- [外包商]，关于FAQ系统[外包商的服务]因未经授权访问导致个人信息泄露的致歉与通告（2026年10月6日，日语）——外包商通告
- Citizen Watch株式会社，关于因承包商遭到未经授权访问而可能导致客户信息泄露的通告（委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について，2026年10月6日，日语）——citizen.co.jp
- Sompo Japan Insurance Inc.，关于其面向企业服务所用外部委托系统遭到未经授权访问而可能导致客户信息泄露的通告（当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について，2026年10月7日，日语）——sompo-japan.co.jp（PDF）
- ORIX人寿保险株式会社，关于承包商可能发生个人信息泄露的通告（当社の委託先における個人情報漏えいの可能性について，2026年10月8日，日语）——orixlife.co.jp（PDF）
- 东武铁道株式会社，关于承包商遭到未经授权访问的通告（委託先事業者への不正アクセスについて（お知らせ），2026年10月7日，日语）——tobu.co.jp（PDF）
- au Jibun Bank株式会社，关于FAQ系统[外包商的服务]遭到未经授权访问事件对该行影响的通告（2026年10月9日，日语）——jibunbank.co.jp（PDF）
- 岩手银行株式会社，根据其与大和证券的业务联盟，转达大和证券公告给客户的通告（日语）——iwatebank.co.jp
- 四国银行株式会社，转达大和证券公告给客户的通告（2026年10月5日，日语）——shikokubank.co.jp
- 日本金融厅，关于网上交易中未经授权访问和欺诈性交易的警告（日语）——fsa.go.jp
- 日本经济新闻（2026年10月5日，日语）——nikkei.com
- 共同社（2026年10月5日，经Yahoo! News Japan，日语）——news.yahoo.co.jp
更新记录
2026-10-06：首版，依据大和证券10月5日的通告。公司表示将审查外包商的根本原因调查；有新事实公布时本文将予以更新。
2026-10-07：新增外包商（10月6日）和Citizen Watch（10月6日）的通告：新增关于外包商通告及其他受影响公司的章节，关于其他公司及咨询中填写的信用卡号码的常见问题，并依据外包商通告更新了原因描述。
2026-10-10：新增Sompo Japan（10月7日）、ORIX人寿保险（10月8日）、东武铁道（10月7日）和au Jibun Bank（10月9日）的通告，后两者使用同一外包商服务但未发现对其自身数据的影响。在外包商通告章节新增公司表格，并更新了关于其他公司的常见问题。
2026-10-11：在信息来源中新增外包商自己2026年10月6日的通告（包括其计划措施）。新增Citizen Watch的专门咨询表单。说明岩手银行和四国银行的通告是作为合作伙伴转达大和的公告，并未增加受影响的客户公司。
2026-10-22：在“延伸阅读”中，将Commune的166,505这一数字说明为按社区计算。
延伸阅读
- 应对后续诈骗：什么是网络钓鱼？ / 什么是通行密钥？
- 保护登录安全：正确选择多因素认证 / 如何检查密码是否已泄露
- 本月其他日本事件：Yakiniku King应用程序数据泄露 / Times Car数据泄露
- 承包商电脑上的客户数据面临风险：Daiichikosho承包商电脑感染恶意软件（约872万条记录）
- 通过一项服务泄露多家公司的会员数据：Commune遭到未经授权访问（166,505名社区成员，按社区计算）
- 本月另一家证券公司：Iwai Cosmo Securities外包商数据泄露（4,975名客户，7个账户出现非本意下单）
- 其他2026年事件：2026年数据泄露与网络攻击