适用对象：使用过Edion网上商店的人，尤其是11月4日19:00之后在电脑上输入过银行卡信息的人，持有Edion礼品卡的人，以及收到关于登录ID和密码的邮件的人。本文基于**Edion的官方通知（第一次和第二次报告）**进行说明，不涉及攻击手法。
事件仍在发展：本文将随机构发布更多信息而更新
- 适用对象
使用过Edion网上商店的人，尤其是11月4日19:00之后在电脑上输入过银行卡信息的人，持有Edion礼品卡的人，以及收到关于登录ID和密码的邮件的人。
- 已确认的影响范围查看表格 ↓
- 未经授权访问
- 支付相关处理中的恶意程序
- 网上商店状态
被列为可能涉及的项目
- 姓名、电子邮件地址、电话号码、出生日期、性别、地址、客户编号
- 订单编号、订单金额、邮政编码、地址代码
- 信用卡有效期
另外5项
- 卡号、持卡人姓名、安全码（下单时错误日志）
- 卡号、有效期、持卡人姓名、安全码（电脑上的新输入）
- Edion礼品卡编号
- Edion礼品卡的卡号、密码、使用记录
- 登录ID和密码
- 尚未确认的事项
- 入侵的途径和方法
- 影响范围（最终的数量和项目）
- 未与姓名关联的日志信息的数量
另外3项
- Edion礼品卡的处理方式
- 网上商店的恢复时间
- 数据是否已被滥用
- 现在要做的事查看步骤 ↓
- 如果您在11月4日19:00之后通过电脑输入过银行卡信息，请核对账单并联系发卡机构
- 被索要时，不要提供Edion礼品卡的卡号或密码
- 如果收到更改密码的邮件，请通过官方网站更改，并解决密码重复使用的问题
另外2项
- 不要理会以Edion名义发来的可疑联系
- 如有担心，请联系官方窗口
- 最后核实
- 截至2026年11月12日
续报计划与核实记录
公司在第二次报告中表示，正在准备向个人信息保护委员会和当地警方提交补充报告，并将在影响范围等新事实得到确认后继续报告。本站于2026年11月12日查看公司的新闻发布列表时，未发现11月9日第二次报告之后的后续通知（11月10日仅更正了服务停止的时间）。
用户今天应该做什么
如果您在11月4日19:00之后通过电脑输入过银行卡信息，请核对账单并联系发卡机构
根据第二次报告，该恶意程序自11月4日19:00刚过起一直在运行。如果您在支付输入画面通过电脑新输入过银行卡信息（最多556条），公司无法排除卡号、有效期、持卡人姓名和安全码已直接泄露给第三方。下单时错误日志中记录的银行卡信息（最多5例）项目相同。公司确认，来自智能手机的操作和输入不受该程序影响。
公司请受影响的人核对银行卡账单，看是否有不认识的扣款，如有，请联系银行卡背面印制的服务窗口。由于安全码可能包含在内，本站建议您，即使尚未出现盗刷，也向发卡机构咨询更换卡号（补发）。在更换卡号之前，这一组合信息仍然可以被使用（原因请参见APORITO网上商店银行卡泄露事件，类似案例请参见PhotoGoods的文章）。
卡号更换后，请更新自动按旧卡号扣费的服务，例如水电煤费和订阅服务。公司表示，已请信用卡公司加强对盗刷的监控。
被索要时，不要提供Edion礼品卡的卡号或密码
根据第二次报告，5,360张Edion礼品卡的卡号、密码和使用记录可能已外泄。仅凭输入卡号和密码即可使用的地方只有公司的网上商店；在实体店必须出示原卡。公司表示，网上商店停止期间，第三方无法仅凭泄露的信息使用。
网上商店恢复后礼品卡如何处理仍在研究中，公司表示确定后将通知受影响的客户。在此之前，凡是以「查询余额」或「换卡」等为由索要卡号或密码的邮件、短信或电话，一律视为假冒。请把实体卡留在自己手中。
如果收到更改密码的邮件，请通过官方网站更改，并解决密码重复使用的问题
公司表示，将依次向登录ID和密码被包含在内的最多1,141位客户发送单独的邮件，要求更改密码。公司说明，由于其网上商店的新登录需要两步验证，目前不是正在发生即时滥用的状况。
模仿这封邮件的假邮件也可能出现（本站的看法）。请在您通过书签或官方应用自行打开的页面上更改密码，不要通过邮件中的链接。如果您在其他服务中使用了与Edion相同的密码，也请一并更改。检查方法请参见如何检查密码是否已泄露；要减少重复使用，密码管理器和多因素验证会有帮助。
不要理会以Edion名义发来的可疑联系
可能外泄的信息包括姓名、电子邮件地址、电话号码、地址、出生日期、订单编号和订单金额。这使得对方可以编造出看似了解您订单的逼真联系，公司请大家当心冒充Edion的可疑邮件、短信和电话。
凡是以「订单取消」「退款」「银行卡重新登记」等为由，引导您点击链接输入银行卡信息或密码的联系，一律视为假冒。请在您自行打开的官方网站或应用上确认。识别假冒的方法请参见什么是网络钓鱼？。
如有担心，请联系官方窗口
通知中列出的联系方式是客户咨询中心（电话0120-77-0095，日本时间9:00至18:00）。请使用官方通知上的联系方式，不要使用邮件或短信中的号码。如果发现不认识的扣款，也可以咨询银行卡背面的服务窗口、警方咨询专线（#9110）或消费者热线（188），均在日本境内。
事件经过（来自Edion的通知）
Edion于2026年11月6日发布了第一次报告，于11月9日发布了第二次报告，均作为新闻发布刊登在其网站上。11月10日，公司更正了第二次报告中紧急停止服务的日期和时间（错误：11月8日星期日；正确：11月7日星期六22:00）。以下内容均来自公司的通知。
11月4日19:00刚过
后来被发现的恶意程序开始在支付相关处理中运行（第二次报告）。11月5日18:30前后
公司确认有外部人员对网上商店所在服务器进行了未经授权访问，部分个人信息可能已外泄（第一次报告）。11月6日
发布第一次报告。发布第一次报告时，公司已向个人信息保护委员会报告。当时公司表示，网上商店仍可照常使用。11月7日22:00
网上商店、Edion官方应用和Edion Smart应用被紧急停止（时间已于11月10日更正）。11月8日21:10
官方应用和Smart应用恢复运行，但功能限于数字会员卡、优惠券显示等。11月9日
发布第二次报告。该报告更正了第一次报告，并报告新发现的事实。网上商店处于停止状态，尚无恢复日期。
- 原因
- 第一次报告：有人从外部利用系统漏洞，对保存日志文件的部分服务器区域进行未经授权访问。第二次报告：外部第三方在支付相关处理中植入恶意程序（途径和方法未公开）
- 日志信息（第一次报告）
- 姓名（汉字和假名）、电子邮件地址、电话号码、出生日期、性别、地址、客户编号（最多4,131位客户）。记录的项目因客户而略有不同
- 订单信息（第一次报告）
- 已记录：姓名、客户编号、订单编号、订单金额。对照多个日志后的最大范围还包括电子邮件地址、电话号码、邮政编码、地址代码（精确到都道府县和市区町村）、信用卡有效期和Edion礼品卡编号（最多9,554位客户）
- 第二次报告新增
- 下单时错误日志中的银行卡信息（卡号、有效期、持卡人姓名、安全码；最多5例）/ Edion礼品卡5,360张（卡号、密码、使用记录）/ 登录ID和密码（最多1,141位客户）/ 通过电脑新输入的银行卡信息（同样四项；最多556条）
- 不包含
- 第一次报告：未确认客户数据库本身遭到未经授权访问和泄露。第二次报告：来自智能手机的操作和支付输入不受该恶意程序影响
- 发布方与联系方式
- Edion Corporation / 客户咨询中心0120-77-0095（日本时间9:00至18:00）
已知与未知的信息
此表基于公司的第一次和第二次报告，截至2026年11月12日。公司给出的许多数字都是最大值（Edion礼品卡的数字为5,360张）。后续通知发布后，我们将更新状态栏。
| 项目 | 通知内容 | 状态 |
|---|---|---|
| 未经授权访问 | 外部人员对网上商店所在服务器进行未经授权访问。11月5日18:30前后确认 | 已确认（公司） |
| 支付相关处理中的恶意程序 | 由第三方植入（篡改）。自11月4日19:00刚过起一直在运行 | 已确认（公司） |
| 姓名、电子邮件地址、电话号码、出生日期、性别、地址、客户编号 | 记录在日志文件中的信息。最多4,131位客户（记录的项目因客户而异） | 可能（公司） |
| 订单编号、订单金额、邮政编码、地址代码 | 对照多个日志后的最大范围。最多9,554位客户。并非每位客户都能完整关联 | 可能（公司） |
| 信用卡有效期 | 对照订单信息时包含的项目之一。也以未与姓名关联的形式记录 | 可能（公司） |
| 卡号、持卡人姓名、安全码（下单时错误日志） | 下单画面发生错误时，输入内容被例外地临时记录到系统日志中的最多5例。更正了第一次报告中卡号不在其中的说法 | 可能（公司） |
| 卡号、有效期、持卡人姓名、安全码（电脑上的新输入） | 自11月4日19:00起。公司无法排除其已直接泄露给第三方。最多556条 | 可能（公司） |
| 来自智能手机的操作和输入 | 已确认不受该恶意程序影响 | 不包含（公司） |
| Edion礼品卡编号 | 对照订单信息时包含的项目之一 | 可能（公司） |
| Edion礼品卡的卡号、密码、使用记录 | 5,360张。第二次报告新增。网上商店停止期间，仅凭泄露的信息无法使用 | 可能（公司） |
| 登录ID和密码 | 最多1,141位客户。更正了第一次报告中登录密码不在其中的说法。新的登录需要两步验证 | 可能（公司） |
| 未与姓名关联的电子邮件、电话号码等的数量 | 第一次报告：「目前正在调查」。第二次报告未提及 | 调查中 |
| 客户数据库本身遭未经授权访问 | 第一次报告：未确认。第二次报告未提及 | 未确认（公司，第一次报告） |
| 入侵的途径和方法 | 第一次报告称利用了「系统漏洞」；没有详细说明 | 未说明 |
| 滥用 | 通知中未发现已确认的滥用。公司提醒当心可疑联系 | 未说明 |
| 个别通知 | 1,141位登录密码涉及的客户通过电子邮件告知。其他项目未说明 | 部分已说明（公司） |
| 网上商店状态 | 自11月7日22:00起停止。尚无恢复日期 | 已确认（公司） |
第一次与第二次报告之间有何变化
公司的说明在第一次报告（11月6日）和第二次报告（11月9日）之间发生了如下变化。
第一次报告（11月6日）
- 可能外泄的信息是日志文件中的一部分数据
- 信用卡号和登录密码不在其中
- 网上商店仍可照常使用（公司称外部安全专家评估认为可以继续运营）
第二次报告（11月9日）
- 发现了新的未经授权访问的痕迹，并发现支付相关处理中被植入恶意程序
- 更正：部分银行卡信息、礼品卡密码和登录密码包含在内
- 11月7日22:00起，网上商店等服务被紧急停止。网上商店尚无恢复日期
项目和数量可能在后续通知中再次变化。公司仍表示影响范围在调查中，因此请以最新通知为准核对本文中的数字。
银行卡、礼品卡和登录信息可以被用来做什么
下表说明这类组合信息通常可能发生的情况。这并不意味着本次事件中发生了这些事情。
| 可能外泄的信息 | 通常可能发生的情况 | 用户应怎么做 |
|---|---|---|
| 卡号 + 有效期 + 持卡人姓名 + 安全码 | 在更换卡号之前，可能在网店被盗刷 | 核对账单，并咨询更换卡号 |
| 礼品卡卡号 + 密码 | 仅凭卡号和密码即可使用之处的滥用。冒充「查询余额」的假冒联系 | 不要提供卡号和密码。等待公司的通知 |
| 登录ID + 密码 | 在其他网站用相同组合尝试登录 | 解决重复使用问题，并使用两步验证 |
| 姓名 + 电话 + 邮箱 + 地址代码 + 订单编号和金额 | 看似了解您订单的逼真假冒联系 | 不要打开链接；在官方网站或应用上确认 |
运营者应复查什么：不在服务器上保存银行卡数据，并不能防止输入画面被篡改
原因尚未详细公开，因此这里只谈已公布的事实所蕴含的内容。
- 「我们的服务器上没有银行卡数据」与「输入画面是安全的」是两回事：公司写道，其银行卡支付支持令牌化，服务器上不留下信息，但在本次事件中，电脑端支付信息输入处理中被植入了恶意程序。一般而言，需要有相应的控制措施，盘点支付页面上运行的脚本，只允许获得授权的脚本，并检测篡改（PCI DSS 4.0的要求6.4.3和11.6.1涉及这方面）。
- 不要把输入内容留在错误日志里：公司写道，下单画面发生错误时，输入内容被例外地临时记录到系统日志中（包括卡号和安全码在内的最多5例）。一般而言，日志的设计应确保绝不写入卡号和安全码，并定期搜索日志，确认没有残留。
- 调查期间发布中间公告时，要区分已确认的事项和尚未检查的事项：本案中，第一次报告称不在其中的项目，经详细分析后被更正。一般而言，调查期间对范围的估计可能发生变化，把两者区分开，可以减轻更正带来的冲击。
信息来源（公开记录）
本文事实基于以下官方通知。对于尚未公开的原因细节，我们不作推测。
- Edion，《关于网上商店遭未经授权访问、个人信息可能外泄的致歉与通知》（2026年11月6日，日文）— edion.co.jp（PDF）
- Edion，《关于网上商店新发现的事态、个人信息可能外泄及服务停止的致歉与通知（第二次报告）》（2026年11月9日，11月10日更正，日文）— edion.co.jp（PDF）
- Edion新闻发布列表 — edion.co.jp
更新记录
2026-11-12：首版。基于Edion的第一次报告（11月6日）和第二次报告（11月9日，11月10日更正了停止时间）。我们当天查看了公司的新闻发布列表，未发现第二次报告之后的后续通知。
延伸阅读
- 另一家家电零售商的事件：Yamada Denki 翻新管理系统遭未经授权访问
- 银行卡信息在支付画面被窃取时：PhotoGoods银行卡信息被盗 / APORITO网上商店银行卡泄露事件
- 密码泄露时：如何检查密码是否已泄露 / 如何选择密码管理器
- 识别假冒联系：什么是网络钓鱼？
- 2026年的其他事件：数据泄露与网络攻击（日本及全球）