受影响的人:GFS 会员网站的会员(包括已退出的人)、申请者以及发送过咨询的人。尤其是提交过身份证件或 My Number 卡图像的人。本文依据 GFS Education 官方通知,不涉及攻击手法。
事态发展中:本文将随机构发布更多信息而更新
- 适用对象
GFS 会员网站的会员(包括已退出的人)、申请者以及发送过咨询的人。尤其是提交过身份证件或 My Number 卡图像的人。
- 已确认的影响范围查看表格 ↓
- 发现
- 被带到外部
- 原因
被列为可能涉及的项目
- 数量(个人信息)
- 姓名、电子邮件地址、出生日期、电话号码、住址
- 与密码相关的信息
另外4项
- 观看和购买记录、咨询内容
- 提交的作业图像
- 身份证件图像
- My Number 卡背面(含个人编号)
- 尚未确认的事项
- 影响的全部范围(调查中)
- 包含哪些身份证件的图像
- 个别通知是否完成
另外2项
- 数据是否已被滥用
- 电话联系方式(通知中没有)
- 现在要做的事查看步骤 ↓
- 更换您的会员网站密码
- 如果您的 My Number 卡背面涉及其中(84人):等待个别通知,并咨询编号的问题
- 如果您提交过身份证件:留意您没有签订的合同和账单
另外4项
- 不要回应以公司或公共机构名义发来的联系(包括通知邮件)
- 查看您的银行卡账单(作为预防措施)
- 如果您担心,请使用官方联系方式
- 如果您输入了信息或汇了款,请立即寻求帮助
- 最后核实
- 截至2026年11月15日
续报计划与核实记录
公司称,仍在调查全部范围。它称,出现新的事实时,将更新其网站,并视需要再次联系受影响的人。我们在2026年11月15日查看了公司的通知,未发现11月13日通知之后的更新。
受影响的人今天应该做什么
更换您的会员网站密码
公司称,与密码相关的信息也可能已泄露,请求您尽快更换密码。它把这些数据描述为保存时受保护的值,但如果您在其他服务中使用同一密码,那些服务也可能受到影响(本站看法)。
请登录会员网站,从右上角的图标打开“账户设置”,在密码一栏使用“更改密码”。请通过您平时使用的书签,而不要通过邮件中的链接。公司还请求您在使用过同一密码的任何其他服务中也更换密码。如需检查是否重复使用,请参见如何检查密码是否已泄露;关于两步登录,请参见设置多重身份验证。
如果您的 My Number 卡背面涉及其中(84人):等待个别通知,并咨询编号的问题
公司称,它保存了部分人提交的 My Number 卡背面图像。由于背面显示12位个人编号,它称该编号已泄露或可能泄露。涉及84人。
公司称,身份证件或个人编号的泄露本身并不会立即导致滥用。它补充说,如果个人编号已泄露且被认为有被滥用的风险,您可以向您居住地的市町村申请变更。请先阅读公司的个别通知,然后咨询您的市町村办事处。国家层面的指引(数字厅 FAQ和 My Number 卡综合网站 FAQ,日文)称,编号原则上终身不变,只有在已泄露且被认为有被滥用的风险时,才可经本人申请或由市町村长主动变更,不能自己选择编号,并应向居住地的市町村咨询。这是一般性信息,与本次事件无关。
通知没有说明卡本身是否需要重新办理。
如果您提交过身份证件:留意您没有签订的合同和账单
公司称,如果身份证件图像被滥用,第三方可能冒充您向各种服务或信用卡申请合同。通知没有说明包含哪些证件(例如驾驶执照)。
如果收到关于您没有签订的合同的通知、邮件或账单,请通过该企业的官方联系方式确认,必要时咨询警方或消费者中心(日本的消费者热线 188)。按证件类型的应对步骤,请参见驾驶执照或身份证件泄露时应怎么做。
不要回应以公司或公共机构名义发来的联系(包括通知邮件)
公司称,泄露的信息可能被用来发送冒充该公司或公共机构的可疑邮件或电话。如果您收到不认识的联系,不要打开网址,不要打开附件,也不要提供个人信息。
公司的个别通知会发到您注册的电子邮件地址。假冒消息也可能以同样的方式到达(本站看法),所以不要打开邮件中的链接;请从您自己打开的会员网站更改密码或进行核实。区分方法请参见什么是网络钓鱼?。
查看您的银行卡账单(作为预防措施)
公司称,它以部分隐去的形式保存卡号,未确认完整卡号泄露。通知没有说仅因本次事件就需要重新办理银行卡。作为预防措施,请检查您在会员网站上使用过的银行卡的账单,看有没有不认识的扣款。
如果您担心,请使用官方联系方式
通知中的联系方式是 GFS Education 客户支持台的电子邮件地址:privacy(at)gfse.jp(发送时把“(at)”换成“@”)。通知没有给出电话号码或服务时间。
请使用官方通知中的联系方式,而不要使用电子邮件或短信中写的联系方式。
如果您输入了信息或汇了款,请立即寻求帮助
如果您在可疑链接上输入了个人信息或汇了款,请立即联系您的银行或发卡公司。您也可以拨打警察咨询专线(日本的 #9110)或消费者热线(188)。如需检查账户是否有可疑活动,请参见如何检查是否遭到未经授权访问。
发生了什么(依据 GFS Education 的通知)
2026年11月13日,公司发布了关于 GFS 会员网站遭未经授权访问导致个人信息泄露的通知。以下内容均为公司的说法。
11月9日
公司发现服务器负载异常,展开调查后发现第三方未经授权访问。它立即切断了通信,并采取措施阻止损害扩大。调查中发现
确认图像上传功能的缺陷被利用,数据库中的信息和保存在服务器上的图像文件被带到了外部。公司仍在调查全部范围。应对
阻断了来自攻击者的通信,隔离了恶意程序,降低了服务器权限,并更改了数据库密码。修复了造成问题的程序缺陷。已向警方报案,并向个人信息保护委员会报告。11月13日
发布了通知。称将通过注册的电子邮件地址,依次逐一联系受影响的人。
- 发现
- 2026年11月9日(因负载异常展开调查,发现第三方未经授权访问)。通知没有说明访问是何时开始的
- 受影响的人
- 约11万人的个人信息。其中含有个人编号(My Number)的信息:84人
- 已泄露或可能泄露的信息
- 姓名、电子邮件地址、出生日期、与密码相关的信息(保存时受保护的值)、电话号码、住址、观看和购买记录、咨询内容、提交的作业图像、身份证件图像。84人的 My Number 卡背面图像
- 未包含
- 完整信用卡号(以部分隐去的形式保存;目前未确认完整卡号泄露)
- 原因
- 图像上传功能的程序缺陷被利用,恶意程序被放置并运行;服务器访问权限设置的缺陷
- 联系方式
- 客户支持台 privacy(at)gfse.jp(未给出电话号码或服务时间)
已知与未知的内容
本表依据公司11月13日的通知,截至2026年11月15日。公司把下列个人信息列为已泄露或可能泄露的信息,并称具体项目因人而异。有消息时,我们会更新状态栏。
| 项目 | 通知内容 | 状态 |
|---|---|---|
| 发现 | 11月9日,因负载异常展开调查后发现 | 已确认(公司) |
| 访问何时开始 | 未说明 | 未说明 |
| 被带到外部 | 图像上传功能的缺陷被利用,数据库信息和图像文件确认被带到外部 | 已确认(公司) |
| 数量(个人信息) | 约11万人(会员和前会员、申请者、发送过咨询的人) | 有可能(公司;项目因人而异) |
| 姓名、电子邮件地址、出生日期、电话号码、住址 | 属于已泄露或可能泄露的信息 | 有可能(公司) |
| 与密码相关的信息 | 保存时受保护的值。可能已泄露 | 有可能(公司) |
| 观看和购买记录、咨询内容 | 属于已泄露或可能泄露的信息 | 有可能(公司) |
| 提交的作业图像 | 属于已泄露或可能泄露的信息 | 有可能(公司) |
| 身份证件图像 | 包含在内。具体是哪些证件未说明 | 有可能(公司);类型未说明 |
| My Number 卡背面(含个人编号) | 84人。12位个人编号已泄露或可能泄露 | 有可能(公司) |
| My Number 卡正面 | 未说明 | 未说明 |
| 信用卡号 | 以部分隐去的形式保存;不保存完整号码。未确认完整卡号泄露 | 未确认(公司) |
| 原因 | 图像上传功能的程序缺陷被利用,恶意程序被放置并运行;服务器访问权限设置的缺陷 | 已确认(公司) |
| 滥用 | 通知中未发现已确认的滥用。称可能出现可疑联系和冒充 | 未说明 |
| 影响的全部范围 | 仍在调查中 | 调查中(公司) |
| 主管部门和警方 | 已向个人信息保护委员会报告;已向警方报案 | 已完成(公司) |
| 个别通知 | 公司称将通过注册的电子邮件地址依次联系,并针对每个人的数据定制。未说明是否已开始 | 计划中(公司;开始时间未说明) |
已泄露或可能泄露的信息可能带来什么
- 使用该公司或公共机构名义的逼真邮件和电话
- 利用身份证件图像向其他服务或发卡机构申请合同
- 在使用同一密码的其他服务上被未经授权登录(本站看法)
- 对于 My Number 卡背面涉及其中的人,个人编号被他人知晓
通知称未确认的内容
- 完整信用卡号的泄露
- 滥用(通知没有说已确认)
面向运营者:如何保管提交的证件图像
原因只公布了概要,所以本节只涉及已公布的事实所支持的内容。
- 不要无限期地把图像保存在服务器上:公司写道,提交的图像包括 My Number 卡背面,并且它把这些图像保存在了系统中。为身份证件图像设定保存期限和范围,并在不再需要时删除,一般来说是有效的。日本法律也限制了处理 My Number 的目的和范围。
- 检查上传功能和服务器权限:原因是图像上传功能的缺陷和服务器访问权限设置的缺陷。验证上传文件的类型和保存位置、不给它们执行权限,并把服务器权限保持在最低限度,一般来说是有效的防护措施。
参考来源(公开记录)
本文事实依据以下官方通知。对于未公布的原因,我们没有猜测。
- GFS Education Inc.,《关于 GFS 会员网站遭未经授权访问导致个人信息泄露的致歉与通知》(2026年11月13日,日文)— gfse.jp
- 变更个人编号的一般条件(国家层面的指引):数字厅,My Number FAQ — digital.go.jp / My Number 卡综合网站,FAQ(日文)— kojinbango-card.go.jp
更新记录
2026-11-15:首次发布。依据 GFS Education 11月13日的通知。我们当天查看了公司的通知,未发现后续信息。
延伸阅读
- 身份证件泄露时:驾驶执照或身份证件泄露时应怎么做 / Lashinbang 事件(身份证件和银行账户信息)
- 识别假冒联系:什么是网络钓鱼?
- 检查密码和两步登录:如何检查密码是否已泄露 / 设置多重身份验证
- 账户上的可疑活动:如何检查是否遭到未经授权访问
- 2026年的其他事件:数据泄露与网络攻击(日本及海外)