IDARE数据泄露（129,659人）：余额、交易记录及部分身份证件号码外泄——用户应当怎么做

所有在2026年9月27日前注册IDARE的人都受影响，包括已注销账户的人。具体外泄哪些项目取决于每个人如何使用该服务，公司表示将通过电子邮件逐一通知本人。

请不要通过该电子邮件中的链接进行操作。请自己打开IDARE应用，或通过书签或搜索访问官方网站。咨询请通过应用内的“联系”或官网的联系表单进行。

公司提醒，可能会有冒充公司或IDARE的可疑电子邮件、短信和来电。公司表示，其从不会通过电子邮件、短信或电话索要密码、PIN码、安全码或多重身份验证码。

由于余额和交易记录已外泄，一条假消息可能会说出你真实的余额或近期消费。准确的细节并不能证明消息是真实的。请不要打开意外消息中的链接或附件，也不要输入个人信息（如何识别诈骗：什么是网络钓鱼？）。

据公司称，登录需要使用你注册的方式进行多重身份验证（在密码之外的第二道验证）。将该验证码告诉他人，会使这一保护失效。

对部分人而言，用于充值的信用卡卡号前6位和后4位，以及已注册银行账户的后3位也已外泄。信用卡卡号的前6位通常可以显示发卡机构及卡组织。

这使得看起来很真实的消息成为可能，例如“检测到您尾号××××的卡存在可疑使用”。请不要使用消息中的电话号码或链接。请通过银行卡背面的号码、银行存折，或银行或信用卡公司的官方应用与其联系。公司表示，其不持有完整卡号、有效期、安全码或PIN码，因此这些信息无法被获取。

公司表示，截至10月13日尚未确认欺诈性交易，余额已受到保护；其10月21日的第二份报告截至该日的表述相同。公司称，如因余额被未经授权使用等造成的损失，将依据其补偿政策予以赔偿，并且充值和付款照常进行。尽管如此，仍值得在应用中查看一次交易记录，看看是否有不认识的付款。

IDARE帮助中心关于补偿政策的页面称，如果你发现欺诈性使用，应先在应用中锁定银行卡，然后在应用内的“联系”中选择“不认识的交易”，并提供日期和时间、金额及商户信息。补偿仅涵盖在损失发生之日起30天内向公司及警察局报告的损失。

同一页面称，由用户本人进行的交易（包括在第三方胁迫下进行的交易）不在赔偿范围内。请不要因为来电或消息的指示而自行转账或付款。

对部分人而言，为身份验证提交的姓名、地址、性别和使用目的，以及身份证件号码已外泄。通知并未说明这些号码来自哪些证件（例如驾驶执照）。公司表示，身份证件及人脸图像，以及个人编号（My Number，日本个人编号）未外泄。

即使没有图像，证件号码与姓名、地址和出生日期相结合，也可能被用于以他人名义提出的申请。作为预防，可考虑向日本的信用机构（CIC、JICC以及全国银行个人信用信息中心）登记本人声明。费用、提醒的有效期限以及如何查询自己的信用档案，参见如果你的日本驾驶执照数据外泄：应当怎么做。

此外，自2027年4月起，开设银行账户等服务的在线身份核验原则上将停止接受证件照片，转而读取IC芯片，这需要实体卡及其PIN码（日本的在线身份核验转向读取IC芯片）。

在2021年10月前注册的人中，曾为使用LADDER（2021年10月停止服务的借贷服务）而填写年收入、工作单位等信息的人，这些数据也已外泄。

对于基于你的收入或工作单位提出的贷款或经济援助邀约，请不要回应。与本次事件分开来看，Fivot曾于2026年4月7日发布声明，警告有人冒用其员工或服务名义进行虚假贷款招揽。声明中公司表示，其从不会向客户寄送设备，要求客户输入并寄回个人或银行信息，并列出fivot.co.jp、idare.jp和flex-capital.jp为其官方网站。

如果你因为可疑消息而转账、透露了验证码或PIN码，或输入了银行卡信息，请在IDARE应用中锁定银行卡，并同时与你的信用卡公司或银行联系。

在日本，你还可以拨打警察咨询热线（#9110）或消费者热线（188）。如果你在虚假页面上输入了密码，请立即更改，同时更改你使用同一密码的其他服务的密码（如何选择密码管理器）。

工单和聊天系统等客户支持工具，通常与会员及交易界面相连，以便员工了解客户的情况。首先，请为每个外部工具列出它能读取哪些字段，以及它使用哪些凭证（API密钥或数据库账户）。

对于日常客户支持无需批量读取的数据，例如身份证件号码或交易记录，应阻止该工具读取，或将访问限制为逐条查询。

公司表示，身份证件及人脸图像、登录密码等类似数据无法被获取，原因是这些数据在管理上使被入侵的系统无法读取，或根本不由公司持有。

将敏感数据保存在权限独立的单独存储区中，可以限制一个系统被入侵时可能被获取的内容。不持有你不需要的数据，例如完整卡号，是最可靠的保护方式。

本次事件涉及为2021年10月停止服务的借贷服务而填写的年收入和工作单位信息。通知未说明为何仍保留这些数据，而借贷记录可能受法律规定的保存要求约束。在10月21日的第二份报告中，公司称将在11月30日前为法律不要求保存的各项数据（如电子邮件地址和手机号码）设定保存期限，并在账户注销后定期删除。

一般而言，应将已停止服务的数据区分为法律要求保存的部分和不要求保存的部分；删除不需要的数据，并将需要保存的数据转移至日常系统无法读取的地方。

通知称，未经授权的访问在8月10日至9月27日期间发生了多次。公司的防范措施包括持续监测软件漏洞信息，以及监测和警报访问日志；其10月21日的第二份报告称，将在10月30日前设置能够发现对客户数据的批量或异常访问并立即发出警报的监测。

一个简单的第一步是：为外部工具使用的每个数据库账户或API密钥设定每小时读取记录数的上限，并在读取量超过平时数倍时提醒员工。同时，订阅你所使用外部工具的供应商公告和安全通知，以跟踪相关漏洞信息。