适用对象：Lindt日本网上商店及官方应用的会员，以及在外部电子商务平台上运营会员网站的人员。本文基于Lindt & Sprüngli Japan的官方公告及承包商发布的通知，不涉及攻击或诈骗手法。
事件仍在发展：本文将随机构发布更多信息而更新
截至2026年10月26日尚不清楚
- 攻击方法的细节（公司表示不会披露）
- 外部安全公司的调查结果
- 密码所用的哈希方法
- 网上商店重新开放的时间及更改密码的方式
- 防止再次发生的具体措施
公司在10月23日的通知中表示，将及时在通知页面发布任何新信息。本站于10月26日查看该页面时，尚未新增任何内容，也未发布后续通知。
Lindt Japan会员今天应该做什么
确认您是否受影响：查看10月26日起的电子邮件
受影响的数据为在网上商店和官方应用注册的会员数据。截至数据被获取的2026年10月18日0:16，已取消会员资格的人不在范围内。
公司表示，将从2026年10月26日（星期一）起向受影响会员的注册邮箱发送电子邮件；对于未收到邮件的人，通知页面将作为告知方式。如果您不确定某封邮件是否真实，请不要点击其中的链接，而是自行打开官方网站上的通知。
收到重新开放通知后，再更改Lindt密码本身
网上商店暂停期间，无法更改Lindt密码。公司表示计划在网上商店重新开放时要求会员更改密码，并将在通知页面说明具体方法。
如果电子邮件或短信催促您通过链接立即更改密码，请不要使用该链接。请在您自行打开的官方网站上核实操作步骤。
对于声称来自Lindt的电子邮件、短信、电话或信件，不要按照其中的指示操作
公司警告，外泄数据可能被用于冒充该公司或其网上商店发送可疑的电子邮件、短信、电话或信件。公司表示，绝不会通过电子邮件或电话索取密码或信用卡信息。
由于地址和电话号码也已外泄，虚假联系不一定只通过电子邮件进行。如果有人在电话中提出要求，请挂断，并拨打官方通知中的号码回拨（参见什么是网络钓鱼？）。公司请会员将可疑联系向通知页面上的联系方式报告。
为什么出生日期、注册门店和最后登录时间很重要
除姓名、地址和电话号码外，此次外泄还包括出生日期、会员注册的常用门店、注册日期和最后登录日期。综合这些信息，就有可能编写出准确提及您的入会时间和所用门店的消息。但能准确说出这些细节，并不能证明消息是真实的。
事件经过（来自Lindt Japan的通知）
2026年10月23日，Lindt & Sprüngli Japan K.K.在其官方网站发布了《关于因承包商遭未经授权访问而导致个人数据泄露的致歉及通知》。除另有说明外，以下内容均来自该通知。公司表示，所述事实基于承包商的报告，并可能随调查进展而变化。
2026年10月17日23:02至10月18日0:16（日本时间）
承包商服务器遭外部人员利用其所用软件的一个漏洞访问，网上商店与官方应用共用的会员账户数据被获取（承包商报告）。10月19日（星期一）
承包商向公司报告了此事件。承包商已确认并阻断了入侵路径，并针对被利用的漏洞采取了措施（承包商报告）。据承包商自身的通知，其在系统监控中于约15:30发现了可疑访问。10月21日（星期三）16:00
为防止进一步损害，网上商店暂停服务。10月23日（星期五）
公司在官方网站公布了此事件。会员专线电话于11:00开通。公告发布时，公司表示已与承包商共同向日本个人信息保护委员会报告，并且承包商正在与警方协商。10月26日（星期一）
计划开始向受影响会员的注册邮箱发送电子邮件（公司）。
- 范围
- 在网上商店和官方应用注册的会员数据（一个共用会员账户）。截至10月18日0:16已取消的会员不在范围内
- 记录数
- 3,147,469
- 项目
- 会员ID、姓名、电子邮件地址、邮寄地址、电话号码、出生日期、性别、电子报设置、注册门店
- 密码
- 登录密码（以哈希形式存储）
- 其他会员数据
- 姓名读音（假名注音）、注册日期和时间、最后登录日期和时间等
- 未包含
- 信用卡等支付数据。网上商店不存储卡片数据
- 滥用情况
- 未确认泄露数据被滥用（截至10月23日11:00）
- 原因
- 利用承包商服务器上所用软件的一个漏洞。攻击细节未予披露
- 联系方式
- 会员专线0120-713-065（含周末及节假日9:00至21:00），电子邮件privacy-incident-jp@lindt.jp。官方网站上的联系表单也可使用。公司表示，咨询回复可能来自通知中列出的、不属于lindt.jp的发件地址
与承包商通知的关系
为网上商店系统提供服务的承包商（电子商务平台提供商）也于10月23日在其官方网站公布，其一家客户门店（未点名）的会员数据共3,147,469条外泄。该承包商表示，未发现有其他门店的数据遭到同样方法的访问。在10月25日的通知中，该承包商解释称，10月21日检测到的另一起未经授权访问事件，以及10月21日至22日全平台范围的长时间维护，均与本次事件无关。
联系方式
电子邮件、邮寄地址、电话号码
个人属性
姓名、姓名读音、出生日期、性别、会员ID
登录与使用数据
哈希密码、注册门店、入会日期、最后登录
↓ 通常可能发生的情况
了解您个人信息的虚假消息
冒充密码重置、道歉或积分通知
用重复使用的密码登录其他服务
如果密码被破解
↓ 预防措施
忽略指示，在官方网站核实，并更改重复使用的密码
已知与未知的信息
基于公司2026年10月23日的通知及承包商的通知，截至2026年10月26日。状态栏将随后续通知的发布而更新。
| 项目 | 公布内容 | 状态 |
|---|---|---|
| 会员ID、姓名、电子邮件、地址、电话、出生日期、性别 | 作为会员数据外泄 | 外泄已确认（公司） |
| 电子报设置、注册门店 | 作为会员数据外泄 | 外泄已确认（公司） |
| 姓名读音、注册日期、最后登录等 | 作为"其他作为会员数据管理的信息"外泄 | 外泄已确认（公司） |
| 登录密码 | 外泄；以哈希形式存储 | 外泄已确认（公司） |
| 哈希方法 | 未说明 | 未说明 |
| 信用卡等支付数据 | 未包含；不存储卡片数据 | 未包含（公司） |
| 记录数 | 3,147,469条；截至10月18日0:16已取消的会员不在其内 | 已确认（公司） |
| 未经授权访问的时间 | 10月17日23:02至10月18日0:16 | 已确认（公司，依据承包商报告） |
| 原因 | 利用承包商服务器上所用软件的漏洞进行未经授权访问 | 已确认（公司，依据承包商报告） |
| 攻击方法等细节 | 为防止再次发生和进一步损害而不予公开 | 未披露（公司） |
| 被利用软件的名称 | 通知中未提供 | 未说明 |
| 滥用或次生损害 | 未确认（截至10月23日11:00） | 未确认（公司） |
| 对其他门店的影响 | 未发现其他门店数据遭同样方法访问 | 未确认（承包商） |
| 外部安全调查 | 由承包商计划进行 | 调查中 |
| 对会员的个别通知 | 自10月26日起发送电子邮件至注册地址 | 已确认（公司） |
| 网上商店重新开放与更改密码 | 日期将在通知页面公布；重新开放时将要求更改密码 | 未说明（日期未定） |
姓名、地址、出生日期和哈希密码一同外泄可能带来什么
一般而言，当联系方式与个人属性一同外泄时，就容易编写出让收件人误以为真实的消息。哈希密码不能直接用于登录，但简单或常见的密码有时可能被破解（本次事件中并无此类情况被公布）。
通常可能发生的情况
- 发送"您需要更改密码"的电子邮件或短信，并引导至虚假登录页面
- 冒充道歉或积分奖励的消息，索取卡片信息
- 在重复使用同一密码的情况下，用破解的密码尝试登录其他服务
您可以做什么
- 在您自行打开的官方网站上核实任何通知
- 立即在您重复使用过密码的其他服务中更改密码
- 绝不向任何索要密码或卡号的人提供这些信息
同期另一起外泄姓名、地址和哈希密码的事件是Furusato Choice数据泄露事件。如需检查重复使用的密码是否已泄露，请参见如何检查密码是否已泄露。
面向在外部电子商务平台运营会员网站的人员
所涉及的软件和方法尚未披露，因此本节仅限于已公布的事件经过。这并非对承包商应对情况的评估。
规划即使在商店关闭时，会员也能更改密码的方式
在本案中，网上商店与官方应用共用同一会员账户，暂停商店也阻止了密码更改。公司计划在重新开放时要求更改密码。请提前确认，即使停止销售，您的平台是否允许单独保留密码重置或注销现有会话的功能。这样可以在泄露发生后立即保护会员。
在签订合同阶段，约定承包商报告事件后的处理方式
本案中，承包商在发现访问当天（10月19日）即报告了事件，随后公司暂停了商店（10月21日），公布事件并开通专线（10月23日），并开始向会员发送电子邮件（自10月26日起）。对于承包商方面的事件，在合同或应急手册中明确由谁决定暂停商店、由谁起草公告、由谁向监管机构报告（本案为共同报告），可以缩短决策所需的时间。
不保留已离开会员的数据
据公司称，数据被获取时已取消会员资格的人不在范围内。删除已离开会员的数据，可以使任何泄露的规模相应缩小。请确定何时删除已取消或长期不活跃会员的数据，并检查承包商系统中的数据是否确已删除。
以泄露后难以破解的形式存储密码
公司表示密码以哈希形式存储。基本要求是：绝不以明文或可逆形式存储会员密码，并使用bcrypt或Argon2等慢速加盐哈希算法。如果您使用外部平台，请了解其所用的方法。参见使用哈希和盐存储密码。
信息来源（公开记录）
本文事实基于以下公开信息。尚未披露的攻击细节及原因未作推测。
- Lindt & Sprüngli Japan K.K.，《关于因承包商遭未经授权访问而导致个人数据泄露的致歉及通知》（2026年10月23日，日文，2026年10月26日查看）— lindt.jp
- 承包商（电子商务平台提供商），《重要：关于因未经授权访问而导致个人数据泄露的致歉及通知（第一次报告）》（2026年10月23日，日文）— 承包商通知
- 同一承包商，《关于PHP漏洞应对措施的长时间维护及未经授权访问事件的致歉与说明》（2026年10月25日，日文）— 承包商通知
更新记录
2026-10-26：首版，基于Lindt & Sprüngli Japan于10月23日发布的通知，以及承包商于10月23日和25日发布的通知。将在调查后续或网上商店重新开放的信息发布时更新。
延伸阅读
- 同期会员数据泄露事件：FANCL与Attenir网上商店泄露事件 / Furusato Choice数据泄露事件
- 同一周的食品品牌事件：Fujicco活动报名数据可能泄露
- 防范虚假邮件：什么是网络钓鱼？
- 密码：如何检查密码是否已泄露 / 如何选择密码管理器
- 其他2026年事件：数据泄露和网络攻击事件一览（日本及全球）