安全指南

2026年日本四起重大数据泄露事件（KDDI、Aflac、数字厅、Sakura）：入侵途径各不相同，但修复方向相同——加强检测

根据KDDI、Aflac Japan、数字厅和Sakura Internet各自的官方披露，比较2026年的数据泄露事件：入侵途径各不相同，但修复方向都是加强检测。

发布于 2026-09-11 更新于 2026-10-11 最后核实 2026-09-19 5 分钟阅读

本页目录

适用对象：负责保护服务或内部系统的人员，以及想了解这些事件真实情况的读者。本文以各机构自身的官方披露作为主要信息来源，不包含任何攻击技术细节。

首先：您是否受到影响？

如果您是在新闻中看到这些机构的名称后来到这里，问题在于您是否在影响范围内以及应如何应对。本节回答这一问题；文章其余部分面向负责防护系统的人员。影响范围数据均来自各机构自身；所列行动是客户或员工今天即可采取的措施。

如果您可能在影响范围内——各案例今天应采取的措施

KDDI（售予ISP的邮件平台）: 适用对象：邮箱托管于受影响ISP的任何人（您的ISP会与您联系）。今日行动：ISP已对密码进行强制重置，因此真正需要做的是更改您曾在其他服务中重复使用该密码的所有服务。日本总务省表示，约762万名用户的邮箱内容可能被查看，因此请将仍保存在该邮箱中的密码通知和一次性验证码视为已暴露，并重新申请。
Aflac生命保险日本公司: 适用对象：保单持有人和代理店。今日行动：约22万人的银行转账信息在影响范围内。请检查您的账户活动，如有异常，请同时联系银行和该公司。对于声称来自该公司的任何消息，请自行前往官方网站，而不要使用消息中的链接或电话号码。
数字厅（GSS）: 适用对象：政府工作人员及参与这些系统工作的承包商；该机构表示不包含一般公众的数据。今日行动：应警惕基于姓名、地址和电话号码的冒充攻击（参见VPN文章）。
Sakura Internet: 适用对象：任何拥有会员注册账户的人，无论是否为托管客户。今日行动：更改任何重复使用的密码；如果您仍在使用注册时发放的初始密码，请今天就更改（步骤参见托管服务商泄露应对文章）。

如果您负责保护某项服务，则下面的内容更为重要：四个入口点之间没有共同之处，但整改计划指向的是同一方向。

四个案例对比（依据各机构披露）

机构（披露时间）	影响范围（披露内容）	入侵途径（披露内容）	从开始到发现
KDDI（6月23日起）	已确认暴露：12,231,954人的电子邮件地址，7,616,173人的密码	系统中集成的第三方软件漏洞——发现时供应商并不知情	5月16日开始 → 6月17日确认（约一个月）
Aflac生命保险日本公司（6月30日起）	约440万名客户（其中约22万人有银行信息），约4万家代理店	“网上咨询”和“Yorisou Net”中对访问和数据查询方式的控制不足	首次泄露6月10日 → 6月25日发现（15天）
数字厅（9月11日）	可能暴露约24.6万条员工等人员的记录	VPN设备漏洞（据大臣称已为人所知；据该机构问答，CVSS为“中”）	公告中未说明开始时间；据报道，大批量访问始于5月下旬 → 6月25日发现
Sakura Internet（8月17日起）	可能在范围内的1,360,563个会员账户，951个托管账户	为避免引发模仿攻击而不予公开	销售系统：2023年4月至2026年3月 → 2026年8月9日通过另一异常发现（约三年）

请勿将此表格理解为对处理状况的排名

此表中的数据可信度并不相同。KDDI和Aflac报告的是已确认暴露的数据；数字厅报告的是可能暴露的数据；Sakura Internet报告的是可能在范围内的总数。各系统不同，所持有的数据类型也不同。

按人数排名毫无意义，本站也不做此类排名。值得比较的是各机构表示从中吸取了什么教训，即其整改计划。

各机构披露的内容

KDDI：面向互联网服务提供商的邮件系统

事件概况: 未经授权访问了KDDI为ISP开发的邮件平台（账户管理、收发邮件、网页邮件及邮件存储集成于同一系统）。KDDI表示其自有的au邮件及相关服务运行于独立设备上，未受影响
原因: “利用了作为本系统一部分安装的第三方软件中的漏洞”。确认时（6月17日）的情况是“软件供应商未察觉的漏洞”
影响范围: 首次通告（6月23日）称最多可能涉及1422万人。7月6日的报告（7月21日更正）确认12,231,954人的电子邮件地址被暴露，其中包括7,616,173人的密码
监管行动: 2026年7月29日，总务省就此事件发布了关于保护通信秘密的指导意见。其发布内容称“约762万名用户的邮箱内容被发现处于可被查看的状态”
应对措施: 与ISP协调更改密码，包括ISP对不常用账户进行强制重置。到6月21日，已在所有控制外部通信的服务器上部署EDR。今后将转向更安全的通信标准

Aflac生命保险日本公司：客户网络服务和代理店工具

事件概况: 未经授权访问了代理人用于远程保单设计和申请的“网上咨询”，以及保单持有人网络服务“Aflac Yorisou Net”。Aflac表示，其确认其他系统未发生类似泄露
原因（7月31日结果）: “对本次攻击中使用的访问和数据查询方式的控制不足”。虽然存在检测和阻止功能，但“由于访问方式与正常使用时相同，因此无法立即将其识别为未授权访问”。此外，“缺乏对短时间内大量数据查询进行监测和控制的功能”
此前的措施: 设计阶段曾进行安全审查，发布前也进行过渗透测试，但“未能预见到本次攻击所用方法的风险”
影响范围: 约440万名客户（其中约22万人含保费支付银行信息）及约4万家代理店。我的号码（My Number）、卡信息和电子邮件地址未包含在内

数字厅：政府解决方案服务（GSS）

事件概况: 未经授权访问了各省厅工作人员共用的工作环境。该机构表示，已确认不包含一般公众的个人数据
原因: “第三方利用网络连接设备（VPN）中的漏洞进入系统”。产品及漏洞编号未披露
后续情况（记者会概要）: 在数字厅公布的9月11日记者会概要中，数字大臣表示“我们知道该漏洞，这是一个已知漏洞”，该漏洞“未被评为高度紧急”，正按照其严重程度评级进行处理，并且“按顺序应用补丁的工作正在进行，我们在此期间遭到了入侵”；补丁现已应用。该机构的问答（9月12日更新）中注明CVSS为“中”。5月下旬开始的大批量访问信息来自报道，未出现在概要、公告或问答中
发现经过: 6月25日，发现使用维护运营商账户访问服务器文件的大批量访问。详情参见VPN设备是勒索软件的主要入口

Sakura Internet：销售管理系统和共享托管

事件概况: 未经授权访问了保存合同记录的销售管理系统，以及部分共享托管环境。该公司表示，尚无明确依据将两者联系起来
持续时间: 未经授权访问销售管理系统的时间为“2023年4月至2026年3月之间”。2026年8月9日，通过托管维护服务器上的异常情况被发现
原因: 入侵路径为避免引发模仿攻击而不予公开。该公司还披露了部分初始密码未经哈希处理。客户应采取的措施参见托管服务商遭入侵时应如何应对

四家机构共同的整改措施：加强检测

按攻击者的入侵方式来比较，这四个案例没有共同之处。但将各机构为自身制定的整改计划放在一起看，相同的词语反复出现。

3 / 4

提出加强检测或监测的机构（KDDI、Aflac、Sakura）

15天

Aflac：从首次泄露到发现

约1个月

KDDI：从开始到确认（未知漏洞）

约3年

Sakura：销售系统访问持续的时间

各机构提到的检测措施

KDDI：为加强对未授权访问的检测，在所有控制外部通信的服务器上部署EDR（6月21日完成）
Aflac：加强对应用程序和安全设备中大批量访问的监测和控制
Sakura Internet：扩大监测和检测范围以实现早期发现，并审查安全日志的范围、保存期限和分析方式

数字厅是检测奏效的案例

引起警觉的是使用维护运营商账户进行的大批量文件访问
入侵未能被阻止，但数据量异常使该机构得以确定影响范围、暂停账户并切断通信
其整改措施——“审查漏洞管理”和“改善外部连接”——侧重于防止入侵

正常使用

形似正常使用的攻击

数量

每人几条记录，还是数万条？

速度

人工速度，还是机器速度？

时间跨度

是否有足够久远的日志可供回溯？

当攻击呈现出正常使用的形态时，无法仅凭执行的操作来区分它们。剩下的唯一信号是数量和时间。

Aflac指出的原因之一是“缺乏对短时间内大量数据查询进行监测和控制的功能”。请为每个返回客户数据的API或页面设置每次请求和每小时的记录数上限，并在使用量接近上限时向人员发出告警。即使持有有效登录凭证，短时间内拉取数万条记录也不符合人们正常使用系统的方式。如何决定统计什么、按谁统计以及上限设多少，参见速率限制与滥用控制。

可以在三个层面进行测量。

在应用层：在搜索、列表和导出路径中按账户统计记录数；这是唯一能知道谁拉取了多少数据的层面。
在前端：nginx 的 limit_req 或 CDN 速率限制规则，按端点限制每秒或每分钟的请求数。
在平台层：Google Workspace 的告警中心以及 Microsoft 365 的审计日志和告警策略，可对大批量下载和导出发出通知（具体功能取决于您的套餐）。

从一个端点开始：选择返回记录最多的那个。为其设置每个账户每小时的上限，并在达到该上限的80%时告警。一个能真正通知到人员的端点，胜过一个仍在设计中的完整方案。

在每次查询时检查该用户是否有权查看该记录

Aflac整改计划的第一项是加强“访问时的认证和数据查询时的授权”。用户能否登录（认证）和其是否有权查看某条特定记录（授权）是两个不同的问题，如果不逐条记录检查授权，已正常登录的用户就可能查询他人的数据。两者的区别参见认证与授权，经典缺陷参见IDOR。

保留足够长时间的日志，以便需要时回溯

在Sakura Internet的案例中，对销售管理系统的访问在被发现前约三年就已开始。如果发现时该期间的日志已不存在，您便无法说明发生了什么，也无法说明什么没有发生。Sakura同样列出了对日志范围和保存期限的审查。如果存储只能保留几周，较现实的做法是至少将认证日志和数据查询日志保留更长时间。

一个可供参考的数字：支付卡行业标准（PCI DSS）要求保留12个月，其中最近3个月的日志须可立即调取。即使不涉及支付，这也是一个可用的起点。

至少应保留三类日志：认证（成功与失败）、数据查询与导出，以及管理操作。仅靠Web服务器访问日志无法告诉您谁拉取了多少记录。

假定存在未知漏洞，并规划好入侵后的发现能力

KDDI案例中被利用的缺陷，在被发现时连供应商本身都不知道，当时并不存在修复方案。由于即使完美打补丁也无法阻止某些入侵，在服务器上发现可疑活动和外发流量的能力——KDDI在每台服务器上部署的EDR就是一个例子——才是剩下的保障。

同时坚持为面向互联网的设备打补丁

这并不意味着防止入侵不重要。数字厅的案例是通过VPN设备漏洞进入的。不让已知漏洞长期敞开，仍然是最具成本效益的防御手段。关于VPN设备，参见VPN设备是勒索软件的主要入口；关于工作排序，参见使用CVSS、EPSS和KEV进行优先级排序。

本站观点：渗透测试只能发现有人想到的方法

在本站看来，Aflac调查结果中最重要的一句话不是原因本身，而是这句：“我们在系统设计阶段进行了安全审查，并在系统发布前进行了渗透测试，但未能预见到本次攻击所用方法的风险。”这并非措施未落实，而是已经落实，只是攻击使用了无人预见的方法。任何组织都可能遇到这种情况。

发布前的检查只能测试测试人员想到的方法。因此，剩下的就是在生产环境中发现异常的数量、速度和时间。四家机构中有三家在计划中提到了检测，这表明它们各自在自己的事件中都碰到了同一限制。

审查和测试减少入侵途径；检测缩短发现入侵所需的时间。两者作用不同，缺一不可。

无论属于哪个案例，每位个人都应做到的三件事

对您而言，真正的风险不仅是泄露本身，更是随之而来的后续诈骗消息

（1）不要重复使用密码。KDDI案例中已确认密码暴露，而重复使用的密码会让攻击者进入您的其他账户（密码管理器是切实可行的解决办法）。

（2）不要使用冒用该机构名义的消息中的链接或电话号码。数字厅和Sakura Internet都明确提醒过冒充其身份的消息，Aflac也要求收到可疑联系的人拨打该公司自己的电话。请自行前往官方网站进行核实。

（3）如涉及银行信息，请检查账户活动。Aflac表示，正就账户信息暴露的保单持有人与相关银行合作。如发现异常，请同时联系银行和该机构。

信息来源

以上事实均来自各机构的官方披露。不包含未公开产品名称或入侵路径的推测。

KDDI株式会社，关于ISP邮件系统未经授权访问的通知（2026年6月23日，日文）— newsroom.kddi.com
KDDI株式会社，关于ISP邮件系统未经授权访问的致歉及报告（2026年7月6日，7月21日更新；日文）— newsroom.kddi.com
Aflac生命保险日本公司，关于未经授权访问及信息泄露的第二次报告（2026年7月13日，日文）— aflac.co.jp
Aflac生命保险日本公司，调查结果及整改措施（2026年7月31日，日文）— aflac.co.jp
日本总务省，就保护通信秘密向KDDI发出的指导意见（2026年7月29日，日文）— soumu.go.jp
日本数字厅，关于政府解决方案服务未经授权访问可能导致个人信息泄露的通告（2026年9月11日，日文）— digital.go.jp
日本数字厅，数字大臣2026年9月11日记者会概要（日文）— digital.go.jp
日本数字厅，关于政府解决方案服务未经授权访问可能导致个人信息泄露的问答（2026年9月12日更新，日文）— digital.go.jp
日经xTECH（2026年9月11日，日文）——漏洞严重程度及大批量访问的开始时间来自该报道— xtech.nikkei.com
Sakura Internet株式会社，调查结果及整改措施（第三次报告，2026年9月10日，日文）— sakura.ad.jp

更新日志

2026-10-11：更正。被利用漏洞的CVSS“中”评级不仅来自报道：该机构的问答（2026年9月12日更新）中明确称其评级为“中”（CVSS中等级别）。该说明的出处现为该机构的问答。大批量访问始于5月下旬的说法仍标注为来自报道。
2026-09-19：数字厅相关内容已与公布的记者会概要核对；“已为人所知，并在入侵发生时按评估的严重程度依次修补”现引自官方概要，而非报道。CVSS“中”和“5月下旬”仍标注为来自报道。Sakura Internet自9月10日第三次报告以来未发布任何新内容（2026年9月19日核查）。
2026-09-12：两项补充。（1）在KDDI案例中，总务省已于2026年7月29日发布关于通信秘密的指导意见（约762万名用户的邮箱内容可能被查看）。（2）在数字厅案例中，据报道被利用的漏洞已为人所知，评级为“中”——因未载于该机构公告，故标注为报道内容。Sakura Internet自9月10日第三次报告以来未发布任何新内容（其常见问题页面仍显示9月10日；2026年9月12日核查）。
2026-09-11：首个版本，基于四家机构的官方披露。

FAQ

Q2026年日本披露了哪些重大数据泄露事件？

依据各机构的官方披露：KDDI面向ISP的邮件系统（已确认12,231,954人的电子邮件地址暴露，其中7,616,173人的密码暴露）；Aflac生命保险日本公司（约440万名客户，其中约22万人的保费支付银行账户信息暴露，另有约4万条代理店记录）；日本数字厅及其政府解决方案服务（可能暴露约24.6万条员工等人员的记录）；以及Sakura Internet（1,360,563个会员账户可能在范围内）。这些数字是发布时的数据，其确认程度因案例而异。

QAflac Japan的泄露事件是由什么原因造成的？

Aflac在2026年7月31日公布的调查结果中表示，其“网上咨询”和“Aflac Yorisou Net”系统对攻击中使用的访问和数据查询方式的控制不足。这些系统确实具备检测和阻止未授权访问的功能，但由于访问方式与正常使用相同，未能被立即检测到；而且对于短时间内的大量数据查询，缺乏足够的监测和控制。

Q修补漏洞能否防止KDDI事件的发生？

据KDDI称，被利用的漏洞存在于其集成在系统中的第三方软件中，截至2026年6月17日（KDDI确认入侵的日期），该软件的供应商本身也未察觉该漏洞。换言之，当时并不存在修复方案。面对这类未知漏洞，剩下的只能是及时发现入侵并阻止其扩散。

Q这四起案例的共同教训是什么？

入侵途径彼此并不相似。但KDDI、Aflac和Sakura Internet都在整改计划中列出了加强检测的措施（在所有服务器上部署EDR、监测和控制大批量访问、扩大早期检测的监测范围并延长日志保存期限），而数字厅的案例则是通过数据量异常——大量文件访问——被发现的。当攻击看起来像正常使用时，剩下的信号就是数据量和时间。要继续守住入口，但同样要投入资源，在有人已经进入系统后及时发现。

Q作为个人，我应该怎么做？

有三点。不要在多个服务间重复使用密码——KDDI案例中已确认密码暴露。事件发生后，不要使用冒用该机构名义的消息中的链接或电话号码，应自行前往官方网站。如果涉及银行账户信息，请检查账户活动；若发现异常，请同时联系银行和该机构。