适用对象：所有以求职者或企业联系人身份在求职网站MyBRANDS注册过的人，包括已退出服务的人员。本文基于公司的官方通知撰写，不涉及攻击手法。
事态发展中：本文将随该机构公布更多信息而更新
- 适用对象
所有以求职者或企业联系人身份在求职网站MyBRANDS注册过的人，包括已退出服务的人员。
- 已确认的影响范围查看表格 ↓
- 数据被发送出去
被列为可能涉及的项目
- 姓名、电子邮件、电话、个人资料（如工作经历）
- 登录密码
- 解密用的密钥
- 尚未确认的事项
- 所发送数据的实际内容（被窃取了什么）
- 被滥用的密钥是如何被使用的细节及原因
- 所有邮件通知何时能送达受影响的人
另外2项
- 服务何时恢复
- 是否会发生任何滥用（二次损害）
- 现在要做的事查看步骤 ↓
- 检查您是否在其他地方重复使用了MyBRANDS的密码
- 求职者：通过官方渠道核实招聘人员和猎头的消息
- 企业联系人：提醒同事，并检查同一个人的账户
另外2项
- 对自称来自公司的内容，不要打开消息中的链接进行核实
- 咨询请通过电子邮件发送给MyBRANDS事务局
- 核实来源（出处）全部来源 ↓
- iDA Co., Ltd.，《关于MyBRANDS遭未经授权访问导致个人信息可能泄露的致歉与通知》（2026年10月30日；11月2日核对；日文）— ida-mode.com
- 最后核实
- 截至2026年11月2日
续报计划与核实记录
公司称，如有需要告知的新情况以及恢复的时间，将在通知页面上公布。11月2日，我们核对了10月30日通知的正文（公司网站拒绝自动访问，因此我们用浏览器阅读）。我们获取到的正文中没有后续说明。公司称，服务已停止，在确认安全之前不会恢复。
求职者和企业联系人今天应该做什么
检查您是否在其他地方重复使用了MyBRANDS的密码
公司请在其他服务上使用与MyBRANDS相同密码的人在那里更改密码。对企业联系人而言，这包括内部系统。公司称，MyBRANDS本身无需任何操作。
- 给每个重复使用过该密码的服务设置各自不同的密码（如何查询密码是否已泄露）
- 在可以的地方开启多因素认证
- 如果记不住这么多密码，请使用密码管理器
求职者：通过官方渠道核实招聘人员和猎头的消息
如果姓名、电话号码、电子邮件地址和工作经历都被掌握，别人就能写出一条令人信服的消息，说“我们看了您的履历”。如果收到关于面试日期、材料确认或猎头的消息，请不要使用其中的链接或电话号码。请在您自己打开的企业官方网站或招聘信息的联系方式上核实。
公司称，在关于本次事件的联系中，其不会索要登录验证码、密码或任何涉及金钱的内容。对于这样做的联系，请不要照办。
企业联系人：提醒同事，并检查同一个人的账户
企业联系人的姓名、电子邮件地址和电话号码，可能成为冒充合作方或应聘者的消息的目标。请检查您是否在内部系统中使用了MyBRANDS的密码，如有，请更改。同时请提醒同事留意冒充招聘信息或应聘者的可疑消息（本站的建议）。
对自称来自公司的内容，不要打开消息中的链接进行核实
公司称，其关于本次事件的邮件不含链接。带有链接或要求您登录的邮件或短信，应视为不是关于本次事件的通知（本站的建议）。公司称，其关于本次事件的邮件是从其通知第6项所列的地址发出的。公司称，将自10月30日起依次通过电子邮件通知受影响的人。
咨询请通过电子邮件发送给MyBRANDS事务局
公司请求，关于本次事件的咨询请通过电子邮件发送给MyBRANDS事务局，而不是发给您应聘的企业或向您发送猎头消息的企业。公司全天24小时受理，求职者和企业有各自的联系方式，并请您从注册的电子邮件地址发送。请使用官方通知页面上的地址。
1. 自称招聘人员、猎头或MyBRANDS的电话 / 邮件 / 短信
姓名、工作经历、电话号码都对 → 不要在这一步下判断
↓
2. 不用其中的链接和号码；在企业官方网站或官方通知中的联系方式上核实
↓
3-A 官方一侧没有相关内容
索要登录验证码、密码、金钱 → 不要照办
3-B 官方一侧有相同的通知
按官方的指示操作
事件经过（据iDA Co., Ltd.）
本节基于公司2026年10月30日的通知《关于MyBRANDS遭未经授权访问导致个人信息可能泄露的致歉与通知》（日文）。
10月21日至22日
承包商使用的云访问密钥被第三方滥用（公司的说法）。公司将其表述为发生在“停止服务并处理漏洞期间”（我们的翻译）10月26日
得知数据库副本存在向外部发送数据的记录（公司的说法）10月30日
发布通知。公司称，截至通知时，已向个人信息保护委员会报告并咨询了警方（未给出日期）。自这一天起依次向受影响的人发送电子邮件通知11月2日
本站核对了通知正文。未说明后续情况
- 受影响的信息
- MyBRANDS注册人员（包括已退出的人员）的姓名、电子邮件地址、电话号码、个人资料（如工作经历）和登录密码（转换后的值）等。具体因注册情况而异。求职者和企业联系人的信息均在范围内
- 不包含
- 未持有信用卡和银行账户信息，因此不包含在内。iDA（ida-mode.com）和MyBRANDS Shinsotsu等MyBRANDS以外的服务不在范围内
- 加密与密钥
- 姓名、电子邮件地址、电话号码和地址是加密保存的。解密用的密钥也可能已被窃取
- 公司的应对
- 服务已停止，在确认安全之前不会恢复。已向个人信息保护委员会报告并咨询了警方。正与承包商一起调查原因，并致力于防止再次发生
- 二次损害
- 截至目前尚未确认信息被滥用（二次损害）
已知与未知的信息
以下是截至2026年11月2日的状态。出现更新时，我们会改写此表。
| 事项 | 公司所说的内容 | 状态 |
|---|---|---|
| 密钥被滥用 | 承包商使用的云访问密钥于10月21日至22日被第三方滥用 | 公司的说法 |
| 数据被发送出去 | 数据库副本存在向外部发送数据的记录 | 已确认（公司） |
| 所发送数据的内容 | 无法确认；其持有的全部信息均视为在范围内 | 调查中 |
| 姓名、电子邮件、电话、个人资料（如工作经历） | 可能已泄露到外部 | 可能（公司） |
| 登录密码 | 转换后的值属于可能已泄露的信息之一 | 可能（公司） |
| 地址 | 未列入所列项目（该列表以“等”结尾）。公司将其持有的全部信息视为受影响，并将地址列为加密保存的项目之一 | 未说明 |
| 解密用的密钥 | 可能已被窃取 | 可能（公司） |
| 信用卡 / 银行账户 | 未持有，不包含在内 | 不包含（公司） |
| MyBRANDS以外的服务 | 不在范围内 | 不包含（公司） |
| 数量 | 最多约13.5万（账户，截至10月30日），包括已退出的人员 | 最多（公司截至10月30日的上限） |
| 密钥如何被使用的细节 | 未给出 | 调查中 |
| 滥用 / 二次损害 | 截至目前尚未确认 | 未确认（公司） |
| 与受影响的人联系 | 自10月30日起依次发送电子邮件通知（何时全部送达未公布） | 公司的说法 |
| 监管机构 | 公司称已向个人信息保护委员会报告并咨询了警方。我们未看到主管部门的说明 | 未说明（主管部门） |
| 服务恢复 | 已停止；在确认安全之前不会恢复 | 调查中（时间未公布） |
如何理解：“可能已泄露”与“已加密”
公司写的是信息“可能已泄露到外部”（我们的翻译）；由于无法确认发送了什么，公司按其持有的全部信息均在范围内的前提发出通知。本站沿用公司的表述。另外，加密保存的项目也不能当作未被读取而放心，因为解密用的密钥也可能已被窃取。最稳妥的做法是按这些项目已被读取来做准备（本站的建议）。
姓名、联系方式和工作经历可被用来做什么
以下是这类组合一般可能导致的情况。公司并未说过其中任何一项在本次事件中发生过。
- 姓名 + 电子邮件地址 + 电话号码：冒充招聘人员或猎头的、令人信服的电话、邮件和短信的目标
- 工作经历等个人资料：让发送者能具体地写出“我们看了您的履历”，使消息更难被怀疑。还要小心利用您应聘的公司或期望职位的假消息
- 企业联系人的姓名、电子邮件和电话：冒充合作方或应聘者、看起来像商务邮件的消息的目标
- 密码（转换后的值）：一般来说，较短或常见的密码有时可以从转换后的值反推出来。它可能成为登录共用该密码的其他服务的材料（什么是密码哈希？）
公司称不包含银行卡和银行账户信息。即便如此，凡是以面试或录用流程为借口，通过邮件或聊天索要卡号、账户密码或证件复印件的消息，都应视为很可能是假的。
运营者应该检查什么
密钥是如何被使用的尚未公布。我们只列出根据已披露的经过（承包商使用的密钥、数据库副本，以及可能也被窃取的解密密钥）可以得出的一般性要点。
- 发给承包商的云密钥：为每个承包商使用单独的密钥，将其限制在所需的操作和期限内（最小权限），定期重新创建（轮换），不再需要时停用。清点不再使用的密钥
- 加密数据与其解密密钥的存放位置：如果同一套权限能同时访问两者，加密就起不到保护作用。把密钥放在单独的密钥管理服务或单独的权限之下，使能读取数据的人和能使用密钥的人不同
- 数据库副本：为测试或迁移制作的副本，要像对待生产环境一样严格保护，用完即删。限制谁能创建副本以及数据能从哪些途径流出
- 检测大量向外传输：公司称它是在得知存在向外部发送数据的记录后才发现的。记录外发传输量并对其设置告警，可以缩短发现所需的时间
这些是一般性要点，并不意味着公司没有做到其中任何一项。
来源（公开记录）
这里的事实依据以下公开信息。对于未公布的细节和所发送数据的内容，我们没有猜测。公司网站拒绝自动访问，因此我们用浏览器阅读了正文。
- iDA Co., Ltd.，《关于MyBRANDS遭未经授权访问导致个人信息可能泄露的致歉与通知》（2026年10月30日；11月2日核对；日文）— ida-mode.com
更新记录
2026-11-02：首版，基于公司10月30日的通知（11月2日核对，未发现后续说明）。
延伸阅读
- 同类求职网站事件：Baitoru未经授权访问（仅邮箱地址，以及防范假面试消息）
- 从凭据入手的事件：2026年始于被盗凭据的数据泄露
- 诈骗消息：什么是网络钓鱼？
- 面向运营者（密钥和机密管理）：依然有效的泄露凭据
- 保护您的账户：如何选择多因素认证 / 如何选择密码管理器
- 2026年的其他事件：2026年的数据泄露与网络攻击（日本及全球）