适用对象：在2026年5月1日至8月5日期间在RIZAP的APORITO线上商店购物或输入过信息的人，以及经营线上商店的人。本文基于RIZAP株式会社的官方通知撰写，不涉及攻击技术细节。
客户今天应该做什么
确认自己是否受影响——未完成订单的人也算在内
受影响的是2026年5月1日至8月5日期间在APORITO线上商店下单或输入过信息的人。输入了信息但未完成订单的，同样属于受影响范围。
8月8日，公司向可能泄露卡数据的人员发送了电子邮件。请先在邮箱中搜索“APORITO”。如果没有找到相关邮件，但记得在该期间使用过该商店，也请继续执行以下步骤。
查看信用卡账单，并立即向发卡机构报告不明扣款
公司请客户继续查看信用卡账单，留意不认识的扣款。如发现此类扣款，请拨打信用卡背面的发卡机构电话。
发卡机构一般会承担盗刷损失，但存在报告期限（例如JCB要求在显示该笔扣款的账单之日起60天内通知）。小额扣款容易被忽略，因此即使是几百日元的不熟悉扣款也请一并核对。
请发卡机构更换卡号（重新发卡）
公司表示，停用或重新发卡（更换卡号）是防止次生危害的有效方式，但决定权留给每位客户。本站建议，在该期间在该商店使用过信用卡的人更换卡号。
理由见下一节；简单来说，安全码在可能泄露的项目之中。公司表示，将在调查后公布重新发卡费用等事项的处理方式。
更换卡片后，更新绑定该卡的服务
水电费、电话套餐、订阅服务等会自动扣除旧卡号的费用，在改绑新卡号之前都会失败。在申请重新发卡之前，请先从账单中列出所有定期扣费项目，避免遗漏。
不要回应自称是公司、警方或发卡机构的来电或消息
在姓名、地址、电话号码和电子邮件地址可能已外泄的情况下，诈骗者可以编写看似真实的假消息。公司警告称，有人冒充公司、警方或其他公共机构，或冒充发卡机构，通过来电、邮件和短信骗取PIN码或个人数据，并声明公司绝不会向客户索要PIN码。
请勿打开关于“退款手续”或“重新注册卡片”的链接；如需核实，请联系您自行查找的官方电话（参见什么是网络钓鱼？）。
如果不再使用该商店，请要求删除您的数据
公司接受删除请求，并会在核实您的使用和注册情况后逐一回复。请求应发送至其通知末尾列出的专用电子邮件地址。
部分数据可能因调查或法律原因需要保留一段时间，但了解哪些数据仍被保留以及保留到何时，本身就值得一问。
为什么本站建议更换卡号
通常只需查看账单即可的情况
- 仅部分卡号泄露
- 有效期和安全码未包含在内
- 任何盗刷都是小额扣款，容易很快发现
本次事件的涉及范围（据公司说明）
- 卡号、有效期和安全码同时涉及
- 姓名、地址、电话号码和电子邮件地址也在其中
- 在卡号更换之前，这一组合仍可被使用
网上支付时，结账页面通常要求输入的三项基本信息就是卡号、有效期和安全码。在日本，行业指南要求网络商户采用EMV 3-D Secure（持卡人认证），因此额外的验证步骤比以前更为常见。但并非每笔交易、也并非每个国家的每个网站都会触发这一额外检查。
查看账单很重要，但它是一种在卡已被使用之后才能察觉的方式。更换卡号可以使可能泄露的组合从那一刻起失效。调整定期支付确实麻烦，但总好过数月之内都不知道卡何时可能被盗刷。
如何理解：没有确认被滥用，并不代表安全
公司表示，尚未确认以下任何情况：滥用、次生危害或个人信息实际泄露。这意味着目前尚未发现，而不是今后不会被利用。卡数据有时会在被窃取很久之后才被使用。请至少持续数月查看账单。
发生了什么（据RIZAP的通知）
以下内容均为公司官方通知中的说明。
2026年5月1日
可能发生数据泄露的期间开始。8月5日
公司在APORITO线上商店系统中发现可疑的对外传输程序，为防止进一步危害，当天15:30临时关闭了网站。受影响期间于此日结束。8月8日
可能泄露卡数据的人员通过电子邮件单独收到通知。8月10日
公开致歉并发布报告。公司表示已向个人信息保护委员会提交了初步报告，并依法与警方等机构进行了沟通处理。8月18日
第二次通知：与外部第三方公司的调查仍在继续，商店仍处于关闭状态。公司表示，在重新开业前正在加强安全措施并审查监控。
- 对象
- 2026年5月1日至8月5日期间在APORITO线上商店下单或输入过信息的人员
- 个人信息
- 姓名、地址、电话号码、电子邮件地址
- 卡数据
- 卡号、有效期、安全码
- 受影响人数
- 未披露
- 公布的原因
- 第三方植入了恶意脚本；系统中发现可疑的对外传输程序。植入方式及其他技术细节均未披露
- 次生危害
- 公司表示，尚未确认任何滥用、次生危害或个人信息实际泄露的情况
- 赔偿与费用
- 重新发卡费用及赔偿政策的处理正在审议中；将通过电子邮件和公司网站公布
- 现有订单
- 公司表示，关闭不影响发货；确认库存后将发货。退款请求请发送至专用电子邮件地址
同日发布的另一则通知
同样在8月10日，RIZAP另行发布通知称，其外包部分APORITO业务运营的一家公司遭受勒索软件导致的未经授权访问，部分服务已受限（8月14日发布了第二次通知）。公司的通知并未说明两者是否相关。本文仅涉及线上商店的恶意脚本。
面向电子商务经营者：不保存卡数据，并不能阻止输入页面被篡改
公司尚未披露其已采取了哪些防护措施，也未说明脚本是如何植入的。本节不评价公司的应对，而是说明如何在您自己的网站上防止同类事件发生。
客户的浏览器
在结账页面输入的卡信息
↓→
支付服务提供商
合法的接收方
↓→
不存储在您的服务器上
= 非留存所保护的部分
如果恶意脚本侵入输入页面本身，客户输入的内容也会当场被发送到别处
→ 即使您不存储任何数据，信息仍会泄露。经营者需要监控支付页面是否被篡改
在日本，《分期销售法》第35条之16要求包括线上商店在内的信用卡商户采取必要措施，妥善管理卡号，例如防止泄露。这一义务的实务指南是信用交易安全协议会（秘书处设于日本消费者信用协会）的《信用卡安全指南》。
指南称，采取其所列措施，或采取同等或更高强度的措施，即被视为采取了法律要求的“必要且适当的措施”。
自2025年3月的6.0版起，指南为线上商户增加了“漏洞防护措施”，无论其是否保存卡数据。其理由是：目前大多数泄露事件发生在已实现非留存的线上商户，原因是网站漏洞等。
6.1版（2026年3月）对此未作改动。要求采取以下五项措施，且须全部落实：
| # | 指南项目 | 内容（摘要） |
|---|---|---|
| 1 | 限制管理画面的访问；管理管理员账号和密码 | 按IP地址限制管理访问（无法做到时采用基本认证），使用两步验证或多因素认证，连续登录失败10次以下即锁定账号 |
| 2 | 修复暴露数据目录的错误配置 | 将重要文件移出公开目录；限制可上传的文件类型和扩展名 |
| 3 | 应对网络应用程序漏洞 | 定期进行漏洞评估或渗透测试并修复发现的问题；保持插件和软件更新；审查定制部分的源代码 |
| 4 | 安装并运行防病毒软件以应对恶意软件 | 保持特征码（用于识别恶意软件的定义文件）更新，并定期进行全盘扫描 |
| 5 | 应对恶意卡片有效性检查及“信用大师”（Credit Master）攻击 | 至少实施附件所列措施之一（“信用大师”（Credit Master）攻击会机械地生成卡号以寻找有效卡号） |
指南针对线上商户的附件称，许多泄露事件的目标是电子商务软件包和内容管理系统（CMS）中的错误配置和漏洞，并且已确认存在被篡改的脚本持续泄露会员输入内容的案例。
指南还指出，将网站建设或运营外包的商户，应要求承包方理解这些漏洞防护措施。
本站的看法：五项措施用于阻止入侵；还应增加发现入侵的手段
这五项措施都是为了防止入侵或植入。但在这类事件中，只要有人在任何人察觉之前输入了卡信息，就会受到影响。因此总体而言，防护失效时发现的速度决定了有多少人被卷入（这也是IPA指南将文件篡改检测列为强制要求的原因）。
其他公共标准已涵盖“发现”这一环节。IPA（日本信息处理推进机构）的《电子商务网站建设与运营安全指南》将定期对重要文件进行差异比对，以及使用网站篡改检测工具进行监控，列为必须的运营要求。
卡行业的国际标准PCI DSS自2025年3月31日起要求：对支付页面上运行的脚本进行授权、完整性检查和清单管理（要求6.4.3），并建立检测支付页面未经授权变更的机制（要求11.6.1）。
对于小型线上商店，请先从以下三项做起：
列出结账页面加载的所有脚本
记录结账页面加载的每一个JavaScript文件，并按自有脚本、支付服务提供商脚本，以及分析或其他标签进行分类。任何无人能说明来源——不知道是谁添加、为何添加的脚本，都是首先需要核查的对象。只有有了清单，才能发现有脚本被添加或修改。
每天比对网站文件并对变更发出警报
对于构成结账页面的文件——主题、模板、JavaScript——记录其已知正常状态的哈希值（根据文件内容计算出的数值），并每天比对一次。如果在没有人部署的情况下发生了变化，应向负责人发出警报。
同时确认您的主机或电子商务平台是否提供篡改检测功能或插件。如果您自行运营服务器，相关思路与文件上传漏洞有所重叠。
将管理画面限制在您的网络内，并启用双因素认证
这本身就是第1项措施。如果管理画面仅凭密码即可从任何地方访问，应首先修复。如果由承包商运营网站，请确认承包商的管理员登录同样符合上述条件。全组织的最低要求见组织安全基线的最低要求。
资料来源（公开记录）
本文的事实来自以下公开资料。对未披露的入侵路径或方法不作推测。
- RIZAP株式会社，关于APORITO线上商店未经授权访问的致歉与报告（2026年8月10日，日文）— rizap.co.jp
- RIZAP株式会社，关于同一事件的第二次通知（2026年8月18日，日文）— rizap.co.jp
- RIZAP株式会社，关于APORITO业务系统故障及服务暂停的通知（2026年8月10日和14日，日文）— rizap.co.jp / rizap.co.jp
- 《分期销售法》第35条之16（日文）— e-Gov法令检索
- 信用交易安全协议会，《信用卡安全指南》6.1版（2026年3月）、修订说明及线上商户安全指南（附件20）（日文）— 日本消费者信用协会
- IPA，《电子商务网站建设与运营安全指南》（2023年3月16日，日文）— ipa.go.jp
- PCI安全标准委员会，《New Information Supplement: Payment Page Security and Preventing E-Skimming》（2025年3月10日）— blog.pcisecuritystandards.org / 《Guidance for PCI DSS E-commerce Requirements Effective After 31 March 2025》— blog.pcisecuritystandards.org
- 盗刷赔偿报告期限示例：JCB（日文）— jcb.co.jp
更新记录
2026-09-30：首次发布，依据RIZAP于8月10日的通知及8月18日的第二次通知。公司计划公布技术调查结果、赔偿政策及重新开业日期；届时本文将随之更新。
延伸阅读
- 同类较新案例：Good Smile Company官方商店未经授权访问事件（支付页面上的恶意程序）
- 同类事件：PhotoGoods（大光印刷）支付页面上的信用卡窃取程序（滥用文件上传功能，以及检查未经授权的管理员账号）
- 后续诈骗：什么是网络钓鱼？
- 卡数据相关标准：什么是PCI DSS？ / 什么是XSS（跨站脚本攻击）？
- 面向网站运营者：文件上传漏洞 / 组织安全基线的最低要求
- 本季度其他日本案例：Cariteco（名铁协商）：勒索软件与可能的数据泄露 / The Times Car 数据泄露事件
- 其他2026年事件：数据泄露与网络攻击事件一览（日本及全球）