适用对象:使用过资生堂集团肌肤测量服务(资生堂在线商店、SHISEIDO、ELIXIR、IPSA)的人。本文是基于资生堂官方通知的说明,不涉及攻击手法。
事态发展中:本文将随机构发布更多信息而更新
- 适用对象
使用过资生堂集团肌肤测量服务(资生堂在线商店、SHISEIDO、ELIXIR、IPSA)的人。
- 已确认的影响范围查看表格 ↓
- 未经授权访问、服务暂停
- 数据被篡改和带出
- 数量
另外3项
- 姓名、邮箱地址、年龄、性别、会员编号
- 问卷数据、肌肤测量结果(包括日期和时间)
- 向个人信息保护委员会和警方报告
- 尚未确认的事项
- 原因(访问是如何发生的)
- 范围的详细情况(最终数量)
- 被篡改的是什么信息
另外2项
- 暂停的服务何时重启
- 数据是否已被滥用
- 现在要做的事查看步骤 ↓
- 不要理会以资生堂或其品牌名义发来的邮件
- 确认自己是否使用过相关的肌肤测量服务
- 请考虑到问卷数据和肌肤测量结果已泄露
另外3项
- 检查使用相同会员编号或邮箱地址的其他服务
- 如有担心,请联系官方热线
- 如果您输入了信息或汇了款,请立即寻求帮助
- 最后核实
- 截至 2026 年 11 月 13 日
续报计划与核实记录
公司称,尚未确认与其肌肤测量服务相关的可疑邮件。本站于 2026 年 11 月 13 日查看公司官方通知时,未发现 11 月 6 日通知之后的后续消息或更新。
用户今天应该做什么
不要理会以资生堂或其品牌名义发来的邮件
公司称,绝不会直接通过邮件或电话索要信用卡信息、PIN 码或密码。公司尚未确认与其肌肤测量服务相关的可疑邮件,但如果您收到,请不要打开其中的 URL,也不要输入任何信息。
知道您的邮箱地址、姓名和肌肤结果的人,更容易写出令人信服的消息,例如“您的肌肤分析结果已出”或“重启肌肤测量服务的步骤”(本站观点)。要确认某项服务,请自行打开官方网站或应用,而不是点击消息中的链接。辨别假冒的方法见什么是网络钓鱼?。
确认自己是否使用过相关的肌肤测量服务
资生堂在线商店和 SHISEIDO 的“Beauty Alive Circulation Check”已确认发生泄露。“Hada Pasha”“Men's Skin Checker”“AI Skin Analyzer”“AI Recipist mico”和“CO-HADA Scan”未确认发生泄露,但作为预防措施被暂停。
公司称将逐一联系能够确定身份的客户。对于部分客户,公司没有可识别其身份的信息,难以逐一联系,因此通过通知向他们说明。如果您使用过这些服务,即使没有被联系,也可能受影响。
请考虑到问卷数据和肌肤测量结果已泄露
通知没有列出问卷中的问题。一般而言,关于肌肤状况和烦恼、年龄和性别的信息,是许多人希望保密的。如果有人推销契合您肌肤烦恼的产品或服务,而且似乎知道您的结果,请不要相信;请自行向官方热线核实。
公司称部分信息被篡改,但没有说明是哪些信息、如何被篡改。服务重启后查看结果或登记的详细信息时,请留意是否有看起来不对劲的地方。
检查使用相同会员编号或邮箱地址的其他服务
泄露的项目包括会员编号和邮箱地址。密码未列入,因此仅凭本次事件,通知并未给出需要更改密码的理由。如果您在多个服务上重复使用相同的邮箱地址和密码,现在正是重新检查的好时机(本站观点)。检查方法见如何检查密码是否泄露。
如有担心,请联系官方热线
通知中给出的热线是资生堂客户热线 0120-81-4710(日本时间 10:00 至 17:00,周末、节假日及暑期和年末假期除外),也可通过资生堂官方网站上的表单以邮件咨询。对于 IPSA,IPSA 有自己的官方联系页面。请使用官方通知中的热线,而不是邮件中写的号码。
如果您输入了信息或汇了款,请立即寻求帮助
如果您在由可疑消息打开的页面上输入了个人信息或银行卡信息,请立即联系发卡机构。您也可以拨打日本的警察咨询专线(#9110)或消费者热线(188)。如发现账户有可疑活动,见如何检查是否遭到未经授权访问。
发生了什么(依据资生堂的通知)
2026 年 11 月 6 日,公司发布了《关于因肌肤分析系统遭未经授权访问导致个人信息泄露的致歉与通知》(日文)。以下均为公司的说法。
10 月 27 日
公司确认外部第三方对集团使用的在线肌肤分析系统“FCA”进行了未经授权访问。为防止损害扩大,公司从当天起暂停了使用该系统的部分肌肤测量服务,并与系统开发商一起进行了紧急应对。调查期间
公司确认系统中的部分信息被篡改,数据被带到外部(未给出确认日期)。公司向个人信息保护委员会和警方报告(未给出日期)。11 月 6 日
通知发布。公司称正与外部专家一起确定范围和原因。
- 已确认
- 外部第三方对在线肌肤分析系统“FCA”进行了未经授权访问,于 2026 年 10 月 27 日确认;部分服务从当天起暂停
- 数量
- 共有 2,515 条个人信息记录确认泄露(范围调查中)
- 已泄露的信息
- 姓名、邮箱地址、年龄、性别、会员编号等可识别个人的信息;问卷数据;肌肤测量结果(包括日期和时间)
- 未包含
- 测量时拍摄的面部图像(不在已确认泄露的信息之内);信用卡信息(系统不处理)
- 原因
- 外部第三方的未经授权访问。系统中的部分信息被篡改,数据被带到外部(与系统开发商和外部专家一起调查原因;途径和手法未公开)
- 报告
- 已向个人信息保护委员会和警方报告
- 联系方式
- 资生堂客户热线 0120-81-4710(日本时间 10:00 至 17:00,周末、节假日及暑期和年末假期除外)
已暂停的服务
这些是公司列为使用同一肌肤分析系统“FCA”的服务。重启日期未定;公司计划在确认系统安全后重启。
| 服务 | 内容 | 状态 |
|---|---|---|
| 资生堂在线商店“Beauty Alive Circulation Check” | 线上肌肤测量服务 | 已确认泄露,已暂停(公司) |
| SHISEIDO“Beauty Alive Circulation Check” | 店内和线上肌肤测量服务 | 已确认泄露,已暂停(公司) |
| 资生堂在线商店“Hada Pasha”和“Men's Skin Checker” | 线上肌肤测量服务 | 未确认泄露,作为预防措施暂停(公司) |
| ELIXIR“AI Skin Analyzer” | 线上肌肤测量服务 | 未确认泄露,作为预防措施暂停(公司) |
| IPSA“AI Recipist mico”和“CO-HADA Scan” | 线上肌肤测量服务 | 未确认泄露,作为预防措施暂停(公司) |
已知与未知的内容
下表依据公司 11 月 6 日的通知,截至 2026 年 11 月 13 日。有后续通知时,我们会更新状态一栏。
| 项目 | 通知的说法 | 状态 |
|---|---|---|
| 未经授权访问、服务暂停 | 10 月 27 日确认;部分服务从当天起暂停 | 已确认(公司) |
| 数据被篡改和带出 | 系统中的部分信息被篡改,数据被带到外部 | 已确认(公司) |
| 数量 | 共 2,515 条记录;范围调查中 | 已确认(公司;调查中) |
| 姓名、邮箱地址、年龄、性别、会员编号 | 已确认泄露 | 已确认(公司) |
| 问卷数据、肌肤测量结果(包括日期和时间) | 已确认泄露;具体问题未描述 | 已确认(公司) |
| 面部图像 | 不在已确认泄露的信息之内 | 不包含(公司) |
| 信用卡信息 | 系统不处理;没有泄露 | 不包含(公司) |
| 密码 | 未列在项目中 | 未说明 |
| 被篡改的内容 | 部分信息被篡改,但未描述是哪些信息 | 未说明 |
| 原因 | 外部第三方的未经授权访问;与系统开发商和外部专家一起调查中 | 调查中(公司) |
| 入侵的途径和手法 | 未描述 | 未说明 |
| 滥用 | 尚未确认与肌肤测量服务相关的可疑邮件 | 未确认(公司) |
| 个别联系 | 对能够确定身份的客户个别联系;其他人通过通知告知 | 计划中(公司) |
| 暂停服务的重启 | 确认系统安全后重启;无日期 | 未说明 |
| 向个人信息保护委员会和警方报告 | 已报告 | 已确认(公司) |
问卷数据和肌肤测量结果可被用来做什么
下表说明这类项目组合起来一般可能发生什么。并不表示本次事件中已经发生了这些情况。
| 已泄露的信息 | 一般可能发生的情况 | 用户应该怎么做 |
|---|---|---|
| 姓名 + 邮箱地址 + 会员编号 | 以资生堂或其品牌名义发来的逼真邮件 | 不要打开链接;在官方网站或应用上核实 |
| 问卷数据 + 肌肤测量结果 | 引用您的肌肤烦恼或结果的产品或服务推销 | 即使对方说对了也不要相信;向官方热线核实 |
| 年龄 + 性别 + 邮箱地址 | 措辞根据您的情况量身定制、令人信服的邮件 | 核对发件人和 URL,不要输入任何内容 |
已泄露的信息可能被如何利用
- 以资生堂或其品牌名义发来的逼真邮件
- 引用您的肌肤结果或烦恼的推销
- 伪装成服务重启手续、要求您输入信息的联系
通知中称不在泄露之内的信息
- 测量时拍摄的面部图像
- 信用卡信息(系统不处理)
- 与肌肤测量服务相关的可疑邮件(截至 11 月 6 日未确认)
运营方应检查什么:基于外部系统的测量服务的管理
原因尚未公开,因此我们只写根据已公布事实可以说的内容。
- 一个系统支撑多项服务时的范围:除了两项已确认泄露的服务,使用同一系统的另外五项服务也被暂停。一般而言,共用一个系统的服务越多,暂停的影响越广。在设计阶段就确定共用系统如何管理、服务如何隔离,有助于缩小暂停的范围。
- 检查是否被篡改:公司称,部分信息不仅被带出,还被篡改。出现篡改时,除了确认泄露,还需要检查数据是否正确。事先确定如何对照日志和存储的数据,有助于更快确认范围。
参考来源(公开记录)
本文事实依据下列官方通知。对于尚未公开的原因细节,我们不作推测。
- 资生堂,《关于因肌肤分析系统遭未经授权访问导致个人信息泄露的致歉与通知》(2026 年 11 月 6 日,日文)— corp.shiseido.com
更新记录
2026-11-13:首次发布。依据资生堂 11 月 6 日的通知。我们当天查看了公司官方通知,未发现后续消息或更新。
延伸阅读
- 同期的化妆品相关事件:istyle 旗下 @cosme 遭未经授权访问(约 300 万人) / Beauty Garage 数据泄露
- 识别假冒联系:什么是网络钓鱼? / 智能手机安全基础
- 检查重复使用的密码:如何检查密码是否泄露
- 账户可疑活动:如何检查是否遭到未经授权访问
- 2026 年其他事件:数据泄露与网络攻击一览(日本及海外)