适用对象：在门店会员应用（集章卡、优惠券等）中登记了手机号码等信息，且该应用使用Toypo的人。本文基于Toypo Inc.及使用其应用的门店的官方通知，不涉及攻击手法。
事件仍在发展：本文将随机构发布更多信息而更新
截至2026年10月29日尚不清楚
- 涉及的门店和公司的完整名单
- 原因的详细情况
- 第三方评估的结果
- 数据是否已被滥用
- 是否会有赔偿
Toypo表示，将及时在其通知页面等处公布任何重要的新事实，但未给出时间表。10月29日，我们查看了Toypo的两个通知页面（10月14日的和没有日期的），以及使用该应用的门店（JR Kyushu Food Service、Nishitetsu Wellness和Mannoya）的通知，未发现新的公告。
门店应用用户今天该做什么
在应用的通知中确认您是否受影响
Toypo为门店提供会员应用（客户管理应用），并在各门店的应用背后运行。应用的外观和名称因门店而异，因此仅凭应用名称可能无法判断。据本站所查，Toypo尚未公布使用其服务的门店名单。
Toypo在10月14日的通知中说明了如何判断您是否受影响：
- 公司已确认受影响的用户，并自10月13日起逐一联系他们，包括通过Toypo官方账号发送的应用内推送通知
- 如果您应用的通知栏中收到了关于此事件的通知，则您在受影响之列。如果没有收到，则不在其中
- 如需单独确认，请联系Toypo
门店未必能够回答。Nishitetsu Wellness表示，事件发生在Toypo的系统中，因此无法回答详细情况，并请大家联系Toypo。
请勿使用自称来自门店或Toypo的消息中的链接或电话号码
可能外泄的项目包括手机号码、电子邮件地址和姓名。Toypo和Nishitetsu Wellness警告，可能有人利用这些信息发送可疑的电子邮件、短信、拨打电话以及实施网络钓鱼。
如果您收到关于“确认会员信息”“优惠券到期”或“道歉退款”的消息，请勿使用其中的链接或电话号码。请通过应用内联系方式或通知中列出的联系方式核实。Toypo称，其不会要求您输入密码、验证码或信用卡号。
决定如何处理密码
Toypo表示，密码等登录凭据不在其中，因此无需因此次事件更改密码或在应用内采取其他措施，应用、积分和优惠券可照常使用。其常见问题页面请您在其他服务中使用相同密码或发现可疑登录时考虑更改密码。
如果您在多个服务中使用同一个密码，本站建议借此机会将它们分开（如何检查密码是否已泄露 / 如何选择密码管理器）。
如果收到意外的消息，请告知Toypo
Toypo表示，无法判断某条消息是否由此次事件引起，但为了确认关联，请您在可能的情况下，向其联系窗口告知发送方的电话号码、收到的日期和时间以及内容。如果您已打开了URL或输入了信息，请尽快更改密码；如果输入了银行卡信息，请联系发卡公司（什么是网络钓鱼？）。
删除不再使用的应用账户
Toypo表示，您可以在应用中删除账户，位置在“我的页面”屏幕底部。删除会清除包括您登记信息在内的所有数据，且无法恢复。删除需要约一周才能生效，其间再次登录会取消删除。如果有进行中的订阅或尚未收到的订单，则无法删除。操作前请确认没有想保留的集章或优惠券。
1. 自称来自门店或Toypo的电子邮件 / 短信 / 电话
姓名和手机号码都对 → 不要仅凭这一点下判断
↓
2. 不要使用其中的链接或号码：自行使用应用内联系方式或通知中列出的联系方式
Toypo客户联系电话0120-546-030（工作日日本时间9:00至18:00）
↓
3a. 无法确认的请求
密码、验证码或卡号，或要求付款 → 不要回应
3b. 联系窗口给出相同的指引
按官方指引操作
事件经过（据Toypo和各门店）
以下内容基于Toypo Inc.的两个通知页面和各门店的通知。其一是《关于因未授权访问导致个人信息泄露的致歉及通知》（日期为2026年10月14日，含人数；下文称“10月14日通知”）。另一个是《关于Toypo应用遭未授权访问导致个人信息泄露的致歉及通知》（无日期，无人数；下文称“另一通知页面”）。10月14日通知称信息“可能已外泄”；另一页面则称其“已外泄”。Toypo为门店提供客户管理应用Toypo应用。
2026年10月4日（星期日）
Toypo确认其系统遭到第三方未授权访问。其系统的一部分存在访问控制缺陷，使已通过认证的用户能够获取无权查看的其他用户信息，日志显示有第三方利用它获取了用户信息。10月7日（星期三）
Toypo告知了使用该应用的门店之一（JR Kyushu Food Service）（该门店的通知）。10月13日之前
Toypo已完成对访问中所用账户的停用和对缺陷的修复，并已向个人信息保护委员会报告（均据公司称；未给出日期）。10月13日（星期二）
13:00开通专用联系窗口，Toypo开始通过应用内推送通知逐一联系受影响用户（据公司称）。JR Kyushu Food Service和Nishitetsu Wellness也发布了通知。10月14日（星期三）
Toypo在10月14日的通知中给出受影响用户数为697,209人（信息可能已外泄）。Mannoya也发布了通知。10月28日
ScanNetSecurity报道，697,209名用户的注册信息可能已外泄。
- 可能外泄的信息
- 手机号码和用户ID等标识符。如已登记：姓名、姓名假名读音、电子邮件地址、出生日期、性别和地址（登记了哪些项目因人而异，并非所有人的全部信息都已外泄）
- 不在其中（据公司称）
- 密码等登录凭据、信用卡号等支付数据、积分、到店记录、购买和使用记录（另一通知页面还列出了密码哈希值、认证令牌和会话信息）
- 未持有（据公司称）
- 其服务不持有身份证件图像、My Number等信息
- 已退出的用户
- 对于泄露发生时已退出的用户，尚未确认发生泄露（据公司称）
- 目前的应对（据公司称）
- 已修复缺陷。正在检查其他地方是否存在类似问题、审查访问控制，并加强监控和检测。正在安排第三方安全评估。已向个人信息保护委员会报告。另一通知页面还列出了停用访问中所用账户和保存日志
- 联系方式
- Toypo Inc.客户联系电话：0120-546-030，工作日日本时间9:00至18:00。呼叫中心受理电话至10月30日（星期五）18:00，此后请使用应用内联系方式（据公司称）
使用该应用的门店的通知
该应用被用作各门店的会员应用，各门店各自公布了受影响人数。以下内容来自我们自行打开的官方通知。各门店的数字是分开的，未被相加；目前没有公告说明它们加起来是否等于Toypo的697,209人。
| 门店 / 公司 | 通知的内容 | 状态 |
|---|---|---|
| JR Kyushu Food Service（10月13日） | 其24家目标门店登记的约61,500名会员中，约26,900人的信息可能已外泄。已停止招募新会员 | 可能（公司） |
| Nishitetsu Wellness（Nishijin Palace Dome，10月13日） | 会员应用“Toypo”的部分用户信息已外泄。未给出人数 | 已确认泄露（据Toypo的通知） |
| Mannoya（10月14日） | 其参与开发的品牌“Kineya Mannoya”官方应用的212名会员中，12人的注册信息受影响。暂时停止新会员注册 | 受影响（公司） |
Toypo的通知没有说明还有哪些门店或公司使用该应用。
已知与未知的信息
状态截至2026年10月29日。有更多信息发布后，我们将更新此表。
| 项目 | 通知的内容 | 状态 |
|---|---|---|
| 发生了未授权访问 | 10月4日确认。日志显示有第三方利用该缺陷获取了用户信息 | 已确认（公司） |
| 手机号码、用户ID等标识符 | 已外泄 | 可能（Toypo，10月14日通知）。另一通知页面称“已外泄” |
| 姓名、姓名假名读音、电子邮件、出生日期、性别、地址 | 已登记的部分已外泄 | 可能（Toypo，10月14日通知）。另一通知页面称“已外泄” |
| 密码等登录凭据 | 不在其中（另一通知页面还列出了密码哈希值、认证令牌和会话信息） | 不在其中（公司） |
| 信用卡号等支付数据 | 不在其中 | 不在其中（公司） |
| 积分、到店记录、购买和使用记录 | 不在其中 | 不在其中（公司） |
| 受影响人数 | 697,209人（10月14日通知）。ScanNetSecurity报道了同样的数字。另一通知页面中没有 | 已公布（公司） |
| 如何判断您是否受影响 | 应用通知栏中有关于此事件的通知则受影响；没有通知则不受影响（10月14日通知） | 已确认（公司） |
| 涉及的门店和公司 | 没有完整名单。JR Kyushu Food Service、Nishitetsu Wellness和Mannoya发布了各自的通知 | 未说明 |
| 原因 | 访问控制缺陷（已通过认证的用户可获取其他用户的信息）。无更多细节 | 已确认（公司，仅概要） |
| 缺陷的修复 | 已完成。已无法再以这种方式获取信息 | 已确认（公司） |
| 其他地方是否存在类似问题 | 正在进行额外检查 | 调查中 |
| 第三方评估 | 正在安排第三方安全评估（10月14日通知） | 安排中（公司） |
| 滥用或次生损害 | 未确认有具体的次生损害。警告可能出现可疑联系 | 未确认（公司） |
| 赔偿 | 未说明 | 未说明 |
注意：697,209是人数而非记录数，且是信息可能已外泄的人
Toypo在10月14日的通知中称“本次未授权访问涉及的用户数为697,209人”，并称信息“可能已外泄”。单位是人，而不是记录数。另一通知页面（无日期）没有给出数字，并称信息“已外泄”。鉴于这一差异，本站写作“可能已外泄”。目前没有公告说明各门店的数字（如JR Kyushu Food Service的约26,900人）加起来是否等于总数697,209。
这些外泄项目的组合可能被用来做什么
以下是这种项目组合通常可能发生的情况。并未公布此次事件中发生了其中任何一种。Toypo称，尚未确认有具体的次生损害。
- 手机号码+姓名：使用您的姓名，自称来自门店或服务的短信或电话，让人以为对方认识您
- 电子邮件地址+姓名和地址：看起来像真的“请更新会员信息”或“您的积分即将到期”之类的虚假邮件
- 出生日期+姓名+地址：可能被用来回答其他服务的身份核验问题。Toypo也请大家留意其他服务的身份核验
- 用户ID+手机号码：Toypo称密码等项目不在其中，因此仅凭这些信息无法立即登录其服务
一般而言，基于手机号码和电子邮件的大多数虚假消息，只要不使用其中的链接或号码、自行核实，就能识破。
运营方应该审查什么
Toypo披露的是一个访问控制缺陷，使已通过认证的用户能够获取其他用户的信息。细节尚未公布，因此本节只涉及已披露的经过和一般性的说法。
- 一般而言，仅仅登录是不够的：服务器必须在每次请求时检查的不仅是“该用户是否已登录”，还有“此人是否有权查看这些数据”（什么是IDOR？）。这是一般性的说法；并未公布本次事件的原因与此相同。
- 许多门店的用户位于同一平台上：一个平台上的缺陷会同时波及许多门店和公司的用户。在本次事件中，各门店发布了各自的通知，而咨询则集中在Toypo。门店可以事先商定平台提供商是否会在一发现问题时就告知它们，以及由谁、通过什么途径通知用户，以此自助。
- 不持有的数据不会泄露：Toypo称，密码等登录凭据、卡号、到店记录和身份证件不在外泄的数据中（或不持有）。只收集某项功能所需的项目，可以在出问题时缩小范围。
信息来源（公开记录）
本文事实基于以下公开信息。对于尚未公布的原因细节和完整的门店名单，我们没有作出猜测。
- Toypo Inc.，《关于因未授权访问导致个人信息泄露的致歉及通知》（日文，日期为2026年10月14日，涉及用户697,209人；10月29日查看）— toypo.notion.site
- Toypo Inc.，《关于Toypo应用遭未授权访问导致个人信息泄露的致歉及通知》（日文，未显示日期和人数；10月29日查看）— toypo.notion.site
- Toypo Inc.，《关于Toypo应用遭未授权访问的常见问题》（日文；从上述页面链接）
- JR Kyushu Food Service Co., Ltd.，《关于Toypo Inc.遭未授权访问导致客户信息泄露》（日文，2026年10月13日）— jrfs.co.jp / 通知全文（PDF）
- Nishitetsu Wellness Co., Ltd.，《关于Nishijin Palace Dome会员应用Toypo遭未授权访问，个人信息可能外泄的通知及提醒》（日文，2026年10月13日）— nishitetsu-wellness.com（通知列表）
- Mannoya Co., Ltd.，《关于Toypo遭未授权访问导致“Kineya Mannoya”官方应用会员信息泄露》（日文，2026年10月14日）— mannoya.com
- ScanNetSecurity，《行为数据平台Toypo应用遭未授权访问，697,209名用户的注册信息可能外泄》（日文，2026年10月28日，媒体报道；697,209人）— scan.netsecurity.ne.jp
- 西日本新闻，关于客户管理应用运营方约697,000人信息可能外泄的报道（日文；发布日期未确认，需付费订阅，仅阅读了开头部分；报道约697,000人）— nishinippon.co.jp
更新记录
2026-10-29：首版，基于Toypo的两个通知页面（一个日期为10月14日，一个没有日期；均于10月29日查看）、使用该应用的三家门店的通知，以及两篇媒体报道。待原因细节、第三方评估结果或赔偿公布后，我们将更新。
延伸阅读
- 外泄同类项目（姓名、电话、电子邮件）的日本事件：MrMax / TEMAIRAZU住宿预订系统事件
- 同期的日本事件：Joshin（原Joshin电器）未授权访问事件
- 防范虚假消息：什么是网络钓鱼？ / 智能手机安全基础
- 访问控制类缺陷：什么是IDOR？
- 保护您的账户：如何选择密码管理器 / 如何选择多因素验证
- 其他2026年事件：数据泄露和网络攻击事件一览（日本及全球）