适用对象：在日本申请过 Treasure Factory（Trefac）上门回收服务或 Trefac Moving 的人，以及运营受理服务申请系统的人。本文依据公司的官方公告，不涉及攻击或诈骗手法。
事态仍在发展：机构公布更多信息后，本文将更新
截至2026年10月24日尚不清楚
- 详细原因
- 外部调查的结果
- 单独通知的发送时间和方式
- 专用咨询热线
- 记录条数对应的人数
公司在10月23日的公告中表示，正与外部安全公司一起调查详细原因和范围。专用咨询热线正在准备中，公司称准备好后会立即在网站上公布。
上门回收和 Trefac Moving 的客户今天应该做什么
确认自己是否受影响：门店和 App 的数据不在其中
据公司称，被访问的系统是用于受理和处理上门回收及 Trefac Moving 申请的案件管理系统。门店保存的客户数据和公司 App 管理的客户数据由其他系统保管，未受影响。
如果您只是在门店柜台出售过物品，或只使用 App，则不在公司已公布的范围内。如果您曾通过网络或其他方式申请过上门回收或 Trefac Moving，请假定您的邮箱地址可能包含在内，并按以下步骤操作。
不要点击自称来自 Trefac 的邮件或短信中的链接
公司称，被获取的邮箱地址“可能被用于钓鱼邮件等欺诈性联系”。申请过上门回收或搬家的人，收到有关估价、报价、上门安排或服务恢复的消息并不奇怪，这使得这类主题的假消息更难识别。
需要确认时，请使用您自己打开的官方网站或 App，而不是邮件中的链接（参见什么是网络钓鱼？）。
不要输入银行卡号或密码
公司称，被获取的客户数据不包含银行卡号等支付信息。公告中没有任何内容要求客户因此次事件重新登记银行卡信息或“验证身份”。如果有邮件这样要求，请不要回应。
公司本身也请大家不要在可疑网站上输入密码或银行卡信息。
如果有人打来电话，请挂断并拨打官方号码
公司建议，接到可疑电话后，应自行查询对方所称机构的官方联系方式并联系。不要回拨电话中告知的号码，请使用官方网站上的号码。
等待单独通知和咨询热线的公布
公司称计划单独联系受影响的客户，告知事件情况和应采取的注意事项。专用咨询热线正在准备中。
截至10月24日，公司尚未说明将以何种方式发送通知（邮件、邮寄或其他）。如果收到看似通知的内容，请不要通过其中的链接进行任何操作，而应与官方网站上的公告核对。
关于另含姓名和住址的11条记录
据公司称，746,277条客户记录中有11条除邮箱地址外还包含姓名和住址。公司未说明这些记录属于谁。使用您姓名和住址的邮寄品或邮件看起来更可信，因此请等待公司的单独通知，并在官方网站上核对其内容。
事件经过（来自 Treasure Factory 的公告）
2026年10月23日，Treasure Factory Co., Ltd. 就未经授权访问导致的个人数据泄露发布了公告，既在东京证券交易所进行了及时披露，也发布在其面向消费者的二手网站上。以下内容均来自公司公告。
2026年10月20日 凌晨至上午
外部人员利用公司系统的漏洞获取了客户等数据（公司通过访问日志检查确认）。10月20日 10:30
公司切断了外部对案件管理系统的访问。10月20日 11:05
公司停止受理上门回收、Trefac Moving 等申请表单的申请。10月23日
公司通过及时披露和网站公布了此次事件，并同时发布了因安全工作而暂停部分服务的通知。公司称正在向日本个人信息保护委员会报告，并与警方等机关咨询和报告。10月28日（计划）
系统和申请表单计划于此日前后在完成必要的安全措施和检查后恢复。
- 系统
- 用于受理和处理上门回收及 Trefac Moving 申请的案件管理系统
- 客户数据
- 746,277条记录。项目为邮箱地址；其中11条另含姓名和住址
- 交易方和员工
- 750条交易方、员工等人员的姓名和邮箱地址记录
- 设备数据
- 1,000条交易方、员工等人员所用设备的姓名和设备标识符记录
- 未包含
- 信用卡号、安全码等支付信息（公司已确认）。门店和公司 App 中保存的客户数据（由其他系统管理）
- 原因
- 公司认为是与数据库访问相关的漏洞被利用。公司称已确认此次事件与近期公开的 PHP 漏洞无关
- 二次损害
- 截至10月23日未确认
- 应对
- 已停止外部访问，并更改了相关账户的密码等。正在进行修复被利用的漏洞、加强登录安全和监控可疑访问的工作
- 报告
- 向个人信息保护委员会报告；与警方等机关咨询和报告
- 联系方式
- 专用咨询热线正在准备中（将在官方网站公布）
案件管理系统
上门回收和 Trefac Moving 的申请。10月20日被访问
门店客户数据
独立系统。未受影响（公司）
App 客户数据
独立系统。未受影响（公司）
↓ 已确认被获取的数据
746,277条客户邮箱记录
其中11条另含姓名和住址。无支付数据（公司）
↓ 一般可能随之出现的情况
自称来自 Trefac 的邮件和短信
冒充估价、报价、上门日期或恢复通知
↓ 不要使用其中的链接
自行打开官方网站或 App 确认
只有邮箱地址泄露时可能发生什么
仅凭邮箱地址，他人无法登录账户或转走资金。问题在于，它是和此人申请过 Trefac 的上门回收或搬家服务这一事实一起被他人掌握的。一般而言，可能发生以下情况（公司没有报告此次事件中出现其中任何一种）。
一般可能发生的情况
- 冒充 Trefac 的假估价结果、报价或日程变更
- 冒充道歉、补偿或“恢复活动”的邮件，将人引导至其他网站
- 地址被加入垃圾邮件名单，导致垃圾邮件总体增加
您可以做的事
- 在官方网站或 App上确认您的申请
- 对以道歉或补偿为名要求提供银行卡或银行账户信息的联系，一律不予理会
- 使用垃圾邮件举报和过滤功能，不要打开来历不明的发件人发来的链接
关于另一起邮箱地址泄露的案例，请参见JR East、View Card 和 JR Kyushu 的邮箱泄露事件。同一个月，大型二手连锁企业 Bookoff 也公布了会员数据泄露。这两起事件互不相关。
已知与未知
依据公司截至2026年10月24日的公告（10月23日的及时披露和网站公告）。有后续消息后，状态列将会更新。
| 项目 | 公司的说明 | 状态 |
|---|---|---|
| 客户邮箱地址 | 已确认被获取746,277条记录 | 泄露已确认（公司） |
| 客户姓名和住址 | 其中11条记录包含姓名和住址 | 泄露已确认（公司） |
| 交易方和员工数据 | 750条姓名和邮箱；1,000条姓名和设备标识符 | 泄露已确认（公司） |
| 银行卡号等支付数据 | 已确认不包含在被获取的客户数据中 | 未包含（公司） |
| 门店和 App 客户数据 | 由其他系统管理；未受影响 | 未包含（公司） |
| 电话号码和密码 | 未列入被获取的数据 | 未说明 |
| 人数 | 以记录条数公布；未给出人数 | 未说明 |
| 访问的日期和时间 | 10月20日凌晨至上午 | 已确认（公司） |
| 原因 | 认为是与数据库访问相关的漏洞被利用；详情调查中 | 调查中 |
| 与 PHP 漏洞的关系 | 已确认与近期公开的 PHP 漏洞无关 | 已确认（公司） |
| 二次损害 | 未确认（截至10月23日） | 未确认（公司） |
| 单独通知 | 计划通知受影响的客户；未给出时间和方式 | 计划中（公司） |
| 专用咨询热线 | 准备中 | 准备中（公司） |
| 服务恢复 | 计划于2026年10月28日前后 | 计划中（公司） |
| 对业绩的影响 | 审查中（及时披露） | 调查中 |
及时披露与网站公告的差异
客户数据的明细（746,277条记录、11条含姓名和住址、无支付信息）出现在10月23日的及时披露中。同一天的网站公告列出了750条和1,000条交易方及员工记录，但我们没有在其中找到客户记录条数（10月24日核查）。本文中的数字来自及时披露。
2026年8月，该集团的合并子公司 Kindal 也公布了未经授权访问导致的个人数据泄露（列于本站的2026年数据泄露和网络攻击清单）。Treasure Factory 称，之前那起事件涉及通过网络钓鱼被获取的员工账户凭据，而此次是与数据库访问相关的漏洞被利用，因此原因和入侵途径不同。公司称，自8月以来一直在对整个集团的认证和访问权限进行审查和加强。
写给运营申请受理系统的人
详细原因尚未公布，因此本节只限于已公布的事实所能支持的内容。我们不猜测漏洞的类型，也不声称堵住某个特定漏洞就能防止此次事件。
列出申请表单背后可从外部访问的后台系统
涉事系统是用于受理申请及相关业务的案件管理系统。为防止再次发生，公司列出了对对外开放的系统进行漏洞管理和测试，以及 WAF（Web 应用防火墙，用于过滤针对 Web 应用的攻击）等防御措施。
请列出申请表单背后的案件管理和客户管理系统中哪些可以从互联网访问，并为每个系统指定负责人和更新流程。对于不需要外部访问的管理界面，限制可连接的来源是第一步。
分离系统可以限制泄露的规模
公司称，门店和 App 中保存的客户数据由其他系统管理，因此未受影响。能够说明门店和 App 的数据不在范围内，可以减少咨询和担忧。
不把所有业务线的客户数据集中在一处，是在入侵未被阻止时决定损害规模的因素之一。
确定已结案件联系方式的保存期限
超过74万条客户邮箱记录被获取。一般而言，应确定为申请和报价而收集的联系方式在交易结束后保存多少年，期限一过就删除，或去除联系方式、只保留统计所需的数字；这样可以在出问题时限制损害（公司保存此类数据的时长尚未公开）。
以当天就能阅读的形式保存访问日志
公司称，它在访问当天通过访问日志检查确认了数据被盗，并在10:30前切断了外部访问。有日志且能够阅读，才使确定范围和迅速关停成为可能。请确定日志存放的位置，以及谁在何时检查。若要减少使用您自己域名的假邮件，请参见邮件伪造与 SPF、DKIM、DMARC。
来源（公开记录）
本文的事实来自以下公开来源。对于入侵中未公开的细节和受影响的人数，我们不作推测。
- Treasure Factory Co., Ltd.，关于系统遭未经授权访问导致个人数据泄露的公告（2026年10月23日，及时披露，日文）— nikkei.com（及时披露 PDF）
- Treasure Factory Co., Ltd.，关于未经授权访问导致个人数据泄露的致歉与公告（2026年10月23日，日文）— treasure-f.com
- Treasure Factory Co., Ltd.，关于因安全工作而暂停部分服务的公告（2026年10月23日，日文）— treasure-f.com
更新记录
2026-10-24：初版，依据 Treasure Factory 10月23日的及时披露和网站公告。待详细原因、单独通知或咨询热线公布后将更新。
延伸阅读
- and ST HD 数据泄露事件（约250万条客户记录）：哪些信息可能已泄露，会员该怎么做
- 邮箱地址泄露：JR East、View Card 和 JR Kyushu 的邮箱泄露事件
- 同一时期二手行业的案例：Bookoff 数据泄露
- 防范假邮件：什么是网络钓鱼？
- 同一时期日本的另一起案例：Abahouse 数据泄露
- 2026年的其他事件：数据泄露和网络攻击清单（日本及全球）