适用对象：在日本注册了烧肉王官方应用的人员，以及经营会员类应用的任何人。本文基于Monogatari Corporation的官方通知，不涉及攻击技术。
会员今天应该做什么
不要点击自称烧肉王的邮件、短信或电话中的链接，也不要按其指示操作
外泄的数据包括姓名、电话号码、邮箱地址和会员编号。掌握这些信息后，诈骗者就可以发送带有您正确姓名和会员编号的消息。
如果您收到关于“致歉优惠券”“奖励积分”“您中了活动奖”或“退款流程”的消息，请不要打开链接；请自行打开应用进行确认。假短信（短信钓鱼）也应同样处理（参见什么是网络钓鱼？）。
切勿在通过链接打开的页面上输入信用卡信息或密码
公司表示，不会索要密码或信用卡信息，并称其本身也不持有支付数据。
知道您姓名和会员编号的来电者，并不能因此被证明是真实的。这些恰恰是外泄的信息。如果有人以退款或致歉为名要求您提供卡号，请将其视为诈骗。
如果您在其他地方重复使用同一密码，请将其分开
公司表示登录密码没有外泄。根据通知，无需立即更改应用密码。
但如果您在其他服务上使用相同的密码，请现在就将它们分开。使用密码管理器是整理账号的可行方法。
在一段时间内对陌生来电和短信保持警惕
您可以更换邮箱地址，但电话号码与日常生活紧密相关，不易更换。外泄的号码可能会在很长时间内收到诈骗电话和短信，其中也包括与烧肉王无关的内容。
开启手机的骚扰电话和垃圾短信过滤功能，可以减少此类信息的接收（背景知识：智能手机安全基础）。
仅通过公布的电话联系公司
如有疑问，请致电公司应用客服电话（0120-795-775，日本时间10:00–18:00，包括周末和节假日）。请使用Monogatari Corporation官方网站上的号码，而不是您收到的信息中提供的号码。
事件经过（来自Monogatari Corporation的通知）
Monogatari Corporation于2026年10月5日发布了致歉和通知。以下内容均依据该公司的通知。
2026年10月2日（周五）
在烧肉王官方应用的会员管理系统中，确认有第三方未经授权访问。公司切断了通信并采取了防御措施。其10月20日的通知称，来自外部第三方的间歇性攻击于当日上午9时开始。10月3日（周六）
确认会员数据外泄。10月5日
发布致歉和通知。公司表示，正在向个人信息保护委员会报告，并向警方提交受损报告等。10月20日
宣布加强安全和个人数据保护的措施：继续加强监控、考虑引入基于AI的检测系统，并计划在2027年上半年将集团11个官方应用迁移到不再保存姓名和电话号码的新系统。公司表示已向警方报案，并正在向个人信息保护委员会提交报告。
- 涉及人数
- 10,788,963个（在10,808,784个烧肉王官方应用注册中）
- 外泄项目
- 会员编号、姓名（应用中注册的姓名）、邮箱地址、电话号码
- 未外泄
- 登录密码、出生日期、性别、邮政编码、包括积分在内的到店消费记录。公司不持有信用卡等支付数据
- 公开或滥用情况
- 迄今未发现向公众公开或被滥用的情况
- 原因
- 未公开。正在与开发公司及相关公司合作进行详细调查。10月20日的通知称，自10月2日上午9时起遭受来自外部第三方的间歇性攻击
- 进一步措施（10月20日）
- 与相关公司合作，加强针对外部入侵的额外措施，并继续加强监控。正在考虑引入基于AI的检测系统
- 所持数据（10月20日）
- 包括烧肉王在内的集团11个官方应用将迁移到所持个人数据更少的新系统；将不再保存姓名和电话号码。计划于2027年上半年实施。出于预约需要仍将收集邮箱地址，长期目标是也不再保存
- 报告情况（10月20日）
- 已向警方报案。正在向个人信息保护委员会提交报告。已向相关政府部门报告并共享情况，并已与相关机构建立应对二次危害的框架
- 服务
- 官方应用继续运营，并已采取针对外部未经授权访问的防御措施
- 其他品牌
- 公司其他品牌的官方应用也采取了相同措施，公司称其中未发生外泄
- 联系方式
- 应用客服电话 0120-795-775（日本时间10:00–18:00，包括周末和节假日）
外泄项目组合可能被用于什么
这些信息单独看都不罕见，但组合在一起会让诈骗信息显得真实。此次未包括出生日期和地址；值得注意的是，三种联系方式（姓名加电话和邮箱）一并外泄。
姓名 + 邮箱 + 会员编号
↓→
带有您正确姓名和会员编号的假优惠券或退款邮件
→ 不要打开链接；请在官方应用中确认
姓名 + 电话号码
↓→
使用您姓名的假短信和电话
→ 切勿提供卡信息；使用垃圾短信过滤功能
据公司称未外泄
- 登录密码
- 出生日期、性别和邮政编码
- 到店消费记录，包括积分
- 支付数据（从未持有）
已外泄
- 会员编号
- 姓名（应用中注册的姓名）
- 邮箱地址（可以更改，但较为麻烦）
- 电话号码（不易更换）
如何理解：“未发现滥用”并不意味着“今后就安全”
公司表示，迄今未发现外泄数据被公开或滥用。这意味着目前尚未发现，并不代表这些数据永远不会被使用。
电话号码通常会使用多年，因此可能在数月或数年之后被用于诈骗信息。对于以此次事件为由与您联系的信息，请保持警惕。
外泄的姓名被描述为“应用注册姓名”。如果您注册时使用的是昵称，并收到以该昵称称呼您的信息，它可能使用了此次泄露的数据。
面向经营会员应用的人员
外泄记录覆盖了超过99%的应用注册用户：几乎每位会员的联系方式都从同一个会员管理系统中外泄。原因尚未公布，因此本节仅列出任何具有类似架构的服务都可以审查的要点。10月20日，公司宣布为防止再次发生，其应用将不再保存姓名和电话号码。未持有的数据无法泄露，因此在设置读取上限和告警之前，应先审视每项数据是否真正必要。关于限制应用服务器读取范围，参见Seicomart应用数据泄露事件；这里补充与本次事件规模相关的要点。
限制单次操作或单个账户可读取的记录数量
即使是管理后台和管理功能，在正常工作中也很少需要一次读取数百万条记录。请为单次搜索或导出设置返回记录数上限，并将完整导出转入单独的流程（审批或限时进行）。
设置限制及达到限制时的告警，参见速率限制与滥用控制。
记录每小时读取的行数，并对与正常水平的差异发出告警
作为第一步，请记录每小时从会员数据库读取的行数，并在数量超过平时数倍时通知相关人员。许多云数据库和审计日志功能都可以针对行数或运行时间设置告警。
除了数量，还应关注异常时段或异常来源的读取行为，这也有助于更容易地发现异常。
列出所有可读取全部会员数据的路径，并加以收窄
除应用使用的路径外，会员管理系统通常还有用于管理后台、开发和维护的连接。请列出哪些路径可以读取全部会员数据，关闭未使用的连接，并对其余连接要求多因素认证和来源限制（背景知识：身份认证与授权）。
信息来源（公开记录）
本文事实来自以下公开来源。对于未公开的入侵方法或原因，本文不作推测。
- Monogatari Corporation，关于烧肉王官方应用会员管理系统遭未经授权第三方访问导致个人数据外泄的致歉（2026年10月5日，日文）— monogatari.co.jp
- 同一公司，关于烧肉王官方应用未来安全及个人数据保护措施的通知（2026年10月20日，日文）— monogatari.co.jp
- ITmedia NEWS（2026年10月5日，日文）— itmedia.co.jp
- 日本经济新闻，关于烧肉王超过1000万条客户数据外泄的报道（2026年10月5日，日文）— nikkei.com
- ASCII，关于约1078万人数据外泄、涵盖几乎所有应用注册用户的报道（2026年10月5日，经由Yahoo! News Japan，日文）— news.yahoo.co.jp
更新记录
2026-10-22：补充Monogatari Corporation于10月20日发布的通知：自10月2日上午9时起的间歇性未经授权访问、加强监控等措施、集团11个官方应用计划迁移到不再保存姓名或电话号码的新系统（2027年上半年），以及警方报案和向个人信息保护委员会报告的情况。原因细节仍未公布。
2026-10-05：首次发布，依据Monogatari Corporation于10月5日发布的通知。公司表示正在调查原因及访问方式；公布后本文将予以更新。
延伸阅读
- 后续诈骗：什么是网络钓鱼？ / 智能手机安全基础
- 密码：如何选择密码管理器
- 同期日本其他事件：Seicomart应用数据泄露 / Abahouse数据泄露 / MrMax应用及网店数据泄露 / Bookoff会员数据泄露（最多约643万条记录） / infoQ调查网站数据泄露 / Burger King Japan应用数据泄露（约1118万条记录）
- 餐厅连锁的点餐系统：Pizza Hut Japan网上点餐数据泄露
- 其他2026年事件：数据泄露和网络攻击列表（日本及全球）