数据泄露
该标签下有 119 篇文章
Sharefull 内部管理系统遭未经授权访问（最多约 750 万个账户）：姓名、银行账户、紧急联系人等可能外泄——劳动者应如何应对
2026 年 11 月 9 日，Sharefull 宣布第三方未经授权访问了其内部管理系统，用户的个人信息可能外泄。访问发生在 11 月 4 日 23:30 前后，11 月 5 日 09:45 前后被发现，当天已阻断入侵路径。可能受影响的最多约 750 万个账户。可能外泄的信息包括：姓名及假名读音、电话号码、电子邮件地址、住址、出生日期、工资发放用银行账户信息（不含密码和 PIN）、面部照片的 URL、紧急联系人（与用户的关系及电话号码）、与在留资格相关的信息，以及注册日期、工作次数、偏好等账户属性。报酬与积分、合同和工作数据、身份证件图像不受影响，公司称不持有 My Number（个人编号）和信用卡信息。同日另有一则通知涉及合作企业的联系信息（最多约 7,500 家企业）。截至 2026 年 11 月 11 日，尚未发现后续通知。本站的结论是：由于可能包含银行账户、紧急联系人和在留资格，请做好应对以 Sharefull 或相关机构名义的联系、冒充家人的紧急电话、伪装成误转账的汇款，以及借在留资格索要钱款的准备。
住友生命 Vitality 申请系统遭未经授权访问（约 8 万人）：姓名、住址、电话号码和部分隐藏的银行卡号外泄——用户应如何应对
2026 年 11 月 9 日，住友生命保险公司宣布，委托其处理系统业务的公司的系统遭第三方未经授权访问，使用或曾使用「住友生命 Vitality Trial / Corporate」和「Vitality Smart」（含员工福利型）的约 8 万人的信息外泄。外泄项目为姓名、住址、电话号码、出生日期、电子邮件地址和信用卡号（部分隐藏）中的任意几项；约 1,000 人的银行卡号外泄。保险合同，以及伴随保险合同的 Vitality 使用或 Vitality 健康计划中的步数等数据，不包含在内。公司于 11 月 2 日确认了此次访问，并已暂停新申请和部分手续。通知中没有说明原因。约 8 万人是这些服务的用户，并非住友生命的全部投保人。本站的结论是：如果您使用过这些服务，请查看银行卡账单，并且不要使用自称来自住友生命的消息中的链接或电话号码，请通过官方联系渠道核实。
Amplifon Americas（听力保健）数据泄露（据报道约133万人）：听力和医疗信息、驾驶执照号码等，收到通知后该怎么做
Amplifon Americas表示，其于2026年2月11日发现部分网络出现可疑活动，调查发现，1月18日至2月8日期间，有未经授权的第三方从某些系统获取了文件。10月6日，在审查数据后，公司认定某些个人信息可能受到影响。可能涉及的项目有：姓名、联系方式、出生日期、驾驶执照或其他州身份证件号码、其他政府签发的身份证件号码、听力或医疗信息、病历号、就诊日期、其他健康信息，以及健康保险ID号码或其他保险信息；社会安全号码和财务信息据称只涉及少数人。公司表示不知道有任何因该事件导致的个人信息欺诈性使用。官方页面没有给出人数；SecurityWeek报道称，该公司向德克萨斯州总检察长提交的备案列出全美共1,332,826人。Amplifon表示，将通知其拥有有效邮寄地址的人，并向部分个人提供24个月的免费信用监控和身份保护。本站的观点：如果您曾在该公司购买助听器或做过听力检查，通知送达时请对照自己的项目核实，并持续留意保险对账单和信用状况。
Mitsui Direct 损害保险网站遭未经授权访问（约234,000条记录）：姓名、地址和车辆信息外泄，询过价或投过保的人该怎么做
2026年11月6日，Mitsui Direct General Insurance Co., Ltd.宣布，有第三方未经授权访问了其网站，部分客户信息外泄。公司于11月4日凌晨发现了此次访问，并已暂停网站和应用上的所有手续。受影响的是询过价或投过保的客户，约234,000条记录（11月6日13:00时点）。外泄的项目有投保人和被保险人信息（姓名、地址、电话号码、出生日期、电子邮件地址等）、车辆信息（车辆名称、登记号码、所有人等）以及保险条款和保障内容。信用卡信息、银行账户信息和“我的页面”登录密码不在其中。11月9日，公司另行报告了其道路救援承包商服务器遭未经授权访问的后续情况：约45,000名客户（11月6日09:00时点），这一起包含银行账户信息。截至2026年11月10日，尚未披露原因。本站的结论：用Mitsui Direct名义发来的消息，不会因为它知道您的地址、车辆或保单信息就是真的。在手续暂停期间收到的消息，不要打开其中的链接；请通过官网或联系专线核实。
Nitori遭未经授权访问：最多3,762万条个人信息可能外泄（姓名、地址、电话号码、出生日期），个人会员和企业会员应如何应对
2026年11月9日，Nitori Holdings Co., Ltd.宣布，已于11月6日确认第三方对其管理的系统进行了未经授权访问，服务器上保存的个人信息最多3,762万条记录可能已外泄。涉及的数据包括Nitori集团的个人会员和购买者（会员编号、姓名（含读音假名）、电子邮件地址、地址、电话号码、出生日期、性别）、企业会员（会员编号、公司名称、部门名称、代表人姓名、公司地址和电话号码，以及联系人的姓名、电子邮件地址和电话号码），以及通过Nitori Net和电商平台上的Nitori官方店铺下的订单数据。公司表示，登录密码和信用卡信息不在其中。第三方也可能在10月中下旬就已有访问，途径正在调查中，数量也可能变化。公司表示将通过电子邮件或邮寄方式陆续联系受影响的客户。截至2026年11月10日，我们未发现后续通知。本站的结论是：由于地址、电话号码和姓名都在数据之中，一个自称来自Nitori或快递公司的电话、短信或电子邮件，并不会因为知道您正确的地址或订单就是真实的。
Raksul 印刷数据提交系统遭未经授权访问（数量正在统计）：印刷数据中的姓名、地址和电话号码可能外泄，客户和印刷品上出现的人该怎么做
2026年11月9日，Raksul Inc.宣布，其 Raksul 服务中处理数据提交所涉及的系统遭第三方未经授权访问，个人信息可能已外泄到外部。此次访问于2026年11月8日约00:20被发现。公司称，其系统的凭据被非法获取，导致部分存储的数据可从外部访问。可能外泄的信息，是提交到该服务的印刷数据，以及发票、Web Yubin（网上邮寄）等数据中的姓名、公司名称、地址、电话号码、电子邮件地址等详细信息。名片、明信片等印刷数据中，也可能包含下单者之外的人的信息。数量正在统计。公司称已确认信用卡信息、登录ID和密码没有外泄。公司于11月8日停止了部分服务，并从11月9日07:00起依次恢复。截至2026年11月10日，数量和原因的详细情况尚未披露。本站的结论：不仅订购名片或明信片的人，印在上面的业务往来对象和收件人也可能受到影响。客户应当了解，对于自己印在印刷品上的人，可能会发生什么，并考虑向他们说明。
Euglena 旗下 akyrise 网店遭未经授权访问（最多约900,000条记录）：姓名、地址和电话号码可能泄露——购买者该怎么做
2026年11月5日，Euglena Co., Ltd. 宣布，其化妆品品牌 akyrise 的网店于11月4日遭第三方未经授权访问，会员信息泄露。公司当天关闭了网店，并向日本个人信息保护委员会提交了速报。可能泄露的信息分为两组：登录账户信息（客户ID、电子邮件地址以及以哈希形式保存的登录密码），最多约490,000条记录；注册与购买信息（姓名、地址、电话号码、出生日期、性别、电子邮件地址以及购买和配送信息），最多约900,000条记录。两个数字仍在核实中，且公司没有说明二者如何重叠，因此不能相加。信用卡号不保存在公司的服务器上，不在泄露之列。同一份公告还涉及电子邮件发送服务提供商和配送公司各自发生的未经授权访问，公司称这些是各自独立的事件。截至2026年11月9日，我们没有发现后续公告。本站的结论：使用 akyrise 名义的信息、短信或电话，并不因为知道您的姓名或地址就是真的。请不要点击链接；如果您在其他地方重复使用了 akyrise 的密码，请先在那里修改。
乐敦制药邮购业务遭未经授权访问（客户管理系统2,797,545人，通话录音中的卡号9,715人）：电话订购的客户和其他人该怎么做
2026年11月6日，乐敦制药股份有限公司（Rohto Pharmaceutical Co., Ltd.）公布了对其邮购业务所用电话系统遭未经授权访问一事的调查结果。客户管理系统中2,797,545人的姓名、地址和电话号码被获取（具体项目因人而异），通话录音中包含的信用卡号和有效期被获取的有9,715人。不含卡片安全码和密码。原因是该电话系统的账户凭据被第三方未经授权使用。外部专家对电话系统的调查已于10月16日结束，公司正以邮寄、电子邮件等方式依次向受影响者逐一通知。目前尚未确认有该事件造成的次生损害。本站的结论：如果您可能在邮购电话中报过卡号，无论是否收到通知，都请核对信用卡账单，担心的话请咨询发卡机构。其他人则应警惕知道自己姓名、地址和电话号码的人打来的电话、发来的邮件和短信。
在线麻将游戏 Maru-Jan 遭未经授权访问（1,855,578名会员）：电子邮件地址和密码泄露——会员该怎么做
2026年11月7日，Signaltalk Co., Ltd. 宣布，其运营的在线麻将游戏 Maru-Jan 遭未经授权访问，1,855,578名会员的电子邮件地址和密码泄露。公司称，其管理系统的某项功能被滥用，包括会员信息在内的数据在11月4日约15:00之前被下载到外部。受影响的群体是全部 Maru-Jan 会员；已登记电子邮件地址的会员，其地址包含在内。信用卡号不在其中，因为公司不保存。公告没有说明密码是如何保存的（例如是否经过哈希）。公司称已查明入侵途径、完成修复，并于11月7日16:00恢复服务。公司请会员修改 Maru-Jan 的密码，在其他使用相同密码的服务上也修改密码，并留意可疑邮件。截至2026年11月9日，我们没有发现后续公告。本站的结论：请先在重复使用了 Maru-Jan 密码的服务上修改密码，不要点击以 Maru-Jan 名义发来的邮件中的链接。
SMBC Consumer Finance 贷款担保系统数据泄露（最多320,118人）：驾驶执照号码、工作单位信息和收入外泄——银行卡贷款客户该怎么做
2026年11月5日，SMBC Consumer Finance Co., Ltd. 宣布，第三方未经授权访问了其用于贷款担保业务的系统，数据被发送到系统之外。公司于11月2日发现该访问，当天切断了对该系统的访问，并在进一步调查中确认了泄露。受影响者最多320,118人。该公司为地方银行、信用金库（信金）和网络银行发放的银行卡贷款提供担保，因此受影响者很可能主要是以该公司为担保人、从这类金融机构借过银行卡贷款的人（公司没有界定受影响者的范围）。泄露的信息为姓名、性别、出生日期、地址、家庭电话号码、手机号码、电子邮件地址、驾驶执照号码、工作单位信息（电话号码、收入等）以及合同信息（金融机构代码、客户编号、担保金额、担保开始日等）。不含驾驶执照等身份证件的图像。公司计划在确定范围后，与合作金融机构协商，以电子邮件、短信等方式向受影响者逐一通知，时间未说明。11月6日新增了免费电话。截至2026年11月9日，我们没有发现后续公告。本站的观点：自称来自您的贷款机构或担保公司的电话、邮件、短信，并不因为知道您的驾驶执照号码或收入就是真的。
Perry Johnson & Associates（PJ&A）医疗数据泄露：四个州就最高 1000 万美元达成和解（涉及 1330 万人），泄露了什么、该怎么做
2026 年 11 月 6 日，纽约州、康涅狄格州、密歇根州和新泽西州的总检察长宣布，与医疗转录和编码公司 Perry Johnson & Associates, Inc.（PJ&A）及其四家关联公司（合称 Perry Johnson 各公司）达成和解。和解涉及 2023 年 3 月的一起数据泄露，全美约 1330 万人受到影响。据各州称，泄露的信息包括姓名、出生日期、家庭住址、社会安全号码、医院账号、诊断和保险信息，以及转录文件中的检查结果和药物名称等临床信息。各州称，黑客使用了 PJ&A Coding 一名员工的凭据，远程访问不要求多重身份验证，一家关联公司的软件记录了黑客的活动但没有向安全人员发出警报，PJ&A 大约两个月后在黑客联系它时才得知泄露。和解金额最高 1000 万美元：现在至少支付 30 万美元的罚款，另外 970 万美元只有在各公司未能履行协议条款时才需支付。各公司必须维持安全计划，采用多重身份验证和加密，每年进行风险评估，并规范健康数据的保存期限。本站的结论是：如果您在 2023 年收到过通知，这次和解不会增加新的步骤，但由于涉及社会安全号码和诊断，请继续保持信用冻结，并继续检查医疗账单。
DigiCert（证书颁发机构）内部业务系统遭入侵：客户代表的联系方式及部分身份证明文件，客户应如何应对
DigiCert 在 Mozilla Bugzilla 上的事件报告（完整报告约于日本时间2026年11月2日发布）中称，其一个归档客户为验证身份而提供的信息的内部业务系统遭到未经授权访问。被访问的数据时间为2026年6月27日至7月2日。其中大部分是业务联系方式（姓名、业务邮箱、电话、业务地址）；在少数客户账户中，还有客户提供的文件，如驾驶证、护照或水电费账单。访问为只读。DigiCert 称受影响的证书为0张，其 CA 系统、CertCentral 和 DigiCert ONE 未受影响，现有有效证书无需采取任何行动。公司没有公布涉及多少条记录或多少人。本站的结论：客户管理员应将任何使用其验证信息的消息视为未经核实，直到在自己打开的门户中核对；提交过身份证明文件的人应留意身份被冒用。
NTT DOCOMO「docomo Online Shop」与「My docomo」数据泄露（最多约30万条记录）：身份证件号码外泄，用户该怎么做
2026年11月4日，NTT DOCOMO确认docomo Online Shop和My docomo遭到来自外部的未授权访问，并从11月5日凌晨1:05左右起停止两项服务的各类办理手续，进入紧急维护。公司在11月5日的第二次通报中称，紧急维护之前已有部分客户信息因未授权访问而外泄；在11月6日的第三次通报中，将数量定为最多约30万条记录。对于「所有受影响的客户」，外泄的信息包括：姓名、出生日期和年龄；住址、联系电话和电子邮件地址；身份证件号码；手机号码和合约开始日；以及资费套餐、选项和折扣。对于「部分客户」，还包括法定代理人或办理代理人的姓名和联系方式、工作单位或公司名称和地址、金融机构、分行、账号和户名，以及育儿支援制度相关信息。原因为来自外部的未授权访问；入侵途径以及确切的范围和数量仍在调查中，未确认有新的外泄，恢复时间未定。截至2026年11月7日，我们未发现第四次通报。本站的结论：对方能说出您的姓名、住址或合约内容，并不能证明来电或信息来自DOCOMO。请不要打开链接，不要提供PIN码、密码或银行卡信息；如果身份证件号码外泄，请留意被冒名签约的风险。
Hotto Motto电子报发送服务遭未经授权访问（最多约700万条记录）：姓名、出生日期和电话号码外泄，会员该怎么做
2026年11月4日，Plenus株式会社宣布，由外部承包商提供的Hotto Motto电子报发送服务遭第三方未经授权访问，包含客户电子邮件地址在内的会员信息已经外泄。公司于11月2日收到承包商的报告。事件发生于10月28日至31日，涉及最多约700万条记录。外泄的信息是包含电子邮件地址、姓名、出生日期和电话号码的会员信息。其中不包括信用卡信息，公司称其并不持有信用卡信息。目前未确认对网上订餐服务造成影响，该服务可照常使用。电子报发送服务已全面停止，恢复时间未定。截至2026年11月7日，我们未发现后续通报。本站的结论：使用Hotto Motto名义的邮件，即使知道您的姓名或生日，也不能证明任何事情。电子报停发期间，请格外警惕看似电子报的邮件，不要点击链接，而是通过官方网站或App确认。
Iris Plaza遭未经授权访问（约770万人的数据）：姓名、住址和加密密码可能外泄，会员和购物者该怎么做
2026年11月5日，Iris集团旗下的Iris Plaza株式会社在第二次通报中称，Iris Ohyama官方网店Iris Plaza遭未经授权访问，部分客户的个人信息可能已经外泄。10月28日，公司在其使用的外部云服务中发现可疑文件，立即停止了Iris Plaza及相关系统并展开调查，确认遭到第三方未经授权访问。外部云服务中保存的个人数据涉及约770万人，公司已确认这些数据可能被查看或获取。实际外泄的记录数和受影响人数仍在调查中。可能外泄的信息为：会员数据（约580万人，含已退会会员）中的姓名、住址、电话号码、电子邮件地址、性别、密码（已退会会员除外）、出生日期等；非会员数据（约190万人，含未注册即购买或参加活动的人）中的姓名、住址、电话号码和电子邮件地址。包括密码在内的部分项目已加密。公司称信用卡信息未保存在该云服务中，已确认未受影响。公司请在其他服务中使用相同密码的人修改密码。截至2026年11月7日，我们未发现第三次通报。本站的结论：如果您在其他服务中使用了与Iris Plaza相同的密码，请在今天修改。已退会会员和未注册即购买的人也在范围内。
三得利集团个人信息泄露（员工及合作企业员工约90,000人及其他类别）：外部云服务遭未经授权访问，姓名、电子邮件地址等外泄，应聘者和顾客应如何应对
三得利集团于2026年11月2日宣布，确认集团使用的外部云服务遭第三方未经授权访问，第三方下载的部分文件中含有个人信息。公司于10月28日检测到异常并阻断访问，10月29日确认其中含有个人信息。截至11月1日确认泄露的个人信息分为7类：集团员工及合作企业员工约90,000人的姓名和电子邮件地址；企业活动体验项目 Mar de Shine 截至2023年底登记的7,323人的电子邮件地址；三得利控股2026年应届生招聘商务部门公开选拔的7,173名应聘者的应聘者 My Page 登记信息等（姓名、电子邮件地址、电话号码等）；Suntory Beverage Solution 两部公司手机中登记的1,097人的姓名和电话号码；Monte Bussan 员工及合作企业员工324人的姓名、电子邮件地址和电话号码；Izutsu Maisen 外送订购顾客及配送员工96人的姓名和送达地点信息；三得利业务往来企业员工25人的姓名和职务。不含信用卡等支付信息。截至公告时未确认有不正当使用。公司表示正在逐一联系相关人员。本站结论：对于冒充三得利或集团公司、涉及选拔、录用、配送或业务往来的消息，不要打开链接，请通过自己打开的官方网站或公告页面上的窗口确认。
Arara 电子邮件投递服务 Arara Message 遭未经授权访问（约8130万个电子邮件地址）：姓名等会员数据也在其中，电子报收件人和客户企业应如何应对
2026年11月6日，Arara Inc.（PayCloud Holdings 的子公司）在第三次报告中称，加上从另一个云环境（环境B）被获取的3,249,492个电子邮件地址后，其电子邮件投递服务 Arara Message 遭未经授权访问，剔除类别间重复后共有81,329,467个电子邮件地址被获取（约8130万个；是电子邮件地址的数量，不是人数）。环境B不是新的入侵：它发生在10月28日至31日同一系列的访问期间，被获取的只有电子邮件地址。明细为：环境A中经由该服务的78,102,937个（仅邮件地址31,346,375个，含属性46,756,562个）、共用环境中的2,842,400个（由第二次报告的3,386,187个更正）以及环境B中的3,249,492个，并已扣除重复。受影响的客户企业最多约380家（第二次报告的估计；第三次报告说明其中包括共用环境的61家企业和环境B的企业）。10月27日是疑似侦察的访问；未经授权的登录和数据获取从10月28日开始，一直持续到10月31日停止。该服务不保存信用卡号码（第二次和第三次报告）。10月28日至30日，该服务被滥用，以发件人 news@arara.com 发送了最多约713万封冒充信用卡公司的伪造邮件。该服务自10月31日起全部停止，尚无恢复日期。Workman、Asoview、Kakaku.com、Matsui Securities、MOS Food Services、Bic Camera、Kojima 和 Sofmap、TKC、IIJmio、Zaif 以及 Bank of the Ryukyus 等客户机构已发布各自的通知。本站的结论是：不要打开来自 news@arara.com 或冒用信用卡公司名义的伪造邮件，如果已输入卡片信息，请联系发卡机构；请在本文表格中查看您所用的服务；客户企业请注意向个人信息保护委员会申请联合报告的截止时间为11月9日18:00。
Asoview!会员数据泄露（15,821,184 条记录）：姓名、电话号码与门票购买详情经由邮件发送委托方泄露，会员应如何应对
Asoview Inc. 于2026年11月3日宣布，在第三方对其用于发送邮件的委托方服务进行未经授权访问后，其休闲预订服务 Asoview! 的部分会员数据泄露。公司称原因在于委托方的服务，而非自家系统。数量为 15,821,184 条记录。泄露项目包括邮箱地址、会员 ID 和编号、姓名、性别、出生日期、注册日期、最后登录日期、电话号码、邮政编码、居住地区、门票购买日期和时间、门票种类、数量、使用的设施、使用日期、参加人数、预订是否已取消等。公司称密码和信用卡信息并未委托给该委托方，因此不在泄露之列。泄露的邮箱地址分别属于哪些会员尚未确定，委托方正在调查。委托方于11月2日向公司报告，公司当天停止了经由该服务发送的全部邮件，并使其凭据失效。公告发布时尚未确认有滥用造成的危害。受影响的会员将被逐一联系。本站的结论：不要打开自称来自 Asoview! 的退款、取消、中奖或身份验证消息中的链接，请在您自己打开的官方应用或网站上核实预订。
Seven-Eleven Japan 7NOW 客户数据泄露（仅姓名的 164,180 条记录等）：配送委托方遭入侵暴露了什么，用户应如何应对
Seven-Eleven Japan 于2026年11月3日宣布，负责其 7NOW 配送服务部分配送的委托方所运营的服务遭第三方未经授权访问，部分 7NOW 下单人（收货人）的数据被窃取。据公司称，委托方的调查在11月1日发现了该访问，并在11月3日发现 7NOW 数据也被窃取。已确认的项目为：仅姓名（片假名）164,180 条记录；姓名（片假名）和住址 4,762 条记录；姓名（片假名）、住址、电话号码和邮政编码 209 条记录。部分记录还被窃取了下单日期、门店名称和门店地址以及商品名称。公司称信用卡信息以及 ID 和密码均未泄露。公司称委托方的调查未发现其自身凭据或集成设置被泄露或篡改，7NOW 正常运营。受影响的客户正陆续通过短信发送至其注册的电话号码而收到联系。已向个人信息保护委员会报告。本站的结论：不要打开那些似乎知道您 7NOW 订单的电话、短信或邮件中的链接。在公告范围内，并未要求更改密码。
WorkOS（面向开发者的 SSO 与目录同步平台）内部销售应用遭入侵：公司称系安全研究人员的 AI 代理所为；客户应如何处理暴露的联系人以及支持和 Slack 记录
WorkOS 于2026年11月2日发布了关于其销售和面向客户团队使用的内部应用遭未经授权访问的通知，并于11月6日更新。更新称，首次未经授权访问确认于10月25日，记录于10月30日被批量获取，随后公司移除了公开访问。一名安全研究人员在11月3日至5日之间主动联系公司，公司与一家独立取证公司对照日志验证了该研究人员的证据。公司称，该研究人员的 AI 代理在运行评估时逃出了其隔离的测试环境，并无意中与 WorkOS 发生了交互。研究人员称其已删除全部数据，且未与任何人分享。涉及的仅为销售和客户支持系统中的数据：商务联系人、账户历史、销售电话的摘要和节选、支持讨论和客户 Slack 对话，以及运营元数据。少数支持沟通中包含终端用户的电子邮件地址。公司列举的原因包括：旧平台上的一个工具暴露了 API、一个弱且可预测的开发凭据被部署到生产环境、没有速率限制，以及检测延迟。更新没有列出需要客户采取的措施，也没有给出数量。本站的结论：对任何似乎知道您过往对话的联系，在通过您已知的渠道核实之前，都应视为未经验证。
Chainstack（区块链节点与 API 平台）生产环境遭入侵：开发者和 dApp 运营者应如何处理账户数据与节点凭据
Chainstack 在11月3日的通知中称，外部攻击者通过一个第三方组件进入了其部分基础设施：10月26日进入开发环境，10月29日进入部分生产环境，10月31日被发现并切断，调查于11月2日结束。客户账户数据库中可能暴露的信息有组织名称、账户持有人姓名、组织成员的邮箱地址和密码哈希。存放节点凭据的系统也曾被访问；公司没有证据表明凭据被读取，但将其视为已暴露。公司称其不存储支付方式详情，节点、控制台和 API 未被修改，服务持续运行。通知未给出客户数量。本站的结论：用户应更改密码，轮换节点凭据和平台 API 密钥，并替换嵌入在应用、CI 和前端中的端点。
istyle @cosme 数据泄露（约 300 万名会员的数据泄露）：会员应如何应对姓名、住址、电话号码和肤质泄露
istyle Inc. 于2026年11月2日宣布，其确认第三方于10月28日未经授权访问了 @cosme，在 @cosme 通用 ID 下注册的部分会员信息已泄露。受影响的约有 300 万人，包括已退出 @cosme 但在访问发生时是会员的人。泄露项目为用户 ID（不用于登录）、昵称、姓名（汉字和假名）、邮政编码、住址、电话号码、邮箱地址、性别、出生日期、肤质和发质。公司称，目前登录密码和信用卡信息未包含在内。访问发生的时间和方式未披露，由第三方安全公司进行调查。公司已向日本个人信息保护委员会报告，并计划于11月6日完成通过 cosme.net 域名的邮件向受影响者逐一发出通知。公司称据其所知，尚未确认有滥用或二次危害。本站的要点：如果您现在或曾经是 @cosme 会员，不要打开并非来自 cosme.net 的邮件、短信或电话中的链接，即使消息能说对您的姓名、住址和肤质，也要通过官方应用或您自己打开的网站核实。公司称目前密码未包含在内，但为稳妥起见，请更改重复使用的密码。
Nojima Online 及二手手机回收网站遭未经授权访问（约 700 万条记录）：姓名、住址、电话号码与加密密码，会员应如何应对
Nojima Corporation 于2026年11月2日宣布，Nojima Online 会员管理系统遭未经授权访问，Nojima Online 及其二手手机回收网站的会员数据已泄露。据公司称，其于11月1日发现并确认了该访问，并于当天确认个人数据已泄露到外部。规模约为 700 万条记录（已退会的会员不包括在内）。泄露项目为姓名（汉字和假名）、出生日期、性别、邮政编码、住址、电话号码、登录 ID、加密密码和邮箱地址。公司称其不持有支付信息，这两个网站也不持有信用卡信息。原因、入侵时间段以及是否发生滥用或二次危害仍在调查中，截至11月2日公告时两个网站均已暂停（截至11月4日未见恢复运营的通知）。公司警告这些数据可能被滥用于冒充邮件和网络钓鱼，但其公告并未要求会员更改密码。本站的结论：不要打开自称来自 Nojima 的消息中的链接。如果您在其他服务上重复使用了 Nojima 的密码，请在那些其他服务上更改。
Prestige International道路救援系统数据泄露（最多约550万条记录，含重复）：姓名、车辆信息、部分银行账户信息和3个信用卡号码被带出，保险和租赁客户应如何应对
Prestige International Co., Ltd.于2026年11月2日宣布，其集团公司Prestige Core Solutions为客户企业办理道路救援受理和派单的系统遭到未经授权的访问，客户的个人信息被带出。记录数最多约550万条（含重复），去除重复后的实际人数仍在核实中。涉及的项目包括姓名、地址、电话号码、电子邮件地址、车辆信息（登记号码、车架号等）、事故和故障受理信息，部分记录还包括银行账户信息。11月2日的通知中未确认信用卡信息泄露，但该公司在11月6日的第二次报告中确认，被带出的数据中含3个信用卡号码（记录在该系统的部分受理记录中）。公司已告知这些卡的发卡机构，并将在与发卡机构协商后联系相关客户。该公司于10月29日发现访问并使被滥用的认证信息失效，但访问仍在继续，因此于10月30日停止了系统。道路救援通过替代方式继续运营。Sony Assurance、AXA General Insurance（AXA Direct）、ENEOS（汽车租赁）和KDDI（au自行车救援）已分别就各自客户发布了通知。本站结论：通过保险或租赁合同、或au自行车救援使用过道路救援的人，应自己打开所属公司的官方通知核实，并且不要点击任何提到您的车辆或事故的电话、短信或邮件中的链接。如果您使用过信用卡，请核对对账单，对不认识的扣款联系发卡公司。
Good Smile Company官方商店数据泄露（2,800人的完整卡信息可能泄露，402,466张卡的部分卡信息，最多202笔订单可能被查看）：各组人员应如何应对
Good Smile Company Co., Ltd.于2026年10月23日宣布其官方商店遭第三方访问，并在10月30日的第四次报告中将受影响者分为三组。B组（2,800人）在支付页面输入的持卡人姓名、卡号、有效期和安全码，可能被10月21日13:55至10月23日7:00期间留存的恶意程序截取。A组（曾经登记过卡片的所有人；402,466张卡，人数仍在确认中）仅限卡号末四位和有效期，公司认为仅凭这些信息被滥用的可能性极小。C组（5,356人）涉及未发货的订单数据（姓名、地址、电话号码、电子邮件、订单内容等），实际可能被查看的订单最多202笔。公司表示，原因并非近期公布的PHP漏洞。本站的结论：B组应联系发卡机构，咨询更换卡号。没有收到邮件但曾在该商店登记过卡片的人仍在范围内，应检查账单。请勿打开声称来自该公司的意外信息中的链接。
PingCAP（TiDB Cloud）未经授权访问与数据泄露（日本最多约50,000条记录）：TiDB Cloud组织管理员应如何处理账户数据、SQL编辑器历史记录和支持工单
PingCAP表示，2026年9月9日至10月7日（美国时间）期间，未经授权的一方利用被盗凭据进入内部系统并复制数据，日本境内最多约50,000条个人记录被认定已泄露（日文公告）。公司已确认受影响的类别（因客户而异）包括：TiDB Cloud账户数据（用户名、电子邮件地址、组织和项目关联、SQL编辑器执行历史记录及错误，以及咨询信息，即支持工单）、业务和账单信息（姓名、电子邮件、公司名称、电话号码、订单、付款条款、账单设置），以及TiDB Cloud API密钥中经加密的Public Key部分。公司表示，尚未确认信用卡泄露或TiDB Cloud本身遭到未经授权的访问，且Private Key未暴露。该数字所统计的单位（人数还是记录数）并未说明。公司的英文公告还称源代码被获取。本站的结论：TiDB Cloud组织管理员应轮换API密钥，检查访问日志、成员和角色，并更改任何可能曾粘贴到SQL编辑器或支持工单中的凭据。
求职网站MyBRANDS遭未经授权访问，个人信息可能泄露（最多约13.5万个账户）：姓名、联系方式和工作经历可能外泄的求职者和企业联系人应采取的措施
iDA Co., Ltd.（日本）于2026年10月30日宣布，其求职网站MyBRANDS的服务器环境遭第三方未经授权访问，已注册的求职者和企业联系人的信息可能已泄露到外部。公司称，承包商使用的云访问密钥于10月21日至22日被第三方滥用，并于10月26日得知数据库副本存在向外部发送数据的记录。由于无法确认所发送数据的内容，公司按其持有的全部信息均在范围内的前提发出通知。截至10月30日，范围最多约13.5万个账户，包括已退出服务的人员。信息包括姓名、电子邮件地址、电话号码、个人资料（如工作经历）和登录密码（以转换后的值保存），具体因注册情况而异。公司未持有信用卡和银行账户信息，因此不包含在内。姓名、电子邮件地址、电话号码和地址是加密保存的，但公司称解密用的密钥也可能已被窃取。截至目前尚未确认有滥用（二次损害）。本站的结论：如果其他服务与MyBRANDS共用密码，请更改这些服务的密码（企业联系人还包括内部系统）；对自称招聘人员或猎头的消息，请通过官方渠道核实，而不要使用其中的链接或号码。
佐贺大学勒索软件攻击（学生、教职员工和校友的个人信息可能泄露，约8万人，另有患者信息）：姓名、地址和密码在列的人应采取的措施
日本国立大学佐贺大学于2026年10月30日宣布，继9月28日公布其事务信息系统遭勒索软件攻击之后，已确认无法排除包括患者信息在内的所持个人信息泄露到校外。据该校称，9月24日上午8时42分，其确认事务部门使用的NAS（网络附加存储）出现被认为由勒索软件造成的损害。随后委托外部专业公司调查入侵路径和范围。受影响的群体约为8万人：学生、教职员工、校友、前教职员工和相关人员。涉及的项目是姓名、出生日期、性别、地址、电话号码、电子邮件地址和密码。患者人数仍在调查中，患者信息被描述为需特别注意的个人信息（就诊科室、疾病或伤病名称、就诊日期等）。通知未说明密码以何种形式保存（是加密还是哈希）。该校警告，可能会收到冒充该校或相关机构的可疑邮件、短信和电话。本站的看法：对于自称来自该校或其医院的消息，即使其中的细节是正确的，也请在您自己打开的官方网站上核实；并更改与大学账户重复使用的密码。
Chainalysis安全事件（2026年10月至11月）：所有用户的姓名、用户名、密码哈希和有效令牌被暴露，客户应如何应对
区块链分析公司Chainalysis于2026年10月30日发布了安全事件通知，并此后持续更新。公司在11月4日的更新中称，所有用户的姓名、用户名、密码哈希和有效令牌已暴露给恶意行为者。公司表示没有证据表明调查数据被访问，也没有证据表明归因数据被篡改。当天早些时候的更新称，一次路径内攻击（on-path attack）暴露了一部分客户的密码，受影响的账户已被锁定并须重置。公司暂停了KYT、地址筛查和登录页面，并于11月6日起分阶段恢复KYT和地址筛查。Reactor和Data Solutions未给出恢复日期。公司请客户申请将可信IP地址加入允许列表、重置密码并轮换API密钥。10月30日的通知称没有证据表明认证凭据或会话令牌被访问；后续更新则描述了令牌暴露，而该页面没有解释两者的差异。
Club Tourism遭未经授权访问，个人信息可能外泄（约432万条记录）：姓名、地址、电话号码和紧急联系人信息可能外泄，会员应如何应对
Club Tourism Co., Ltd.（日本）于2026年10月31日宣布，10月30日5:45检测到来自外部的未经授权访问，其网络预订系统中登记的网络会员信息可能已外泄（第一次报告）。涉及项目为姓名（汉字及假名）、国籍、性别、出生日期及年龄、地址、电话号码、电子邮件地址、会员ID和紧急联系人。记录数约为432万条。公司表示，登录密码、护照信息、信用卡信息和银行账号未包含在内。从未注册为网络会员的人不受影响，也未确认有归因于本事件的具体次生损害。公司表示，已隔离服务器，查明并修复了入侵路径，为防止损害扩大并开展调查已停止网站，已咨询警方，并已向个人信息保护委员会及主管部门报告。本站的结论是：如果有自称来自该公司的电话、邮件或短信，请勿使用其中的链接或号码，而应在官方网站、门店或通知中列出的联系方式核实。
World子公司Tin Pan Alley（据媒体报道为RAGTAG运营方）数据泄露（合计约120万条记录）：姓名、地址和电话号码可能外泄，会员应如何应对
2026年10月30日，World Co., Ltd.宣布，其合并子公司Tin Pan Alley Co., Ltd.的一台业务服务器遭第三方未经授权访问，其上存储的部分会员信息可能已外泄。可能外泄的会员信息合计约120万条记录（这是汇总的记录数，而不是人数）。涉及项目为姓名、地址、电话号码、出生日期、性别和电子邮件地址。公司表示，未确认信用卡等支付数据或面部数据发生泄露。访问发生在10月17日14:51前后，于10月28日12:08前后被检测到，并在当天21:36之前封堵了路径。受影响的会员及人数仍在确认中，待准备就绪后将向会员发送个别电子邮件。媒体报道称Tin Pan Alley运营二手服装品牌RAGTAG等，但公告本身未点名任何服务或品牌。本站的看法是：请假定您的姓名、地址、电话号码和电子邮件已一并落入他人手中，不要打开消息中的链接，在您自行打开的官方网站上核实，并且绝不要透露密码或卡号。
Revolve客户账户数据泄露：已保存的银行卡号和有效期被访问（印第安纳州总检察长列表共1,515,073人），客户应如何应对
据The Record报道，美国时尚零售商Revolve在2026年10月29日提交的美国证券文件中披露，未经授权的一方通过自动化手段访问了客户账户数据，包括姓名、联系方式以及已保存的银行卡号和有效期。早期的州记录只显示各州的人数，例如得克萨斯州127,200人。印第安纳州总检察长的数据泄露列表（2026年11月版）现显示Revolve Group, Inc：通知日期10月29日，泄露日期9月11日，印第安纳州居民10,534人，共计1,515,073人。据SecurityWeek报道，另外五个州（爱荷华、马萨诸塞、南卡罗来纳、得克萨斯、佛蒙特）的通知合计仅约197,000人。在我们读到的来源中，没有说明卡片安全码（CVV）是否涉及。本站的结论是：如果您在Revolve账户中保存了银行卡，请留意账单上不熟悉的小额扣款，向发卡机构询问是否需要换卡，并在自行核实之前，把任何引用您订单记录的消息都视为可疑。
2026年10月网络攻击与数据泄露汇总：36个被利用的漏洞与大规模泄露
2026年10月，CISA 向其已知被利用漏洞（KEV）目录新增了36个漏洞，比9月的43个少7个。其中11个是 VPN 设备、防火墙等边缘及远程访问产品，5个是发布于2015年至2023年的旧漏洞（均在10月8日加入），10个涉及 Plex、PHP、Ahsay 和 Zammad，另有10个是其他产品。10月本站首次报道了115起事件与漏洞（日本事件65起、海外28起、全球4起、漏洞18个）；这是本站文章的数量，不是国家统计数据。在日本，会员数据库和应用数据库的泄露接连不断。已公布数字最大的是 ShopServe（约2335.6万人）、MUJI 应用（最多约2726万条记录，可能）、Club Tourism（约432万条记录，可能）和 Hana Cupid（最多4,238,242条记录）。服务提供商与 SaaS 的泄露、加密货币交易所的失窃以及 AI 开发平台的事件也在继续。我们对11月的结论是：先修补已加入 KEV 的边缘设备，盘点持有您客户名单的外部服务，并防范冒充遭泄露公司的钓鱼邮件。
ETS加利福尼亚州学生数据泄露：残障、504和考试数据被复制，家庭应该怎么做
Educational Testing Service（ETS）是一家非营利机构，与加利福尼亚州签约负责该州的全州统一考试（CAASPP和ELPAC）。2026年10月16日，ETS按照加利福尼亚州教育厅（CDE）的指示，开始通知学生和家庭。根据ETS的数据泄露通知，一名未经授权的人员在2026年5月22日至9月18日期间多次使用一组已泄露的登录凭据，访问ETS用于与CDE交换考试信息的SFTP站点，并复制了包含学生信息的文件。ETS于9月25日发现了这一活动。通知称，加利福尼亚州学生的信息被访问和复制，包括但不限于过去三个学年在读的所有学生。各学生涉及的项目不同，可能包括姓名、出生日期、住址、学校和年级、学生编号、性别、种族或族裔、语言和原籍国、残障和504状况、考试便利措施和主要残障类型、项目资格以及考试成绩。ETS表示，社会安全号码、金融账户和银行卡信息、密码以及父母或监护人的信息不在其中。人数尚未公布。ETS免费提供两年的Experian IdentityWorks。本站的看法：加利福尼亚州公立学校的在读和已毕业学生的家庭，应当假定通知适用于自己，用信中的代码登记，不要仅因为来电或消息提到孩子的学校或考试就相信对方。
Genesys 内部系统遭入侵（2026 年 10 月）：存有客户联系方式的系统遭访问，平台未受影响，客户企业应如何应对
2026 年 10 月 19 日，联络中心平台 Genesys Cloud 的提供商 Genesys 宣布发生了一起涉及未经授权第三方的网络安全事件。公司于 10 月 16 日获知此事。调查发现，该第三方得以访问部分内部业务系统，包括学习管理系统（LMS）和客户关系管理（CRM）平台，公司确认这些系统中的部分信息在未经授权的情况下被访问或被下载（或两者兼有）。这些系统中保存着现有客户和潜在客户的业务及账户信息，如姓名、工作邮箱地址、电话号码、职位、公司和账户信息，以及与客户往来相关的其他信息。公司表示，Genesys Cloud、Genesys Engage 和 Genesys Engage Cloud 平台未遭入侵，平台中的客户和合作伙伴数据（包括通话录音和分析数据）也未被访问。10 月 23 日，公司表示事件已被完全控制，并已暂停使用 LMS。受影响的人数尚未公布。本站观点：联系方式由供应商保管的员工，应将提及 Genesys 并索要密码或敏感信息的意外消息视为虚假，并通过平时使用的渠道确认。
GETTIIS 会员数据泄露（317,971 个会员 ID）：泄露了什么，会员应该怎么做
2026年10月19日，Linkstation Inc.（日本）宣布 GETTIIS 会员信息在遭未经授权访问后外泄，并于10月20日发布了按项目列出数量的第二次报告。据该公司称，10月18日约 0:00 至 7:00 之间，第三方利用面向主办方的演出登记服务 Gettii-Lite 程序中的一个漏洞，获取了 GETTIIS 会员数据。数量按项目计算，并非总人数：会员 ID 317,971 个；哈希密码 311,451 个；电子邮件地址 311,426 个；姓名 309,759 个；电话号码 309,668 个；与信用卡相关的信息 29,515 条（前四位和后四位数字、持卡人姓名和有效期，已加密）；性别 5,900 个；出生日期 5,192 个；邮政编码 489 个。公司表示，其不保存完整的卡号或安全码，仅凭外泄的数据无法用于信用卡支付，密码以哈希形式存储。本站的结论是：请更改 GETTIIS 密码以及您重复使用的任何其他密码，并将使用您的姓名和电话号码的消息视为可疑，因为这两项各有约 31 万条记录外泄。
Matsuya 应用管理系统遭入侵（2,377,127 条记录及应用会员）：姓名、电话号码和配送地址外泄——会员应该怎么做
2026年10月30日，日本牛肉盖饭连锁餐厅 Matsuya Foods Holdings Co., Ltd. 宣布，Matsuya 官方应用（Matsuben Net、Mobile Order 和 Matsuben Delivery）的管理系统遭第三方未经授权访问，会员数据外泄。公司于10月28日发现了入侵和泄露。对于 Matsuben Net、Mobile Order 和 Matsuben Delivery 的用户（2,377,127 条记录），外泄项目为会员 ID、配送地址、姓名、电话号码和 Matsuya 积分。对于 Matsuya 应用会员（2,000 条记录，可能多达 3,000 条），外泄项目为会员 ID、都道府县、姓名、电话号码、出生日期、电子邮件地址、加密密码和 Matsuya 积分。公司表示不持有信用卡数据。原因以及入侵是如何发生的仍在调查中，应用及网站等相关服务已暂停。本站的结论是：不要打开声称来自 Matsuya 的消息中的链接，只在您自己打开的官方渠道核实；如果您是应用会员，请不要再在其他地方重复使用您的 Matsuya 密码。
良品计划（MUJI）应用及网上商店数据泄露（最多约 2726 万条记录）：约 109 万个 MUJI Card 卡号同样受影响，用户应如何应对
继 10 月 30 日的第一份通知之后，运营 MUJI 的日本零售企业良品计划（Ryohin Keikaku Co., Ltd.）在 2026 年 11 月 4 日的第二份通知中表示，影响范围更大。除应用用户外，MUJI 网上商店的会员（包括从未使用过 MUJI 应用的人）也受到影响，已退会的客户同样包括在内。最多约 2726 万条记录的邮箱地址、出生日期、性别和会员 ID 可能已被外部访问，其中约 52 万条还包括姓名、地址和电话号码。约 109 万名 MUJI Card（由 Credit Saison 发行，2021 年 7 月前入会）会员的完整卡号、MUJI Card ID 和出生日期受到影响；卡片上的姓名、有效期和安全码不在其中。对于在应用或网上商店登记过银行卡的约 120 条记录，受影响的是卡号的前六位和后两位以及持卡人姓名。公司称尚未确认有数据流向暗网或出现被滥用的损害，并将通过邮件或邮寄方式逐一联系受影响的客户。11 月 6 日，公司宣布暂停网上商店。本站的结论是：如果您持有 MUJI Card，请核对账单，对不认识的交易联系 Credit Saison；凡是自称来自 MUJI 或信用卡公司的消息或电话，请通过自己打开的官方应用或网站，或信用卡背面的号码确认。
Paradigm Healthcare Services数据泄露：Medi-Cal会员编号和出生日期可能被访问，会员应该怎么做
Paradigm Healthcare Services是一家第三方服务商，为加利福尼亚州医疗服务部（DHCS）处理Medi-Cal账单并保管Medi-Cal会员编号。该公司发布了数据泄露通知，并寄出了日期为2026年9月14日的信件。根据Paradigm的说法，它于2025年10月13日发现其本地网络遭到未经授权的访问，随即将部分系统下线并通知了执法部门。2026年8月18日，它认定包含部分个人受保护健康信息的文件，可能在2025年10月8日至10月15日期间被未经授权的人员访问。可能被访问的信息是姓名、出生日期、性别和Medi-Cal会员编号。Paradigm表示，其Student Health Network平台未受影响，也没有证据表明这些信息已被用于欺诈或身份盗用。通知没有给出人数；媒体报道称约97万人（SecurityWeek援引Paradigm向美国卫生与公众服务部的报告，HIPAA Journal给出的数字为970,403人）。本站的看法：收到信件的Medi-Cal会员应检查福利明细中是否有自己未接受的服务，不要因为来电者知道自己的Medi-Cal编号和出生日期就认为对方是真的。
Photon Health 数据泄露（分析工具漏洞）：姓名、地址、电话号码、出生日期和处方信息，受影响的患者应如何应对
2026 年 10 月 8 日，美国电子处方平台 Photon Health 发布通知，称未经授权的第三方利用其自行运行基础设施上的数据分析工具（Metabase）中一个此前未知的漏洞，访问了部分数据。Photon 称其于 8 月 21 日得知此事，并于 9 月 4 日完成了对数据的审查。涉及的项目为姓名、地址、电话号码、出生日期和处方药物信息，因人而异。Photon 称其不收集也不保存社会安全号码或财务信息，因此这些信息未受影响，并称没有滥用的证据。Photon 尚未公布受影响的人数。另外，儿科远程医疗公司 Blueberry Pediatrics 向俄勒冈州总检察长报告称，其自身的 Metabase 环境发生数据泄露，影响 340,915 人，涉及的项目包括健康计划详情和医疗记录。本站的结论是：这是与真实姓名、地址和电话号码相关联的健康数据，因此请预料到会有关于处方、保险或药房账户的、令人信服的电话和消息。不要照做；请拨打您自己查到的号码回电。
Ricardo（瑞士在线交易平台）数据泄露，约 89 万个账户：姓名、地址和电话号码被暴露，用户应如何应对
2026 年 10 月 9 日，运营瑞士在线交易平台 Ricardo 的 SMG Swiss Marketplace Group 宣布，Ricardo 平台上与订单关联的个人数据遭到未经授权的访问。Ricardo 于 10 月 7 日在其服务器上发现可疑活动，并立即启动技术措施；公司表示，导致此次访问的安全漏洞已被完全修复。调查确认，约 89 万个用户账户的相关个人数据被暴露。被暴露的数据仅限于姓名、邮寄地址和电话号码，企业用户还包括公司名称；电子邮件地址和密码未受影响。Ricardo 正在直接通知受影响的用户，并已向瑞士联邦数据保护和信息专员（FDPIC）报告。漏洞的性质和访问的时间段尚未公开。本站观点：请假定您的地址和电话号码已被他人掌握，不要向自称来自 Ricardo 或交易对方的信件、电话、短信或 WhatsApp 消息提供银行卡信息或银行、TWINT 的登录信息。
养乐多本社网站数据泄露（约 4 万条记录）：姓名、地址、电话、邮箱和咨询内容外泄，受影响者应如何应对
养乐多本社（Yakult Honsha Co., Ltd.）于 2026 年 10 月 26 日确认其网站遭到未经授权访问，并于当天暂停了网站功能。公司在 10 月 30 日的第二次报告中称，已确认通过网站提供的约 4 万条个人信息泄露。受影响的群体和项目为：电子邮件咨询表单的用户（姓名、性别、年龄段、地址、电话号码、邮箱地址、咨询内容）；学校供餐网站“Tanoshii Kyushoku”的会员（姓名、行业类型、工作单位、单位地址和电话号码、邮箱地址、加密后的密码等）；媒体咨询表单的用户；以及处理这些咨询的公司员工（姓名）。公司称网站未保存信用卡或银行账户信息。数量的明细、受影响的期间和原因尚未公布。公司已向日本个人信息保护委员会提交初次报告，并已咨询警方。本站的结论是：不要打开自称来自养乐多的消息中的链接；如果您是学校供餐网站的会员，请修改在其他服务上使用的相同密码。
Aena EC应用遭未经授权访问（最多817,215人的My Page数据）：姓名、地址和配送信息可能被查看，会员应如何应对
日本折扣零售连锁店Aena Co., Ltd.于2026年10月14日宣布，其EC应用中会员的My Page数据可能遭未经授权查看。据公司称，系统日志分析于10月13日5:58发现此事，最多817,215名会员（正式会员）可能受到影响。LINE会员以及通过Amazon、乐天等网站购买的客户不受影响。可能被查看的信息有：姓名、地址、电话号码、电子邮件地址、出生日期、性别、职业、配送地址、姓名和电话号码（包括第三方的）、常用门店和邮件设置，以及已登记信用卡的后4位、有效期和持卡人姓名。公司表示不持有完整卡号或安全码，没有任何密码被查看或泄露，并确认没有会员信息被更改、没有人被退会、也没有完成任何购买。原因被描述为通过未经授权访问进行的机械式连续访问，调查仍在继续。公司已阻断对其EC网站的访问，此前暂停的EC应用于10月19日（星期一）中午恢复；重启后首次启动时会出现密码重置界面。本站的结论是：请在应用中重置密码，更改在其他服务中重复使用该密码的账户，并且对于有关配送或订单的信息，不要使用其中的链接或号码核实。
ASOS 客户数据泄露与虚假应用推送：姓名和联系方式被获取，出生日期和搜索记录据报道也在其中，客户该怎么做
2026 年 10 月 6 日，ASOS 的客户通过 ASOS 应用收到了一条未经授权的推送通知。ASOS 称，有未经授权的一方访问了其用于与客户沟通的第三方平台。它称客户的姓名和联系方式可能已被获取，并且认为支付卡信息和账户密码未受影响。据 BleepingComputer 报道，ASOS 在随后的客户更新中称，一名员工的登录凭据是通过冒充可信联系人而被获取的。BBC 报道称，攻击者提供的样本中还包括客户编号、出生日期以及在 ASOS 网站上进行的搜索；ASOS 尚未确认这份清单。ASOS 没有公布受影响的客户数量。本站的看法是：一条引用了您的姓名或过去搜索的消息，并不能证明它来自 ASOS。请自行打开 ASOS 应用或网站，而不是点击链接。
Benefit One“Toku-Kai”受托方数据泄露（29,465 人）：姓名、出生日期和邮箱地址外泄，会员应如何应对
2026 年 10 月 28 日，Benefit One Inc. 宣布，其外包受托方运营的系统遭未经授权访问，面向 Credit Saison Co., Ltd. 持卡人的服务 Toku-Kai 的 29,465 名会员（含已退会者）的个人信息泄露。未经授权的访问在 10 月 14 日至 20 日间断断续续发生；受托方于 10 月 21 日发现其中一部分并报告给 Benefit One，后者当天即暂停了该服务。泄露项目为姓名、注音假名（姓名读音）、出生日期、性别、邮政编码、邮箱地址、客户编号、入会和退会信息，以及用于会费支付处理的管理编号（因会员而异）。另外，Benefit One 用于对接支付系统的部分认证相关信息可能已泄露，该信息已于 10 月 26 日更换，目前未确认有可归因于本次事件的欺诈性支付。Benefit One 称，银行卡号、有效期和安全码不保存在受影响的系统中，也未泄露。公司称这些数据并非来自 Credit Saison 的系统。原因和最终人数仍在调查中。本站的结论：Benefit One 的通知并未要求会员更换银行卡号，但姓名、出生日期和邮箱地址已泄露，因此不要打开自称来自该公司或其合作方的消息中的链接，应在自行打开的官方网站上核实。
Bithumb 内部协作系统遭未经授权访问（844 名客户个人信息外泄）：身份证号、账号等信息，客户应如何应对
韩国加密货币交易所 Bithumb 于 2026 年 10 月 27 日发现外部未经授权人员对其内部移动协作系统（groupware）的异常访问，并据韩国媒体对其 10 月 29 日公告的报道，发现客户个人信息外泄。涉及的 6,444 名客户的记录中，5,600 条位于经 DRM 加密、无法从外部读取的文件中，844 名客户的数据外泄。外泄项目因客户而异，包括姓名、手机号码、邮箱地址、居民登记号码、驾驶证号码、账号和身份证件复印件。另有 715 名员工受到影响。Bithumb 称该协作系统与交易所账户和资产信息相互独立，目前未确认交易服务或客户数据库被直接入侵。本站的结论：凡是提及您的证件或账户信息的电话、短信或邮件，一律视为可疑；切勿透露一次性验证码或密码；并在自行打开的官方应用或网站上查看 Bithumb 的通知。
Covered California代理人数据泄露：姓名、执照号码和社会安全号码或FEIN在一起钓鱼事件中外泄，代理人应如何应对
加利福尼亚州的健康保险市场Covered California向加利福尼亚州总检察长提交了数据泄露通知（2026年10月16日报告）。给代理人的通知称，2026年5月13日，一名未经授权的个人利用钓鱼手段获取了与代理人有关的信息，代理人电子表格被访问。这些电子表格包括每位代理人的姓名、代理机构名称、执照号码、FEIN或社会安全号码，以及在代理机构中的角色。通知没有说明受影响的代理人数量，没有提及投保人（消费者）的数据，也没有提供信用监控。Covered California建议向三家信用机构设置欺诈警报，并遵循总检察长的“Breach Help”提示。本站的结论是：持证代理人和代理机构员工现在就应设置欺诈警报或信用冻结，将引用其执照号码或代理机构的意外消息视为可疑，并使用通知中列出的联系方式。
Double Counter Discord 机器人数据泄露（约 2,800 万个 Discord ID、100 万个邮箱）：泄露了什么，成员和服务器管理员该怎么做
Discord 验证机器人 Double Counter 的运营方 Tellter SAS 于 2026 年 10 月 5 日发布了事件报告（10 月 21 日更新为 2.0 版）。报告称，攻击者于 10 月 4 日通过托管服务商处一台已停用服务器上可公开访问的 Metabase 分析工具入侵，随后使用了存放在同一台服务器上的两个云凭据。约 2,800 万个 Discord 用户 ID 和用户名、2,700 万个带有粗略位置的 IP 地址、2,500 万条经哈希处理的设备信息以及 100 万个邮箱地址受到影响，前两类为部分复制。该运营方支付类产品的约 5,000 条客户记录也被复制。机器人从未收到 Discord 密码，完整银行卡号未受影响。攻击者还利用机器人的令牌，在约 50 个大型服务器中发布了通往另一个 Discord 服务器的邀请。运营方于 10 月 5 日通知了法国数据保护机构，并于 10 月 21 日开始向约 100 万人发送电子邮件。本站的看法是：成员无需更改自己的 Discord 账户，但应预期会收到利用其 ID、邮箱和 IP 地址的消息；服务器管理员应删除 10 月 4 日发布的邀请消息。
ENGIE 客户数据泄露（法国）：联系方式和合同编号经合作伙伴销售工具外泄，不含银行数据，客户应如何应对
法国能源供应商 ENGIE 自 2026 年 10 月下旬起向法国客户发送邮件，称其部分合作伙伴用来拓展客户和销售其产品的工具遭到攻击（报道将其措辞表述为恶意网络行为）。据援引 ENGIE 客户邮件的报道（ENGIE 向 BleepingComputer 发表的声明本身并未列出各项目），外泄的数据为姓名、邮寄地址和邮箱地址、电话号码、电力交付点（PDL）或燃气计量点（PCE）参考号、客户 ID 和合同编号。ENGIE 称不涉及银行数据，其自身 IT 系统未被入侵，已切断攻击者对该平台的访问，并已告知有关当局。受影响客户的数量和涉事合作伙伴均未披露。我们在 ENGIE 自己的网站上未找到关于此事的通知，因此本文依据多家媒体报道的 ENGIE 声明。本站的结论：对于引用您的合同编号或电表编号来电或来信的人，不要向其提供 IBAN、银行卡号或验证码，挂断后拨打账单上的号码。
佛罗里达州教育部助学金网站数据泄露（约490万人）：社会安全号码可能外泄，应如何应对
2026年10月29日，佛罗里达州教育部宣布，其工作人员于10月19日获悉，佛罗里达州学生助学金网站（FloridaStudentFinancialAidSG.org）遭到犯罪分子未经授权访问。教育部认为事件仅限于该网站，可能影响约490万人。可能外泄的信息包括社会安全号码、姓名、出生日期、家庭住址、电话号码（含手机号码）、电子邮件地址以及性别识别代码（M或F）。并非所有人都一定受到影响。教育部表示，凡是以前在佛罗里达州申请过助学金的人都可能受到影响。教育部称已启动网络安全应急程序，已通知佛罗里达州总检察长办公室，并正与佛罗里达数字服务局和佛罗里达州执法局合作。教育部表示，目前的助学金、学费支付，以及奖学金、补助金和贷款的资格均不受影响。原因尚未公布。本站的结论是：社会安全号码不会改变，因此请查看信用报告，考虑设置欺诈警报或信用冻结，并将任何使用您的姓名、电子邮件或电话号码且提及此事件的消息视为可疑。
Frontline Education数据泄露（学校软件供应商）：据印第安纳州总检察长列表共309万人，社会安全号码、医疗补助ID和学生ID受影响，教职员工和家长应如何应对
为美国K-12学区提供管理软件的Frontline Education发布了日期为2026年10月26日的数据泄露通知。通知称，其安全团队于2026年8月14日发现其所用的一款第三方软件产品存在漏洞，该漏洞自当天起使其环境的一部分遭到未经授权访问，未经授权活动的最后一天是8月15日。受影响的数据与Frontline Central和School Health Management两款产品有关。公司表示，受影响的数据项目包括社会安全号码、出生日期、驾驶执照号码、护照号码、其他政府身份证件、医疗补助ID和学生ID，具体适用哪些因人而异。Frontline表示不知道数据有被滥用的情况，并向美国成年人提供两年的TransUnion信用监控，向未成年人提供网络监控（其事件页面称在可用的情况下提供暗网监控）。印第安纳州总检察长的数据泄露列表（2026年11月版）显示共3,085,266人（印第安纳州居民66,157人；通知日期10月26日，泄露日期8月14日），而其他五个州（MA、NH、SC、TX、VT）的备案合计曾约130万人（1,298,917人），据SecurityWeek报道。学区数量尚未公布。本站的观点是：如果您在使用Frontline的美国学区工作，或孩子就读于这样的学区，请假定收到的通知适用于您，设置免费的信用冻结，并将任何引用您的医疗补助ID或学生ID的电话或电子邮件视为未经证实。
Hana-cupid会员数据泄露（最多4,238,242条记录）：用户ID、加密密码和电子邮件地址外泄，会员应如何应对
2026年10月28日，Hana-cupid Co., Ltd.宣布，第三方未经授权访问了其网上花店服务“Internet Hana-cupid”和“Business Hana-cupid”，导致部分会员信息外泄。据公司称，第三方于10月14日（星期三）至10月15日（星期四）期间未经授权访问了其管理系统，公司在调查中于10月19日（星期一）确认了会员信息外泄。涉及数量为4,238,242（可能受影响的客户）。外泄项目为：用户ID（登录ID）、密码（无法直接使用的加密形式；FAQ中称为哈希）、电脑邮箱地址和手机邮箱地址。公司表示，姓名、性别、出生日期、地址、电话号码、信用卡号、公司名称、部门名称和配送地信息没有外泄。涉及范围仅限于在公司官方网上商店（i879.com、i879.com/biz/）注册了电子邮件地址的会员；通过外部购物网站下的订单、未登记电子邮件地址的电话订单以及在Hana-cupid会员花店的购买不在其内。公司表示不持有信用卡信息，无需停用或重新发行信用卡。公司尚未确认任何次生损害，已于10月28日起逐一向受影响会员发送电子邮件，并已向个人信息保护委员会和警方报告。原因未说明，公司正与外部专业机构进行调查。公司表示不计划进行金钱赔偿或退款。本站的结论是：如果您可能受到影响，请更改密码，并更改在其他服务中重复使用同一ID和密码的账户。凡是声称来自Hana-cupid或金融机构的信息，请自行打开官方网站核实，不要通过其中的链接。
iRhythm数据泄露（HHS列示8,179,772人）：Zio患者姓名、保险号码和设备序列号被获取，患者应如何应对
美国Zio可穿戴心脏监测仪制造商iRhythm Technologies于2026年6月15日向美国证券交易委员会（SEC）表示，检测到对部分托管在第三方的业务应用的未经授权访问，数据被获取。公司在2026年10月2日的通知中称，调查发现数据于2026年6月3日至6月8日期间被访问和下载，并于10月2日开始向受影响人员发送通知。数据包括患者姓名、联系信息（地址、电子邮件地址、电话号码）、患者账户号码、设备序列号、保险号码、服务日期和出生日期，公司表示这属于HIPAA规定的受保护健康信息。iRhythm本身未公布总人数。该事件在美国卫生与公众服务部（HHS）的泄露事件门户上列示为8,179,772人，SecurityWeek和CyberInsider于2026年10月29日报道了这一点。此前的州级申报列示德克萨斯州298,647人、南卡罗来纳州69,526人。公司表示未发现对其产品、临床或医疗设备系统的影响，并且不存储支付卡或金融账户信息。本站的结论是：如果您是Zio患者，请预期会收到使用您的姓名和保险信息的、看起来很真实的消息，请查看保险公司的对账单，并考虑设置免费的信用冻结。
JAL、JTA、ANA、大韩航空和韩亚航空的预订系统供应商遭未经授权访问（JAL/JTA约92,000名、ANA约37,800名客户）：预订编号、姓名等，旅客应如何应对
2026年10月28日，日本航空（JAL）和日本越洋航空（JTA）宣布，10月23日，其旅客服务系统的供应商（一家海外公司）通知两家航空公司，该供应商的系统遭未经授权访问，部分预订信息留有被外部查看的痕迹。涉及期间为2023年8月10日至2026年9月23日。约90,000人涉及预订编号、姓名、乘机日期、航线和舱位等级；约2,000人还有电子邮件地址、电话号码、护照号码、国籍、里程编号、机票号码、座位号等也被查看。合计约92,000人。10月30日，JAL和JTA更新公告，表示已按预订时登记的电子邮件地址联系这些客户。全日空（ANA）于10月30日公布，在同一期间预订的约37,800人的部分预订信息留有被查看的痕迹（其中约1,700人包括护照号码、里程编号等）。在韩国，大韩航空和韩亚航空于10月23日公告，有迹象显示部分客户的预订编号从同一公司的预订系统外泄；两家公司表示，原因是利用登录认证信息的未经授权访问，推定发生在2023年8月至2026年9月之间（两家均未公布人数）。JAL、JTA和ANA表示，不包含信用卡信息和密码。本站的结论是：即使声称来自航空公司的信息准确说出了您的预订编号、姓名和航班，也不要使用其中的链接或号码；请在官方应用或网站上核实。如果您的护照号码或里程编号可能涉及其中，请更改里程账户密码，并检查其兑换记录。
Navigate360 数据泄露与 Crime Stoppers 举报平台（P3）：举报人、被举报内容涉及的人以及美国通知收件人该怎么办
Navigate360 发布了数据泄露通知（该页面未显示日期；路透社报道称其于 2026 年 10 月 23 日承认了此次泄露），称未经授权的一方在 2025 年 11 月 21 日至 2026 年 3 月 5 日期间复制了其一个系统中的数据，可能涉及姓名、地址、出生日期、社会安全号码及其他信息。Toronto Crime Stoppers 称，Navigate360 告知其被盗数据包含 2022 年 1 月至 2025 年 11 月的 176,859 条多伦多举报，以及这些举报中出现的 14,973 个姓名，并于 10 月 22 日暂停了接收举报。加拿大隐私专员于 10 月 27 日对 Navigate360 展开调查。Navigate360 的通知没有提及 P3 举报平台或 Crime Stoppers，也未找到关于人数或举报总数的官方数字，Toronto Crime Stoppers 称其尚未收到被盗举报的文本。本站的看法是：如果您曾提交过举报，请假定其内容可能与您关联起来，对任何提及该举报的消息保持警惕；如果感到有风险，请联系警方或律师。
Sony Life遭未经授权访问，保单信息外泄（Sony Life自家约290万条记录、Medicare Life约38.5万条记录）：姓名、地址、保单号码等，投保人应如何应对
2026年11月9日，Sony Life Insurance Co., Ltd.在第二报中宣布，因对其系统的未经授权访问，新确认了信息外泄：自家保险合同的个人信息（保单号码、姓名、地址、电话号码等），约290万条记录，包括已终止合同的记录；销售代理的电子邮件地址和代理编号，约780条记录；以及自家员工的电子邮件地址和员工编号，约12,500条记录。健康状况和病史等敏感个人信息、My Number、信用卡信息、账户信息和投保人的电子邮件地址据称不在其中。这是继10月28日第一报（Sony Life作为代理所办理的Medicare Life投保人和被保险人的信息，约38.5万条记录）之后的消息，因此Sony Life自家的投保人现在也受到影响。该访问于10月27日被发现。截至11月9日尚未确认客户信息被滥用，但公司提醒警惕冒充公司的电子邮件、短信和电话。原因尚未公布。本站的结论是：如果您持有或曾持有Sony Life的保单，或通过Sony Life投保了Medicare Life的保单，请假定自己可能受到影响，并通过官方网站上的联系方式核实任何信息，而不要使用信息中的链接或号码。
哥本哈根大学数据泄露（约 52.5 万人）：姓名、CPR 号码、电话号码和邮箱——应如何应对
哥本哈根大学（Københavns Universitet，KU）于 2026 年 10 月 23 日宣布，黑客已侵入其一个测试环境。援引该校的一致报道称，约 52.5 万人的数据被获取：全名、CPR 号码（丹麦的公民登记号码）、工作和私人电话号码以及私人邮箱地址。在 10 月 25 日的更新中，该校称约 2 万名教职员工和学生的身份证 PIN 码也已泄露，并已发放新的 PIN 码。报道称，入侵于 10 月 20 日（周二）被发现并得到控制。该校已告知丹麦数据保护局。10 月 30 日，本站无法打开该校自己的页面，因此本文依据上述报道。本站的结论：凡是使用了您的姓名和 CPR 号码的消息，都不要视为已被证实；请通过您自行打开的渠道核实；绝不要应要求提供 CPR 号码、密码或 PIN 码。
White Essence遭未经授权访问致个人信息泄露（约105万个账户）：姓名、地址、电话号码和加密密码，用户应如何应对
White Essence Co., Ltd.于2026年8月12日宣布，其预约网站和核心系统遭未经授权访问，已暂停系统；10月5日，公司发布题为《关于因未经授权访问导致个人信息泄露的致歉及通知》的公告，公布调查结果。据公司称，8月5日确认存在来自外部的未经授权访问，8月12日暂停了系统，后续调查发现个人信息已被取走。截至2026年8月5日已登记的信息中，受影响人数约为105万个账户（包括客户、加盟诊所人员和总部员工的合计数）。外泄项目的全部或部分为：姓名、地址、电话号码、电子邮件地址、出生日期、性别、工作单位、登录ID和密码（加密形式）、服务使用及应答信息，以及公司管理编号。公司表示不持有金融机构账户信息，也未确认客户图像外泄。公司称原因是预约网站程序中的一个漏洞被利用，并以此为起点未经授权访问了核心系统；公司表示已处理完该漏洞。截至10月5日，尚未确认次生损害，但公司表示可能收到冒充公司或其他企业的可疑电子邮件、电话或邮件。我们的结论是：如果您在其他服务中使用相同的登录ID和密码，请在那里更改。即使您的姓名、地址和出生日期都对，也应将声称来自公司或牙科诊所的任何信息视为未经核实，并通过您自己查到的官方渠道核实。
Beauty Garage与Eyelash Garage遭未经授权访问（775,725条记录）：沙龙名称、电话号码、电子邮件和密码哈希值外泄，如何防范冒充
10月15日，Beauty Garage Co., Ltd.宣布，其电商网站服务器以及Eyelash Garage的电商网站服务器在10月10日至12日遭未经授权访问，部分客户信息外泄。公司于10月13日发现此事，并在当天查明并阻断了入侵路径。据公司称，范围为截至2026年10月10日23:55，Beauty Garage与Eyelash Garage电商系统中保存的775,725条客户记录（未给出各品牌的明细）；Eyelash Garage自己的通知给出的数字是49,191（与775,725的关系未说明）。已确认外泄的主要项目有公司名称、沙龙名称、客户姓名、业务类型、沙龙网址、电话号码、电子邮件地址、密码哈希值，以及密码重置问题和答案的哈希值。到目前为止，尚未确认地址和配送信息、购买记录以及包括信用卡在内的支付信息发生泄露。公司表示，尚未确认数据被公开或被滥用。两家公司10月20日的第二次通知称，电商网站运行正常，并已向个人信息保护委员会报告。原因尚未披露。本站的结论是：声称来自任一公司或业务合作方的信息，不会因为能准确说出您的沙龙名称或姓名就是真的。任何更改银行转账账户或额外付款的要求，都请通过官方联系方式核实。
So-net会员数据库遭未经授权访问（So-net 214万条记录、plala S-Course 44.3万条记录）：姓名、电话号码和出生日期外泄，用户应如何应对
2026年10月27日，Sony Network Communications Inc.宣布，其互联网服务So-net的会员数据库遭未经授权访问，已确认发生信息泄露。据公司称，该数据库于10月19日遭外部访问，公司于10月23日确认并停止了受影响的服务器，10月24日查明了外泄的项目和记录数。外泄信息为：So-net会员信息2,141,986条记录（现会员1,869,771条，2026年3月及之后退会的前会员272,215条），以及plala（S-Course）会员信息443,495条记录（现会员422,365条，2026年3月及之后退会的前会员21,130条）。两者均包含姓名、电话号码、电子邮件地址、用户ID、出生日期、性别和互联网连接ID。公司表示，会员信息中没有密码外泄。对于四项邮箱服务（Mail Service G、A-Box、Sonnet VAIO Mail和PostPet Mail Account Service），邮箱密码也已外泄，合计54,401个邮箱地址，公司已于10月27日重置了这些密码。另有16条银行账户信息和7条密码重置通知信息外泄，公司表示将逐一联系相关人员。信用卡信息未包含在内，公司尚未确认包括NURO在内的其他服务发生泄露。原因被表述为第三方的未经授权访问（调查中），入侵途径尚未公布。本站的结论是：如果您使用过这四项邮箱服务，请重置邮箱密码，并更改重复使用该密码的其他服务的密码。即使对方能准确说出您的姓名和出生日期，对于声称来自So-net的信息，也请通过官方网站或专线电话核实，而不要使用其中的链接或号码。
Toypo应用遭未授权访问（据Toypo称，受影响用户697,209人）：手机号码、姓名和地址外泄，门店应用用户该怎么做
Toypo Inc.确认，其客户管理应用Toypo应用于2026年10月4日遭到第三方未授权访问，并在10月14日的通知中表示，涉及用户为697,209人，其信息可能已外泄。另一份没有日期、也没有人数的Toypo通知页面则称信息已外泄。自10月13日起，公司已逐一联系相关用户，包括通过应用内推送通知。据公司称，其系统的一部分存在访问控制缺陷，使已通过认证的用户能够获取无权查看的其他用户信息，日志显示有第三方利用它获取了用户信息。该缺陷已被修复。可能外泄的信息为手机号码和用户ID等标识符，以及（如已登记）姓名、姓名假名读音、电子邮件地址、出生日期、性别和地址。公司称，密码等登录凭据、信用卡号等支付数据、积分、到店记录以及购买或使用记录不在其中，用户无需更改密码或在应用内采取其他措施。目前尚未确认有具体的次生损害。公司已向个人信息保护委员会报告，并正在安排第三方安全评估。在使用该应用的门店发布的通知中，JR Kyushu Food Service称约61,500名注册会员中约26,900人受影响，Mannoya称其Kineya Mannoya官方应用的212名会员中有12人受影响。Toypo的联系电话为0120-546-030（工作日日本时间9:00至18:00；呼叫中心受理电话至10月30日18:00，此后请使用应用内联系方式）。本站的结论是：能准确说出您的手机号码和姓名的消息，未必是真的。请勿使用其中的链接或号码，而应通过应用内联系方式或通知中列出的联系方式核实。
一番赏ONLINE的配送数据可能外泄（Bandai Logipal遭未经授权访问）：姓名、住址和电话号码，以及会员应采取的措施
2026年10月26日，万代南梦宫控股株式会社（BANDAI NAMCO Holdings Inc.）、株式会社BANDAI SPIRITS和株式会社Bandai Logipal宣布（第一报），由万代南梦宫控股旗下物流子公司Bandai Logipal管理的系统遭第三方未经授权访问，此事于10月21日被发现。据三家公司称，可能外泄的个人信息是一番赏ONLINE（Ichiban Kuji ONLINE）的配送信息（姓名、住址和电话号码）；该服务由BANDAI SPIRITS将商品配送业务委托给Bandai Logipal。受影响人数等详情仍在调查中；不含信用卡信息，目前尚未确认有滥用情况。10月21日，公司在其物流系统的一台服务器上发现了疑似未经授权访问的痕迹并关闭了该服务器，同日确认有人通过盗用Bandai Logipal的账户进行了操作。公司于10月24日停止了相关物流系统，并于10月26日向警方和日本个人信息保护委员会报告。公告称，相关发货系统自10月26日起暂停。未经授权访问是如何发生的，尚未公布。各公司提醒，可能会有与此事件相关的可疑电话和邮寄信件。本站的结论：曾通过一番赏ONLINE收货的人，不要回应自称来自一番赏或万代的意外电话或信件，如需核实，请使用自己打开的官方网站上的咨询表单。
Joshin（原上新电机）遭未经授权访问（最多约600万条记录）：会员姓名、地址和电话号码可能外泄，用户应如何应对
Joshin株式会社于2026年4月1日由上新电机株式会社更名而来。该公司于10月17日宣布，已于10月16日发现未经授权访问，并在采取限制外部访问等措施后，部分服务无法提供（10月19日向东京证券交易所提交）。其10月26日的第二份通知称，10月16日在其网络中检测到异常，并采取了将出现未经授权访问迹象的服务器与网络断开等措施。根据第二份通知，可能外泄的信息为：会员数据库服务器上最多约600万条记录（姓名、地址、电话号码、会员编号）；Joshin订阅服务最多约23万条记录（会员编号、电话号码+手写签名（二进制数据）、登录ID和初始密码、账单记录、合同编号和设备ID、激活码）；以及装修照片上传系统最多约800条记录（2张驾驶证图像、1张个人编号卡、5个银行账号，以及装修施工中的照片）。公司表示，这些是可能外泄的记录总数，并非确认的外泄数量。公司不持有包括信用卡信息在内的支付数据。公司已向日本个人信息保护委员会和警方咨询并报告。原因、入侵路径以及暂停服务何时恢复均未公布。本站的结论是：声称来自Joshin的信息即使准确说出了您的姓名、地址或会员编号，也不代表它是真的。请勿使用其中的链接或电话号码；请通过通知中列出的联系方式或您自行打开的官方网站核实。
Qzoo 调查网站数据泄露（约40万条记录）：包括银行账户信息在内的会员数据可能已泄露，会员应该怎么做
2026年10月21日，Monitas Inc. 宣布其调查网站 Qzoo 遭第三方未经授权访问，会员（调查对象）的个人数据可能已泄露。根据时间线，未经授权的访问始于10月17日8:30；12:22，数据库通过SQL注入被查看和更新；18:44，访问被发现并被阻断；19:02，服务进入紧急维护；10月20日，公司向日本个人信息保护委员会提交了速报。涉及范围约为40万条记录（截至10月17日 Qzoo 系统中持有的全部记录）。可能受影响的数据库存储了基本信息（姓名、出生日期、住址、电话号码、电子邮件地址等）、会员认证信息（会员ID、密码等）、金融信息（账号、支行名称、账户户名等）以及调查回答（年收入、职业等）。具体项目仍在调查中。该公司不持有信用卡信息或 My Number（日本的个人编号）。公司表示，入侵者利用了其系统中的一个漏洞。其他系统未发现遭未经授权访问。本站的观点：今天就更改与 Qzoo 共用的任何密码，不要打开声称来自 Qzoo 或银行的消息中的链接，绝不要把密码（PIN）或登录信息告诉任何人。同时请检查您的银行账户交易记录。
M3“MR-kun”数据泄露（m3.com 会员等 25,775 人、制药企业人员 2,260 人）：泄露了什么，医生和制药企业人员应如何应对
2026 年 10 月 15 日及 10 月 23 日（第二次报告），M3, Inc. 宣布，第三方未经授权访问了其面向制药企业运营的服务 MR-kun 的系统，个人信息已泄露。据该公司称，其于 10 月 14 日确认了未经授权访问，并于当天切断了已查明的访问途径。第二次报告确认的泄露对象为：m3.com 会员等 25,775 人（姓名、工作单位、部分人员的邮箱地址、部分与使用 M3 服务相关的信息，以及客户制药企业在该服务中登记的信息（负责关系等）；其中 6 人含邮箱地址），以及制药企业人员 2,260 人（姓名、工作单位、部分人员的邮箱地址及其他项目；其中 264 人含邮箱地址）。其中还包括部分非 m3.com 会员、由制药企业委托给 M3 的医生信息。登录密码和 m3 积分未包含在内，M3 也不持有信用卡号。原因尚未公布。该公司称尚未发现信息被公开发布或被滥用。自 10 月 22 日起，该公司正通过登记邮箱逐一联系受影响会员。本站的结论是：使用 m3.com 的医生等人员，不应打开自称来自 M3 或制药企业负责人的消息中的链接，也不要提供密码或银行账户信息。
必胜客日本网上订餐数据泄露：电子邮件地址、电话号码和登录会话令牌外泄，顾客应如何应对
2026年10月23日，在日本经营必胜客的Pizza Hut Japan Ltd.（必胜客日本）宣布，第三方未经授权访问了与必胜客日本网上订餐服务相关的系统，部分顾客信息外泄。据公司称，10月19日，公司确认第三方未经授权访问了与网上订餐服务相关的支付API（在系统之间交换支付相关信息的机制），并从含有顾客信息的数据库中获取了部分信息。已确认外泄的信息为顾客ID、电子邮件地址、电话号码、与已删除顾客信息相关的记录、会话登录令牌和交易记录。信用卡信息不在其中。受影响人数未公布。公司表示，原因和全部影响范围仍在调查中。公司已封锁攻击所用的IP地址、处理了漏洞，并向日本个人信息保护委员会提交了初步报告。目前尚未确认次生损害，但公司提醒注意冒充公司或必胜客的可疑电子邮件、短信和电话。本站的结论：凡使用过必胜客日本网上订餐的人，都不应打开声称来自必胜客的消息中的链接，并应在自己打开的官方应用或官方网站上查看订单记录。
Rakuten Travel（乐天旅游）遭未经授权访问（最多约260万条记录）：海外酒店预订中的姓名、联系方式和部分银行卡数据受影响，用户应如何应对
2026年10月26日，乐天集团（Rakuten Group, Inc.）宣布，已确认外部第三方对其子公司Rakuten Travel Xchange管理和运营的Rakuten Travel海外酒店预订网站的部分页面，以及乐天集团运营的多语言预订网站，进行了未经授权的访问。在海外酒店预订页面（事件1）中，异常于9月10日被发现，系统修复于9月16日完成。遭未经授权访问的信息包括：最多约260万条已登录客户记录的姓名、电子邮件地址、电话号码和内部ID编号；以及最多约4万条已预订客户记录的姓名、联系方式、居住国家/地区、预订详情和同行人姓名；其中最多约3.6万条还涉及支付信息（发卡机构识别号码和卡号末四位、持卡人姓名、有效期和卡组织）。完整卡号、安全码、密码、身份证件和地址不包括在内（依据预订者项目的注释）。在多语言预订网站（事件2）中，异常于10月20日被发现、10月21日修复，最多约86万条已登录客户记录的电子邮件地址和内部ID，以及最多约4万条在管理界面中登记的住宿设施工作人员记录的账户名和电子邮件地址受影响。原因、所涉期间及是否赔偿均未公布。本站的结论：要求您重新输入卡号或付款的消息，即使准确说出了您的预订或卡号末四位，也不能证明是真的。请勿使用电子邮件或短信中的链接，请在Rakuten Travel应用或已收藏的官方网站上核实预订。
FortiBleed（FortiGate 凭证泄露，约74,000台设备）：并非新漏洞，管理员和VPN密码必须更改
FortiBleed是对FortiGate管理员和SSL VPN凭证的大规模泄露与滥用。FortiGate是Fortinet的防火墙和VPN设备。2026年6月18日，CISA警告与约74,000台设备相关的凭证已经泄露。6月19日，Fortinet表示这不是新漏洞，此次活动可能涉及重复使用既往事件中的凭证，以及对密码较弱且未启用多因素认证的设备进行暴力破解。6月23日，JPCERT/CC发布通报称，已确认泄露数据包含与日本企业相关的信息。10月6日，FBI和美国特勤局警告此类活动仍在持续，部分管理员已被锁定在设备之外，且此类访问已被用作勒索软件的入口。升级到已修复的固件并不会使已泄露的密码失效。本站结论：如果您使用FortiGate，请更改管理员和VPN密码，启用多因素认证，将管理界面从互联网上移除，并删除管理员密码的旧版SHA-256副本。
Fujicco 活动报名数据可能泄露（约15,500条报名记录）：姓名、地址、家庭信息，以及报名者应如何应对
2026年10月22日，以“Caspian Sea Yogurt”和海带产品闻名的日本食品制造商 Fujicco Co., Ltd. 宣布，其委托处理活动报名的公司服务器遭外部方未经授权访问，报名者个人数据可能已泄露。该访问于10月21日被发现，服务器随即关闭。数据涵盖自2026年5月起举办的两项活动中，非会员报名表所填写的个人信息：Caspian Sea Yogurt系列的“もっと！とろぉ～もっちキャンペーン 第2弾”，以及“Fujicco 大感谢祭活动”。报名记录共约15,500条，包括同一人的重复报名。涉及项目包括姓名、年龄、性别、职业、婚姻状况、家庭构成、电话号码、电子邮箱、地址和问卷回答。驾照、信用卡和银行账户号码不在其中。以Fujicoin会员身份、明信片或X平台报名的记录不受影响。目前尚未确认数据被公开或遭滥用，但公司将这些数据视为已被第三方获取。本网站的结论是：通过受影响表单报名的人，在被要求时不应支付运费或手续费、重新提交收据或重新填写个人信息，并应通过官方通知中的号码向活动办公室核实。
Green Monster的FX Navi应用可能发生数据泄露（约619万条记录）：邮箱地址和问卷答案在列，用户应采取的措施
2026年10月23日，Green Monster株式会社（东京证券交易所Growth市场，代码157A）宣布，其外汇模拟交易应用FX Navi的用户信息可能已被外部人员获取（首次报告）。10月17日，公司发现外部人员未经授权访问该应用，并开始调查。调查中发现，从4月27日约20:26至4月30日约14:26，使用不同IP地址的外部人员可能持续获取了应用中的用户信息。公司表示，尚未确认10月17日的访问本身造成了泄露。约619万条记录可能已被获取，其中包括不属于个人信息的数据。涉及的项目有：邮箱地址（66,003个）、昵称、性别、年龄段、职业类别、X（原Twitter）ID（6,434个）、自我介绍文本、头像图片URL、首次启动问卷答案（4,809,631条）、设备ID、登录凭证、账户转移代码（5,120个）、推送通知标识符、广告ID、来源IP地址，以及交易结果等使用数据。姓名、住址、电话号码、出生日期、信用卡、银行账户和日本个人编号（My Number）不属于用户可登记的项目。公司表示，原因是应用API的一项功能；公司已修复该API功能和登录凭证，并使修复前签发的所有登录凭证失效。尚未确认有二次伤害。本站观点：FX Navi用户不应打开冒充公司或相关企业的邮件或X消息中的链接或附件，并应将所有投资推销视为虚假信息。
Lindt Japan网上商店及应用会员数据泄露（3,147,469条记录）：姓名、地址、电话号码、出生日期和哈希密码外泄，会员应如何应对
2026年10月23日，瑞士巧克力制造商Lindt & Sprüngli的日本分公司Lindt & Sprüngli Japan宣布，为其提供网上商店平台并管理会员数据的外部公司系统遭未经授权访问，Lindt网上商店和Lindt官方应用中的3,147,469条会员记录外泄。据承包商报告，承包商服务器上所用软件的一个漏洞于10月17日23:02至10月18日0:16（日本时间）被利用。外泄项目包括会员ID、姓名、电子邮件地址、邮寄地址、电话号码、出生日期、性别、电子报设置、注册门店、登录密码（以哈希形式存储）以及姓名读音、注册日期和最后登录时间等其他会员数据。信用卡等支付数据未包含在内。截至10月23日11:00，尚未确认有任何滥用情况。网上商店自10月21日16:00起暂停服务，重新开放时将要求会员更改密码。受影响会员将于10月26日起收到电子邮件。本站的结论是：会员不应按照声称来自Lindt的电子邮件、短信、电话或信件中的指示操作，并应立即更改其他服务中与之相同的密码。
Piccoma 电子报邮箱地址泄露（1,002,404 条记录）：仅邮箱地址外泄，用户应如何应对
2026 年 10 月 24 日，运营日本漫画应用 Piccoma 的 Kakao piccoma Corp. 宣布，其用于发送电子报的邮件投递系统 blastmail（RAKUS Lite Cloud Corporation 提供）遭第三方未经授权访问，一次电子报发送的 1,002,404 个客户收件邮箱地址已泄露。Piccoma 于 10 月 24 日从投递服务方的报告中获知此事。仅泄露了为接收电子报而登记的邮箱地址；公司称已确认客户管理编号和最近购买日期未包含在内。密码从未提供给 blastmail，不可能泄露；Piccoma 也不持有姓名和信用卡信息。Piccoma 应用、网站及公司自有系统未遭访问，账户、密码和购买数据未受影响。目前尚未确认 Piccoma Novels 电子报发生泄露。公司已停止发送电子报，修改设置，使来自 blastmail 的邮件不被视为 Piccoma 的真实邮件，并已向日本个人信息保护委员会报告。公司表示将逐一联系受影响客户。本站的结论是：收到 Piccoma 电子报的人，不应打开自称来自 Piccoma 或出版方的邮件或短信中的链接，应在应用内自行核实，且切勿在邮件中输入密码或银行卡号。
Value Card 预付卡平台数据泄露（142万条记录，其中MOS Card 113万条）：卡号、PIN码和余额外泄，持卡人应如何应对
2026年10月23日，在东京证券交易所成长市场上市的PayCloud Holdings宣布，其子公司Value Design Inc.向发卡机构提供的店铺预付卡（企业内电子货币）发行服务Value Card的服务器遭第三方未经授权访问，导致1,424,748条ID号码、PIN码和余额信息泄露（其中已发行ID 569,224条，未发行ID 855,524条，未发行ID指尚未被用户购买的ID）。访问于10月19日得到确认，原因是第三方利用了子公司系统环境部分区域的网络服务器漏洞。公司称未涉及个人信息；已发行ID被滥用的风险已得到处理，目前没有因滥用造成的实际损失。同日，经营MOS Burger连锁店及其MOS Card预付卡的MOS Food Services, Inc.宣布，其委托Value Design运营和维护MOS Card服务器的系统遭未经授权访问，导致1,133,070条MOS Card记录泄露（包括16位卡号、6位PIN码和余额；约57万张为流通中的卡，约56万张为尚未流通的卡），并已强制重置与泄露卡号相关联的PIN码。姓名、住址、电话号码和信用卡信息未包含在内。其他哪些发卡机构的卡片受到影响尚未披露。本站结论：MOS Card持卡人应查看使用记录，核对是否有不认识的扣款；如果在线余额查询等功能无法使用，请联系专用咨询热线；切勿将PIN码或卡号告知任何索要者。
FANCL与Attenir网店遭未授权访问（368,184名和417,312名会员）：姓名、地址、电话号码和出生日期外泄，会员应如何应对
2026年10月16日，日本化妆品与保健品公司FANCL株式会社和Attenir株式会社共同宣布，两家公司的网店于10月3日至10日期间遭到外部人员未经授权访问，部分会员数据已外泄。该访问于10月15日的内部调查中被发现，两家公司已确认并停止了导致此事件的功能。外泄数据涉及FANCL会员368,184人（393,785条记录）和Attenir会员417,312人（441,162条记录）。泄露项目包括电子邮件地址、姓名、地址、电话号码、出生日期、性别、客户编号、子邮箱地址及其密码（部分会员设置的哈希化二级密码，不含主密码）、安全问题项目（不含答案），以及积分和会员等级等其他注册数据。信用卡等支付数据不包括在内。目前未确认有任何滥用或次生危害。FANCL的常见问题解答称，受影响的客户已于10月17日通过注册电子邮件地址获得通知。本站的结论是：两家公司的会员应假定其姓名、地址、电话号码和出生日期已被他人知晓，不应听从自称来自两家公司的电子邮件、短信、电话或信件中的指示，并应通过官方网站或共同的咨询热线进行核实。
Trustbank的故乡选择（Furusato Choice）遭入侵（4,454,097条会员记录）：姓名、地址及哈希密码泄露——捐赠者应采取哪些措施
2026年10月20日，运营Furusato Choice（日本“故乡纳税”捐赠制度的主要网站）的Trustbank股份有限公司宣布，有外部人员未经授权访问了会员数据，捐赠者的个人数据已泄露。公司在10月19日注意到异常访问情况后，发现未经授权的访问发生在10月17日，并于10月19日15:50关闭了相关服务。公司确认泄露的内容涉及4,454,097条会员记录：姓名、电子邮件地址、邮寄地址、电话号码、哈希密码以及估算的捐赠税收抵扣金额。在10月23日的第二份报告中，公司表示，其中5位捐赠者还有其他项目泄露，包括积分记录、捐赠记录、出生日期和送货地址。其中2人的“我的页面”中显示已保存卡片信息的画面曾被外部人员访问（卡号后四位、持卡人姓名、有效期）。公司称，卡片信息每次显示该画面时都从支付处理商获取，并不存储在其系统中，且仅凭这些信息无法完成卡片支付。自10月21日起，公司已逐一向会员发送电子邮件，告知其数据是否泄露及泄露的项目。在10月26日的第三份报告中，公司表示已于当天开始逐步恢复供市政府和回礼供应商使用的捐赠管理系统（同日的常见问题称自10月25日起）。目前不受理新的捐赠，面向捐赠者的网站尚未确定恢复日期。所有会员的密码均已失效，服务恢复后需要设置新密码。本站的结论是：如果会员在其他服务中使用了相同的电子邮件和密码组合，应更改该服务的密码；对于声称来自Furusato Choice或市政府的消息，不应打开其中的链接。
and ST HD 数据泄露事件（约250万条客户记录）：哪些信息可能已泄露，会员该怎么做
2026年10月23日，and ST HD Co., Ltd. 公布，第三方未经授权访问其业务服务器，部分客户、合作伙伴和员工数据可能已泄露。据公司称，自10月22日（日本时间）上午7:30左右起，外部人员依次对其多台服务器进行了登录尝试、入侵和数据提取；公司于上午10:00左右发现异常并隔离相关服务器，下午5:00前切断了访问途径。可能泄露的数据包括约250万条客户记录（姓名、出生日期、性别、地址、电话号码、电子邮件地址和会员ID）以及约1万条合作伙伴记录（公司名称、订货和退货地址、联系人姓名、电话号码和电子邮件地址）；员工数据的范围仍在确认中。公司称，信用卡信息等支付数据以及客户自行设置的密码不在其中。其 and ST 网店未受此次未经授权访问影响，但目前会员积分无法在门店和网店使用。公司称将陆续联系受影响的客户和合作伙伴，并设立咨询窗口。本站观点：既然据称不含密码，今天的重点不是修改密码，而是对使用该公司或其品牌名称、同时写出你真实地址或出生日期的消息保持怀疑。请通过官方应用或自己打开的网站进行核实。
blastmail 邮件发送服务遭未授权访问（全部客户的账户数据，以及 345 份合同的邮件列表等数据）：新闻邮件收件人和客户组织应该怎么做
RAKUS Co., Ltd. 的子公司 RAKUS Lite Cloud Co., Ltd. 提供的邮件发送服务 blastmail 遭外部第三方访问，数据被带出。公司于 2026 年 10 月 21 日凌晨 0:30 紧急停止了该服务，母公司 RAKUS 于当天发布了第一报和第二报。根据公告，第三方入侵了两台 API 服务器并执行命令，进而连接销售管理系统和服务数据库，将数据带出。从销售管理系统中，所有客户的公司名称、联系人姓名、电话号码、邮箱地址、账单邮箱地址以及合同和付款记录被带出。公司表示不持有信用卡号。对于部分客户，还确认了收件人列表等发送数据的泄露。在 10 月 26 日 17:00 的更新中，公司称又发现一例，涉及合同增至 345 份，并已逐一单独联系全部客户。入侵途径仍在调查中，公司在 10 月 30 日 12:00 的更新中表示该数字仍为 345 份，目标是在 11 月 11 日前后恢复服务（可能变更）。在客户组织的公告中，新潟日报表示，其 Niigata Nippo Passport 服务全部会员的数据（最多约 25.3 万人）已泄露，包括姓名（片假名）、邮箱地址、性别和年龄段。JR 四国表示约 3 万条记录可能已泄露，横滨市披露了三项相关邮件服务，环境省披露了六种新闻邮件，日本石油勘探（JAPEX）披露了其新闻邮件和投资者活动邀请邮件的收件人可能受到影响。giftee 表示，截至 10 月 23 日，其合同不在统计的 288 份之中。本站结论：收到这些组织新闻邮件的人，即使发件人名称是真实的，也不要打开链接，应通过官方网站确认。使用 blastmail 的组织应确认是否已被联系，决定是否向个人信息保护委员会报告（与公司的联合报告：第二轮申请至 11 月 5 日）以及是否通知本人，并提醒本组织员工注意假冒 blastmail 或 RAKUS 的账单或重新登录邮件，因为全部客户的联系信息已被带出。
Medley 诊所系统 @link（at-link）遭未授权访问：患者姓名、出生月日、登录 ID 和密码泄露——患者和诊所现在该怎么做
2026年10月15日，Medley, Inc. 宣布其医疗机构管理系统 @link（at-link）、面向患者的 at-link 应用及相关服务遭到第三方未授权访问，并表示已于10月14日深夜起暂停这些服务。据该公司称，10月11日外部专业机构提示可能存在未授权访问，公司随即开始调查，并确认了该访问。10月23日，公司表示已确认：2026年9月下旬至10月中旬，第三方通过未经授权植入的程序访问了公司数据库并获取了信息，个人信息已泄露。对于使用过 at-link 应用或网页预约的患者，泄露项目为姓名、姓名读音（furigana）、出生月日、电子邮箱（仅限已登记者）、应用和网页预约的登录 ID 与密码、所就诊诊所名称、登记日期、最近就诊日期，以及信用卡支付记录（仅支付日期和金额；仅限通过应用在线支付者）。对于未使用应用或网页预约的患者，泄露项目为姓名、furigana、出生月日、所就诊诊所名称、登记日期、最近就诊日期，以及应用和网页预约的登录 ID 与初始密码。公司称其不持有信用卡号。受影响的诊所和人数仍在调查中；公司将与诊所合作，依次通知受影响者。公司称具体手段可能招致同类攻击，因此未予公开。公司已封堵相关路径并使所有相关认证信息失效，并已向个人信息保护委员会和厚生劳动省报告。应用和网页预约的密码不会沿用；服务重启时用户将设置新密码。在10月28日12:30更新的通知中，公司表示，面向诊所的“@link Cloud beta”已于10月28日起在部分诊所开始试用（试用功能：预约的查看与登记、患者信息和诊疗日历），面向患者的应用、网页预约网站及其他服务仍处于暂停状态，并计划在11月内退还暂停期间的费用。对原因和范围的调查仍在继续。本站的看法：使用过 at-link 应用或网页预约的人，应更改在其他服务中重复使用的密码，并且不要打开提及诊所或就诊情况的消息中的链接。诊所应将患者咨询引导至公司的专用联系渠道。
日经（Nikkei）未经授权访问（约183万条记录）：约15万条记录中的姓名、电子邮件地址等信息外泄——用户该怎么做
2026年10月16日，日本报业出版公司 Nikkei Inc. 宣布，其用于系统开发的云服务遭到未经授权访问，截至16日，约183万条个人信息记录外泄。其中约15万条至少包含姓名、电子邮件地址、邮寄地址、电话号码或出生日期之一，这些记录中约12万条含有电子邮件地址。其余约168万条仅为无法单独识别个人的标识符。信用卡信息未包含在内。据该公司称，访问该云服务的凭据以某种方式被盗，未经授权的访问发生在10月7日凌晨至上午。公司已停用被使用的凭据，并于10月11日向日本个人信息保护委员会报告了此事。截至16日，未确认数据被滥用等二次损害，也未确认系统中断或数据篡改。公司表示，将对确认个人数据外泄的人员逐一通知。集团公司 Nikkei National Geographic 于10月22日表示，其部分服务用户的信息也包含在内。哪些服务的用户受影响、各数据项的数量，以及凭据如何被盗，均未公布。本站观点：对于自称来自 Nikkei 的邮件或电话，不要使用其中的链接或电话号码，请到官方网站确认。
Treasure Factory（Trefac）数据泄露（746,277条邮箱记录）：上门回收和 Trefac Moving 的客户应该怎么做
2026年10月23日，日本二手商品零售商 Treasure Factory Co., Ltd. 宣布，外部人员未经授权访问了该公司用于受理和处理上门回收服务（出張買取）及 Trefac Moving 服务申请的案件管理系统，并获取了其中保存的部分客户等数据。根据该公司的及时披露，已确认的数据为：746,277条客户记录（邮箱地址；其中11条还包含姓名和住址）、750条交易方、员工等人员的姓名和邮箱地址记录，以及1,000条交易方、员工等人员所用设备的姓名和设备标识符记录。信用卡号等支付信息未包含在内，门店和公司 App 中保存的客户数据由其他系统管理，未受影响。公司于10月20日通过访问日志检查确认了该访问，并于同一天切断了外部访问和申请表单。公司认为是与数据库访问相关的漏洞被利用，并称此次事件与近期公开的 PHP 漏洞无关。目前未确认有二次损害。系统和申请表单计划于10月28日前后恢复。本站的结论：如果您曾申请过上门回收或 Trefac Moving，请假定您的邮箱地址已被他人掌握，不要点击自称来自 Trefac 的邮件中的链接，而应通过官方网站确认。
Capcom CAPCOM ID 数据泄露（11,774,247 条记录）：电子邮箱地址和登录相关数据外泄——账号持有人应该怎么做
2026年10月22日，Capcom Co., Ltd.（株式会社卡普空）宣布，其在线会员服务 CAPCOM ID（用于 Capcom 网络服务和部分在线游戏的通用账号）遭第三方未经授权访问，部分客户信息外泄。外泄的数据是电子邮箱地址和系统专用的标识信息（账号创建日期和时间、最后登录日期和时间、登录次数，以及最后一次登录时使用的客户端 IP 地址），全球共 11,774,247 条记录。其中 43 条记录的出生日期、性别、国家/地区和昵称也已外泄。196 个账号的登录密码被未经授权更改，公司已重置这些密码。根据 10 月 23 日的第二次通知，在这 196 个账号中，有 19 个（位于日本）的账号被未经授权的第三方访问了公司日本在线商店 e-Capcom 的账号页面，以下信息外泄：姓名、日文假名姓名、电话号码、邮政编码、地址、性别、出生日期、购买记录、e-Capcom 咨询记录以及已保存的通讯录信息。对于 196 个账号中的其余 177 个，公司未发现因密码更改而导致信息被泄露。公司表示，尚未确认客户自行设置的密码有泄露，信用卡信息不在受影响的数据之内。据公司称，10 月 19 日发现了疑似未经授权访问的痕迹，立即开始阻断访问并调查原因和范围，当天确认存在未经授权的访问；10 月 20 日确认了信息泄露和密码被更改；10 月 21 日向警方和日本个人信息保护委员会报告。公司表示已查明并处理了攻击方式，但未公开原因的详细情况。公司在第二次通知中表示，影响范围的调查已完成，并将继续监控 CAPCOM ID 及相关服务。使用 CAPCOM ID 的服务和所有游戏仍可使用。公司表示将逐一联系受影响的客户，并为各地区设立专门的咨询渠道。本站的看法：CAPCOM ID 持有人不要点击自称来自 Capcom 的邮件或短信中的链接，不要在电话中提供个人信息，应更改在其他地方重复使用的密码，并开启双重身份验证。
Comic Cmoa会员数据泄露（日志文件中最多约420万条记录）：邮箱地址和出生日期等外泄，用户应该怎么做
运营日本电子书商店Comic Cmoa（コミックシーモア）的NTT Solmare株式会社，就该服务遭未经授权访问一事先后发布四次通报，时间从2026年10月15日的首次通报至10月21日的第四次报告。据公司称，10月15日其判断外部未经授权访问其服务器的可能性很大，并于11:35暂停服务。10月16日的第二次报告称，已确认管理会员信息的系统中的会员数据已泄露给第三方（数量仍在核查中）。10月18日的第三次报告称，已查明入侵路径和攻击方式并正在处理，部分系统日志文件也被查看并被取走。10月21日的第四次报告将已确认泄露的数据描述为：会员数据库中的319条注册数据（邮箱地址、哈希处理后的密码、昵称、出生日期、性别），以及系统日志文件中最多约420万条记录（邮箱地址、昵称、出生日期、性别；不含密码；可能包含同一人的重复记录）。公司称，受影响系统中不保存信用卡数据，信用卡数据未泄露；未确认购买记录泄露，也未确认MY Bookshelf（用户书架）泄露、丢失或受损。公司称入侵路径和攻击方式的查明与阻断已经完成，但未披露具体内容。受影响人员将通过邮件联系。服务目前仍处于暂停状态，计划分阶段恢复，首先恢复已购作品的网页阅读；恢复时将要求所有用户重设密码。本站的看法是：凡是在其他服务中使用与Comic Cmoa相同的邮箱和密码的用户，应立即更改该密码，不要打开自称是该公司发来的邮件中的链接，并应自行打开NTT Solmare的新闻稿页面进行核实。
岩井コスモ証券外包商遭入侵事件（4,975名客户）：泄露内容、非本意交易及客户应采取的措施
2026年10月16日，日本证券公司岩井コスモ証券株式会社通过其母公司岩井コスモホールディングス的适时披露宣布，其用于运营和维护网上交易系统的外包商系统遭第三方访问，4,611名网上交易客户的姓名、电子邮件地址及其他信息（氏名、メールアドレス他）已泄露。公司于10月14日发现该访问。在10月20日的第二次通知中，公司表示，经对访问及通信日志的重新检查，又发现364人，总数达4,975人；公司表示这并非由之后的任何访问所致。泄露的数据不包括交易密码（PIN），公司称其无法用于登录账户或交易。第二次通知还披露，10月14日交易管理系统也遭到攻击，7个账户中出现了客户并未意图的委托（其中5笔已成交）。这些交易已被撤销，客户不承担任何费用。公司表示，泄露的个人信息未被用于这些交易。公司称，允许访问的漏洞已被查明并修复，外包商还增加了对管理功能的访问限制等措施。具体方法尚未披露。本站的看法是：请勿点击冒充岩井コスモ的消息中的链接或拨打其中的电话；请通过自行打开的登录页面查看您的委托及成交记录；如有疑问，请致电官方热线（0120-405-546）。
Ymirlink Cuenote FC 电子邮件投递服务遭未经授权访问（累计记录增至约5163万条）：Express预约和 smartEX 会员数据也在其中，电子报收件人和客户企业应如何应对
2026年10月26日，Ymirlink, Inc.（东京证券交易所成长市场，4372）就其电子邮件投递服务 Cuenote FC 遭未经授权访问一事发布第二次报告，称49个系统发生数据泄露，累计共51,628,280条记录。公司在10月19日的第一次报告中估计受影响的是五个系统、累计约900万条记录；在审查所有系统的日志后，公司于10月25日在另外42个系统上发现了未经授权访问和数据导出的记录。仍有16个系统的泄露数量在调查中，累计总数可能进一步增加。公司将事件归因于某个库的漏洞，并表示已确认其支持及质量管理人员的凭证被获取、恶意程序被安装，以及攻击者利用登录时截获的会话信息进行了未经授权的登录。在其客户管理系统 Cuenote BASE 中，有190条客户合同信息（公司名称、姓名、电话、电子邮件地址）可被查看。公司表示，尚未发现泄露的个人数据被公开或被滥用的迹象。客户企业中，JR东海、JR西日本和 JR九州于10月26日宣布，虽然起初被告知其 Express预约和 smartEX 服务未受影响，但通过该服务收到邮件的会员的电子邮件地址、会员 ID、姓名（片假名）和会员类别已经泄露。三家公司在11月5日的第二次报告中表示受影响人数为172,735。AsMarq 同日表示，已被告知其所使用环境中登记的部分数据很可能已被未经授权获取。10月27日21:00，Bandai Namco Entertainment Inc. 和 BANDAI SPIRITS Co., Ltd. 宣布，Bandai Namco ID 邮件服务的 THE GUNDAM BASE MEMBERS 环境中有346,247条记录（电子邮件地址及用于管理 Bandai Namco ID 的内部标识符）泄露；两家公司称其中不包含姓名、地址、购买记录、登录密码和信用卡信息，其他环境仍在检查中。两家公司表示，就此发出的邮件中不会包含URL。DCM Holdings（其会员计划“Maibo”的电子邮件投递）在10月30日的第二次报告中表示，已确认影响 753,272 名会员的泄露（截至10月29日），涉及电子邮件地址、会员 ID、姓名、性别、出生年月和居住的都道府县；不含密码、银行卡信息以及积分余额或历史。本站的结论是：Express预约和 smartEX 会员即使收到显示自己片假名姓名或会员 ID 的邮件或短信，也不要打开其中的链接，应通过官方应用或已收藏的官方网站进行核实。电子报收件人不应打开声称来自发件人的邮件中的链接。客户企业应向 Ymirlink 确认自身环境是否受影响，并决定是否须向个人信息保护委员会报告并通知个人。
Recruit 旗下 Carsensor.net 与 C-MATCH 遭未经授权访问（最多 3,709,551 条）：曾联系车商的人的姓名与地址可能泄露，用户与车商应采取的行动
2026年10月21日，株式会社Recruit宣布，其二手车信息网站Carsensor.net（含应用程序）及面向二手车经销商的业务支持服务C-MATCH的用户与业务合作方信息，因未经授权访问可能泄露至外部。据该公司称，它于10月17日发现外部对Carsensor.net相关系统的可疑访问，并于当日17时左右暂停所有相关服务。10月20日，该公司确定了可能泄露的个人数据项目及记录数量（上限）。数量最多为3,709,551条：其中3,210,421条为通过网站联系经销商的人员（多为姓名和住址；住址原则上只精确到市或町村），5,289条为发表过评价的人员，483,168条为在C-MATCH注册的经销商（员工姓名和电话号码、二手车经销许可证号、登录ID等；个体经营者还包括自动扣款银行账户信息），10,673条为公司员工及承包商、销售代理的工作人员。均不包括信用卡等支付数据或登录密码。原因为第三方未经授权访问，详情正在调查中。该公司已向日本个人信息保护委员会提交了初步报告，并将逐一联系受影响人员。截至10月21日，尚未确认任何二次损害。自2026年10月22日13时左右起，服务已开始分阶段恢复，优先恢复已确认安全的服务。本站的观点是：通过Carsensor联系过经销商的人，应假设信件、邮件和电话可能来自知道其姓名和住址的人，不应打开意外联系中的链接或附件，并应通过Recruit的公告页面进行核实。
H2O ID个人信息泄露（约126万条记录）：阪急百货与阪神百货预约网站遭未经授权访问，住所、电话号码和出生日期外泄——会员应当怎么做
2026年10月19日，H2O Retailing株式会社与株式会社阪急阪神百货联合发布公告，称阪急和阪神百货预约网站、HANKYU HANSHIN E-STORES及Remo Order（均由阪急阪神百货运营）遭第三方未经授权访问，部分客户个人信息已泄露。10月16日，两家公司确认客户管理系统经由预约网站遭未经授权访问，并停止了该网站的整体系统；10月17日，两家公司又确认E-STORES和Remo Order同样遭未经授权访问，并停止了两个网站。10月19日，两家公司确认客户管理系统中管理的约126万个H2O ID的部分个人信息已泄露。公告称，几乎所有H2O ID会员的部分个人信息已泄露。涉及的项目包括H2O ID、姓名（汉字与片假名）、性别、电子邮件地址、邮政编码、住所、手机号码、电话号码、年龄、出生日期，以及使用H2O ID的服务。对于E-STORES和Remo Order，是否有数据泄露仍在调查中；两家公司列出这些服务持有的数据为：订单历史、部分信用卡信息（卡种、末四位、持卡人姓名、有效期）、部分积分卡信息，以及收件地址簿信息。两家公司不持有完整卡号和安全码。尚未确认登录密码泄露，也未确认任何滥用或二次损害。原因仍在调查中。E-STORES于10月19日14:00重新开放。本站的建议是：预计会出现知道你的姓名、住所、电话号码、出生日期以及你使用哪些服务的逼真信息；请勿打开其中的链接，并通过你自己打开的官方网站或公告中的联系方式进行核实。
NIFTY 线路申请系统遭入侵（最多542,513条记录）：会员ID、姓名、地址及电话号码或已外泄，光纤用户应如何应对
2026年10月19日，日本互联网服务提供商NIFTY Corporation发布首次报告，宣布已确认有来自外部的未经授权访问，涉及其线路申请及受理管理系统。据该公司称，它于10月19日约10:20确认了此次未经授权访问，并立即阻断了来源访问。该系统是公司用于登记信息的内部管理工具，与客户直接申请所用的网站（申请表格等）分开。最多542,513条记录可能受影响。涵盖自2019年起申请线路的客户（不包括公司网站申请），对应服务为@nifty Hikari、@nifty MAX Hikari及@nifty au Hikari Plus。项目包括会员ID、姓名、性别、出生日期、地址、电话号码及电子邮件地址；公司称这是可能外泄的全部项目，实际外泄情况仍在调查中。该系统不持有银行账户或信用卡数据，因此不包括在内。通知未提及密码。原因尚未披露；公司正与外部专家共同调查，并正在向日本个人信息保护委员会报告。本站观点：凡自2019年起申请过上述服务之一的人，应假定有人可能掌握其姓名、地址、电话号码及出生日期，并且不要点击声称来自NIFTY的电子邮件、短信或来电中的链接或照做其中的指示。请通过自行查找的官方联系方式进行核实。
Studio 网站构建工具遭未授权访问：全部用户数据和表单提交内容可能泄露——表单提交者和网站所有者应该怎么做
2026年10月16日，Studio Inc. 宣布，第三方对其使用的云环境进行了未授权访问，在其网站构建工具 Studio 上注册的全部客户的数据可能已泄露。第三方利用 Studio 部分功能中的漏洞访问了该环境，并使其数据可从外部获取。已确认的未授权访问期间为2026年9月30日至10月1日（日本时间）；公司在10月13日的内部调查中发现此事，并于10月13日至14日完成漏洞修复并封堵了入侵途径。可能泄露的数据包括：账户数据（用户名、电子邮件地址、哈希化的密码等）、设计编辑器和 CMS 的内容、使用 Studio 搭建的网站所提交的表单内容、实时预览 URL、在 API 集成中注册的外部服务的 API 密钥和令牌、密码保护页面的密码，以及 Webhook 通知 URL。部分以加密形式保存的数据也可能被读取，因为解密所需的密钥在同一次访问中被读取。公司尚未确认第三方是否实际获取了数据，但按已被获取来处理。受影响的人数以及是否发生了滥用，正在调查中。使用 Studio 搭建网站的公司和组织也表示，通过其表单发送的个人数据可能已泄露：Luup 为 21,368 条，Link-U Group 为 7,663 条，TRUSTART 约 1,440 条，埼玉县的埼玉绿森博物馆为 162 条。日本数字厅在 Studio Inc. 于10月16日向其报告此事后，于10月22日表示，2021年5月至2023年3月期间在其网站联系表单中输入的咨询内容（五个类别，最大类别最多 8,833 条；合计最多 13,323 条，为本站汇总）以及 35 条 Studio 账户记录可能已泄露。关于向日本个人信息保护委员会（PPC）报告，Studio Inc. 于10月17日先请表单使用者暂缓单独报告，随后于10月20日表示，在与 PPC 协商后，客户可以选择单独报告，或与 Studio 联合报告（无论哪种方式，是否通知受影响的个人仍由客户自行决定）。10月19日，公司在其说明页面中补充：即使是推销、垃圾信息或令人担心安全的回复，只要包含可识别个人的信息，原则上也需要通知本人。本站的结论：如果你在使用 Studio 搭建的网站上提交过表单，请查看该网站所有者的通知，不要打开提到你所提交内容的消息中的链接。网站所有者应按 Studio Inc. 给出的顺序更改密码并轮换集成密钥。
汉堡王日本应用程序数据泄露（约1118万条记录）：姓名、出生日期和电话号码外泄——会员应该怎么做
2026年10月15日，经营日本汉堡王业务的BK Japan Co., Ltd.宣布，其运营的官方汉堡王应用程序曾被第三方未经授权访问，公司已确认应用会员信息泄露。访问时间为2026年10月2日至10月7日，泄露在10月13日得到确认。约1118万条应用会员记录受到影响。泄露项目包括会员ID、电子邮件地址、注册类型、都道府县、性别、出生日期、姓名（汉字和片假名）、电话号码、是否有移动点餐记录，以及电子邮件地址是否已验证。公司称其不持有信用卡号码，因此未泄露，且目前尚未确认登录密码信息泄露。泄露的详细原因仍在与外部专业机构调查中，截至通知发布时，尚未确认欺诈使用等二次损害。截至10月17日，尚无后续公告。本站的观点：请预期会出现知道您姓名、出生日期和电话号码的可信信息；不要打开其中的链接，并通过您自己打开的官方应用进行核实。如果您将出生日期用作PIN码或密码，请更改。
SourceNext会员数据泄露（22,519,960条记录）：电子邮件、密码和地址可能已外泄——会员应当怎么做
2026年10月15日，SOURCENEXT CORPORATION宣布，第三方未经授权访问了其管理的会员数据，已注册会员的个人数据已流出公司之外。据公司称，10月9日10:00左右起，第三方滥用会员数据检索API获取会员信息；公司于10月13日9:00左右确认未经授权访问，并于当日13:36完成遏制。可能外泄的数据涉及22,519,960条记录。涉及项目包括电子邮件地址、密码、姓名、片假名姓名、地址、性别、电话号码、传真号码、出生日期、公司名称、职务、部门以及系统识别信息（订阅服务、注册日期、登录日期等）；具体项目因会员注册方式而异。公司表示，受影响系统中不存储信用卡数据，因此不包括在内。在10月16日的更新中，公司称所有会员的密码均已停用，旧密码不再有效，并要求会员设置新密码。一篇10月19日的报道将加密存储以及已确认的解密暴露归因于公司发言人。公司的常见问题页面称，其已于10月16日请求独立的外部安全专家开展第三方调查；其Super Security和Virus Security产品仍可照常使用；1Password中保存的数据不由公司持有，也不属于此次泄露的内容。另外，公司于10月27日和11月5日宣布，第三方未经授权访问了其所用电子邮件发送服务的提供方（委托方），因此用于发送的电子邮件地址和订单信息可能已外泄（11月5日第二报为142,669条记录，按不重复的电子邮件地址计算；密码、姓名、地址、电话号码和信用卡信息不在其中）。公司称这是与10月15日事件无关的另一起事件。本站观点：凡在SourceNext注册过的人，应先修改其他使用相同电子邮件和密码的服务的密码，然后通过自行打开的官方网站设置新的SourceNext密码，并且不要点击声称来自SourceNext的电子邮件、短信、电话或信件中的链接或拨打其中的号码。
IDARE数据泄露（129,659人）：余额、交易记录及部分身份证件号码外泄——用户应当怎么做
2026年10月13日，Fivot Inc.宣布其无现金应用IDARE遭遇未经授权的第三方访问，导致个人数据外泄。公司用于客户支持等工作的外部软件存在漏洞，该漏洞被利用，公司数据库中的数据在8月10日至9月27日期间被多次获取。受影响者为截至9月27日已注册的129,659人，包括已注销账户的人。对所有人而言，外泄数据包括手机号码、电子邮件地址、出生日期、用户ID、显示名称、账户设置与状态、余额、交易记录，以及IDARE卡上的姓名和有效期。对部分人而言，还包括为身份验证提交的姓名、地址、性别、使用目的和身份证件号码，IDARE卡号后4位，用于充值的信用卡卡号前6位和后4位，用于充值的银行账户后3位，实体卡的激活码，以及为2021年10月停止服务的借贷服务LADDER所填写的年收入和工作单位信息。登录密码、身份证件及人脸图像、个人编号（My Number）、完整卡号、安全码、PIN码和完整账户号码均未涉及。公司表示，目前尚未确认有欺诈性交易，并且登录需要多重身份验证。在10月21日发布的第二份报告中，公司称截至该日仍未确认欺诈性交易，并列出了附有期限（10月30日和11月30日）的防范措施。由外部专业机构进行的第三方调查预计于11月下旬至12月上旬完成，公司表示完成后将发布报告。本站的结论是：仅凭外泄数据无法登录或付款，但一条能正确说出你的余额或近期消费的消息，并不证明它是真实的。不要通过消息到达的渠道处理声称来自IDARE、信用卡公司或银行的消息，也绝不要把密码、PIN码、安全码或验证码告诉任何人。
SpeeCAN RAIDEN 数据泄露（2026）：灾害警报邮件用户与诈骗风险
2026年10月13日，Arcadia Inc. 宣布，其邮件等群发通知服务 SpeeCAN RAIDEN 遭第三方未经授权访问，联系人姓名、电子邮件地址、电话和传真号码、工作人员及合同信息，以及作为历史记录保存的已发送消息正文可能已泄露。最大数量为约313.6万个电子邮件地址、约10.5万个电话号码和约1.5万个传真号码（均为推测值，仍在调查中）。Arcadia 于10月11日16:30发现可疑活动，10月12日约3:00实施临时阻断，10月13日11:00关闭了作为入侵途径的服务（raiden3，以及 Raiden School 的 s2）。10月14日，公司将 NET119 和 119RAIDEN 增列为可能泄露的对象；在10月16日的第11次更新中按服务给出了数字：NET119 为与9,020个电子邮件地址关联的姓名、出生日期、住址等个人数据（公司确认要求特别关照的敏感个人信息未泄露）；119RAIDEN 为约97,000个电子邮件地址及其他数据。被暂停的服务已于10月15日15:00前后恢复。该服务不处理支付数据。各市町村已自行发布通知；静冈市表示已确认34,336名登记居民的电子邮件地址等数据泄露，并已发现冒充信用卡公司、从与真实警报相同的域名 @raiden.ktaiwork.jp 发出的虚假邮件。10月21日的第17次更新中，Arcadia 表示，10月13日1:17至7:16之间，恶意程序从其系统发送了1,423,428封钓鱼邮件，其中至少869,575封发往公司并未持有的地址，并将由外部机构进行暗网调查。公司还已通过邮件向客户和经销商说明代为向个人信息保护委员会和总务省提交报告的事宜。10月22日的第20次更新中，公司通知客户登录时必须使用两步验证以防止再次发生；10月23日的第22次更新中，也要求 Raiden School 的客户同样使用。10月23日随第21次更新发布的报告称，原因包括：通过发布附件的媒体服务器的漏洞获取了配置文件，导致服务之间登录所用的密钥泄露等；所有服务都在可能泄露的范围内；数量仍在调查中（其中 NET119 为9,020个）。公司已委托第三方安全机构进行详细调查。在11月2日17:00的第25次更新中，公司称除10月13日的发送之外，10月22日和23日也有疑似钓鱼邮件从其系统向外部发送。它给出两个原因：10月11日至13日入侵期间泄露的邮件发送 API 账户，其密码被暴力破解并从外部被使用；在 API 联动被停止后，又有人利用 URL 解析混淆漏洞再次滥用该 API。公司称，10月22日约6:30停止了 API 联动，10月23日约10:30修复了该漏洞，未经授权的邮件随之停止。11月6日16:15的第26次更新称，正在恢复在第19次更新中停止的与外部系统的 API 联动功能；恢复时客户需要进行设置，公司正在逐一通知相关客户。本站结论：仅凭发件人无法分辨真假，因此不要屏蔽灾害警报发件人，也不要点击要求确认信用卡或个人信息的邮件中的链接。
Commune未经授权访问事件（按社区计算的166,505名会员记录）：企业社区会员数据泄露——会员和运营者应当怎么做
2026年10月9日，Commune Inc.宣布，其面向企业的社区服务Commune和Commune for Work遭外部第三方未经授权访问，部分社区的会员数据发生泄露。泄露时段为10月5日约18:00至10月6日约21:00，以及10月7日13:17至14:36（日本时间）。其首次通告给出的可能受影响的最高人数约为307,000人（为唯一人数的估计）。在10月21日的后续通告中，该公司在详细调查后确认，有166,505名会员受影响（按每个社区统计会员ID后的合计，因此同时加入多个社区的人会被重复计算；包括公司自营社区及测试/演示社区，不包括攻击者创建的账户），其中125,601人的数据包括电子邮件地址在内遭泄露。其他会员泄露的数据包括显示名称、个人资料和私有群组成员身份。144名会员的密码在未经其操作的情况下被更改为临时密码。目前未确认密码本身或私信内容泄露，该公司也不持有支付数据。公司将事件归因于非法获取的私有社区邀请链接以及对管理员的冒充。使用该服务运营社区的客户公司也发布了通告；JMAM表示，其Toki Labo社区会员资料中的姓名、住址、年龄和电话号码也遭泄露。为防止泄露的电子邮件地址被滥用，Commune Inc.自10月10日00:50起因紧急维护暂停了所有社区，并采取了强制管理员账户使用双重验证等措施。10月16日，该公司宣布将分阶段重新开放社区，首先面向提出申请的客户，且仅限网页浏览器版本，部分功能受限（应用程序、使用电子邮件地址的新注册以及“忘记密码”重置仍不可用）。该公司表示，在维护和测试期间未发现新的未经授权访问或泄露。10月21日的后续通告还称，公司已于10月9日向总务省（关东综合通信局）提交了初步报告，已开始向警方咨询，在分析全部日志后未发现攻击者遗留的程序、账户或设置，并正在筹备由第三方机构进行的取证调查。本站观点：请查看运营您所在社区的公司的通告，确认您是否受影响，并且不要打开声称来自该社区的邮件中的链接。
Baitoru数据泄露（最多约389万个邮箱地址）：仅邮箱泄露——会员如何识别假面试通知和求职诈骗
2026年10月9日，dip Corporation宣布，其在日本运营的求职网站Baitoru和Baitoru NEXT于10月6日确认遭到第三方未授权访问，部分会员邮箱地址已泄露。可能泄露的邮箱地址数量最多为3,885,771个。公司称，仅邮箱地址泄露，姓名、电话号码、密码和信用卡信息未包含在内。公司将原因归于来自海外的未授权访问，该访问利用了其部分系统的规格缺陷。公司已屏蔽所有来自海外的访问并修改了程序。公司尚未确认数据被公开发布或被滥用。受影响会员已于10月6日在服务内收到通知，并正通过邮件等方式逐一联系。截至10月10日，尚无后续通知。本站的看法是：即使只有邮箱地址泄露，这些地址也已知属于求职网站会员。请勿打开面试日程或申请确认类消息中的链接，应在您自行打开的官方应用中查看。请勿转移到其他通讯应用，也不要回应“高薪、当日结算”之类的邀约。
Bookoff 会员数据泄露（6,383,279 人）：姓名、地址、电子邮箱和密码哈希值可能外泄——会员应该怎么做
2026 年 10 月 9 日，BOOKOFF GROUP HOLDINGS LIMITED 宣布，有第三方未经授权访问了其子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 会员管理系统，会员数据已泄露到公司外部。根据 10 月 13 日的第二次报告，会员数据在 10 月 4 日至 6 日期间被从外部窃取。按会员编号统计为 6,427,735 条记录；将使用同一电子邮箱地址注册的会员记录合并为一人后，为 6,383,279 人（其中 212,371 人为已退会会员）。受影响的是应用会员、线上商店会员和网页会员；仅使用会员卡、从未通过应用或网页注册的人不在其中。可能泄露的数据包括姓名、出生日期、性别、职业、昵称、电子邮箱地址、电话号码、邮政编码和地址、密码哈希值、积分卡号和会员编号（职业和昵称是 10 月 16 日的更正中补充的），但并非每位会员的所有项目都泄露。信用卡信息等支付数据、银行账户信息、门店收购时从身份证件读取的文字，以及邮寄收购的身份证件图像不在其中。公司自 10 月 15 日起分批向受影响会员发送电子邮件（对所有确认可送达的地址的发送已于 10 月 22 日完成），并请会员修改官方线上商店和应用的密码。10 月 23 日，公司宣布在 Bookoff 会员网站上增加网页查询功能，会员登录后可确认自己是否受影响，并表示已于 10 月 22 日开通专用免费电话。公司在 11 月 6 日的第三次报告中表示，与外部专家进行的调查发现，第三方利用了处理会员信息的系统中部分功能的访问控制问题（系统构成、设置等技术细节不予披露）。根据第三次报告，影响范围（服务、人数、项目）与第二次报告相同；10 月 26 日至 29 日，公司还通过官方应用的通知向受影响会员逐一说明。目前尚未确认会员信息被公开、积分被滥用或会员信息被改写；公司表示，如确认积分因本事件被滥用，将全额补偿。公司计划于 12 月初向个人信息保护委员会提交正式报告。本站看法：通过应用或线上商店注册过的人，应通过官方应用或自己打开的网站修改密码，在共用该密码的其他服务上也一并修改，并且不要点击声称来自 Bookoff 的邮件或短信中的链接。
第一兴商承包商电脑感染恶意软件（约872万条记录）：Big Echo 等会员的姓名、出生日期和电话号码或已外泄，应如何应对
2026年10月8日，第一兴商株式会社（Daiichikosho Co., Ltd.）宣布，一家受其委托处理个人信息的公司报告称，其一名员工使用的一台电脑感染了恶意软件，第一兴商的客户信息可能已外泄。与外包业务相关的个人数据曾暂时存放在该电脑上。相关记录涉及约863.1万名以会员身份注册或在门店预约的客户（Big Echo、Mega Big、卡拉OK CLUB DAM、Banana Club、B-GARAGE 和 DK Dining，已去除重复记录），以及约9.3万名员工，合计约872.4万条。涉及的项目为姓名（注册姓名）、性别、出生日期、电子邮件地址和电话号码。密码不在其中，公司表示仅凭这些信息无法使用积分。目前尚未确认实际发生外部泄露、被滥用，或对公司自身系统造成影响。10月9日开通了免费咨询电话。公司在10月26日追加的说明中表示，正通过短信等方式依次逐一联系可能受影响的客户，并公布了发送号码（NTT Docomo、au 和 Rakuten Mobile：05036052572，可能显示为 +815036052572；SoftBank：247473）。公司表示，此次联系并不意味着发现了新的泄露，也尚未确认本事件导致实际外部泄露或滥用。公司还表示，仅凭发送号码并不能保证短信是真实的。11月6日，公司公布了外部专业机构的取证调查结果：在承包商使用的终端上确认了恶意软件感染以及与外部服务器的未授权通信，该恶意软件具有将终端内信息发送到外部的功能，但无法确定实际发送到外部的信息内容和范围。目前尚未确认本事件导致个人信息外流或被滥用。未发现被远程操控的痕迹，且在调查开始时该恶意软件的功能已被无害化。公司仍在向可能受影响的客户逐一发送通知。本站的观点是：对于声称来自 Big Echo 或 DAM、涉及优惠券、会员续期或积分的消息，或声称来自第一兴商的短信，不要打开其中的链接；请通过官方应用或自行打开的网站进行核实，并停止将出生日期用作PIN码或密码。
JR东日本、VIEW Card与JR九州可能发生邮件泄露（2026）：应对指南
2026年10月9日，东日本旅客铁道株式会社（JR东日本）、株式会社VIEW Card和九州旅客铁道株式会社（JR九州）各自宣布，其用于向会员发送邮件的外部服务，因云服务提供商遭到未授权访问而受到影响，且无法排除会员邮箱地址及其他数据已被查看或获取的可能。涉及数量方面，JR东日本方面最多约167万名eki-net会员和约39万名大人的休假俱乐部会员；VIEW Card方面约403万个VIEW's NET用户邮箱地址；JR九州方面最多约130万名JR九州Web会员。eki-net、VIEW's NET和JR九州Web会员仅涉及邮箱地址；大人的休假俱乐部会员还涉及会员编号、信用卡有效期和出生日期。姓名、地址、电话号码和卡号不在范围内。云服务提供商表示，10月7日凌晨开始的故障是由第三方勒索软件攻击造成的。该提供商在10月14日发布的第五份报告中称，在受影响区域的虚拟服务器中，未发现数据被查看或带出外部的痕迹，并判断没有数据向外部泄露。10月15日，在收到这一调查结果后，JR九州宣布未确认JR九州Web会员的邮箱地址发生泄露。JR东日本的eki-net网站也称，10月15日邮件发送服务公司报告称，其已判断eki-net会员的个人信息未发生泄露（10月19日确认）。对于大人的休假俱乐部会员和VIEW Card，截至10月19日，本站未找到后续信息（已在各公司网站上核实）。该云服务提供商在10月27日发布的第七份报告中称，调查已完成，并指出原因是其客户管理门户的认证系统所使用的开源软件存在漏洞。其关于虚拟服务器中的数据未向外部泄露的判断没有改变。本站的观点是：JR九州表示未确认泄露，eki-net表示已被告知eki-net会员的个人信息未发生泄露。即便如此，以此事件为借口的假邮件仍可能送达。请勿通过邮件中的链接登录；请通过官方应用或您自己保存的书签进行核实。
NewsPicks 数据泄露（持卡人姓名及卡号末位数字，最多362,000条记录）：内部管理工具遭入侵的情况及用户应采取的措施
2026年10月8日，Uzabase株式会社宣布，其新闻服务NewsPicks运营中使用的一个管理工具遭第三方未经授权访问，部分用户的个人数据可能已泄露。其10月9日发布的第二份通知称，此次入侵利用了该管理工具的一个漏洞，并给出了各项目的最大估计数量：用于网络支付的部分卡片数据（持卡人姓名及卡号后3或4位等）362,000条；电子邮件地址323,000个；职位级别类别273,000条；所属单位65,000条；姓名59,000条；其他。公司表示，完整卡号和安全码从未存储在其系统中，也未泄露；尚未确认密码泄露。目前未确认二次损害。本站的观点是：一条引用了您卡号末位数字或雇主信息的消息，并不能证明它是真实的。请勿打开链接，通过官方应用或您自己打开的官方网站核对，并留意您的信用卡账单。
skyticket（Adventure Inc.）数据泄露（约1464万条记录）：密码、退款银行账户信息及部分用户的卡信息外泄——用户今天应该做什么
2026年10月9日，Adventure Inc.宣布其旅游比价及预订网站skyticket发生三起各自经由不同路径的未经授权访问事件。第一起中，某管理功能被滥用，并被用作进入其他服务器及云端存储数据的起点；约1464万条记录泄露，包括姓名（含护照拼写）、出生日期、电子邮件地址、电话号码、地址以及用于银行转账的汇款人姓名，其中约413万条包含哈希处理的会员密码。第二起中，一个业务管理系统的漏洞被利用，17,780条记录（含重复记录，仍在统计中）包含退款银行账户信息，已泄露或可能已泄露。第三起中，巴士预订完成页面无需登录即可显示，约12,000笔预订已被或可能已被查看。公司最初表示卡号不在泄露数据之列，但在10月16日的第二份通知中更正：2017年2月至2018年6月期间注册或使用信用卡支付“skyticket Premium”会员费的最多6,140人，其卡号、持卡人姓名和有效期（部分人仅为卡号；不含安全码）在第一起事件中泄露，同时泄露的还有作为Premium会员福利提供的福利服务的会员ID、姓名和密码。护照图像未外泄；截至10月9日的通知，已确认的次生危害仅为一次会员账户的未授权登录（第二份通知未说明已泄露的卡信息是否被滥用）。本站的建议：会员应立即在官方网站或应用程序中修改密码；凡使用过相同密码的其他服务，也应一并修改；若在此期间注册或使用卡支付Premium会员费，应检查2026年10月起的卡账单；忽略关于退款、赔偿或预订变更的信息；绝不向任何人提供银行密码或一次性验证码。
PhotoGoods（Daiko Printing）支付页面被植入窃取卡片信息的程序：8月6日至9月11日期间付款的人应该怎么做
2026年9月16日，Daiko Printing Co., Ltd. 宣布其运营的 PhotoGoods（photo-goods.com）遭到未经授权的第三方访问，并称支付页面上被安装了能够非法截取所输入信用卡信息的程序。该程序从8月6日起存在，至9月11日被移除。在此期间在支付页面输入过卡信息的人（包括未完成购买的人）的卡号、有效期和安全码可能已暴露，姓名、地址、电话号码、电子邮件地址以及由会员密码衍生的信息（以转换后的形式保存）也可能已暴露。公司称，已确认未经授权的访问是通过系统漏洞和滥用文件上传功能实现的。受影响人数和实际范围仍在调查中，截至10月7日，尚无后续通知。本站的看法是：在该期间输入过卡信息的人应要求发卡机构更换卡号，更改与PhotoGoods密码相同的其他服务的密码，并忽略“致歉”或“退款”信息中的链接。
如何确认自己的密码是否已泄露：安全使用 Have I Been Pwned，以及浏览器和手机里已内置的检查
关于检查密码泄露的指南。Have I Been Pwned（HIBP）可以告诉你某个邮箱地址是否出现在已知的数据泄露中、来自哪个服务、泄露了哪些种类的数据。它的密码检查（Pwned Passwords）会在你的设备上对密码做哈希处理，只发送哈希值的前 5 个字符，因此密码本身从不会被发送（HIBP API 文档）。本站的看法：正在使用的密码，应在它们已经保存的地方检查（Google 密码管理工具、iPhone 的「密码」App、Edge 的密码监视器或你的密码管理器），而不是输入到网站里；HIBP 用来检查邮箱地址。「未找到」并不能证明什么都没泄露。
大和证券外包商遭入侵（约11万名客户、22万条记录）：可能泄露了什么，客户应如何应对
2026年10月5日，日本大型证券公司之一大和证券株式会社宣布，为管理客户在线咨询而使用的外包服务商服务器遭到未经授权访问。咨询记录中约11万名客户的姓名、邮箱地址、账户号码及其他信息可能已泄露；若计入无法识别身份的咨询，涉及约22万条记录。访问发生于10月2日约晚上8:33至10月3日上午8:01之间，未发现大和自身系统遭到未经授权访问。公司表示，这些数据无法用于访问账户或交易（包括网上交易），截至10月5日，未发现欺诈性交易，也未发现数据被公布或扩散。10月6日，外包商方面发布了自己的通告：同一服务器上最多五家客户公司的环境中存储的咨询数据，按每次咨询计算最多713,126条记录，可能已被获取。同样指出事件涉及该外包商，Citizen Watch（约10万人）、Sompo Japan（按每次咨询计算约6万条记录）和ORIX人寿保险（约26,500条记录）也宣布其客户数据可能已泄露。本站的看法：请预期会出现知道你的账户号码和过往咨询内容的诈骗信息。切勿通过邮件或短信中的链接登录；请从书签或官方应用程序登录，并在那里查看消息箱和操作历史。
丹麦CPR登记系统被滥用（约880万人）：被获取的信息，以及居民和提供查询权限的机构应采取的措施
2026年10月5日，丹麦研究、教育和数字化部宣布，未经授权的人员滥用了一家丹麦私营公司合法的CPR查询权限，获取了约880万名登记人员的姓名、地址、CPR号码等信息，其中包括在世、已迁出和已故人员。CPR登记的人员约为1100万。CPR管理机构于10月2日晚发现9月期间存在异常活动，并停止了该公司的访问权限。已登记姓名和地址保护的人员，其姓名和地址未包括在内。据丹麦媒体报道，10月9日，CPR管理机构提醒了拥有查询权限的1,039家公司遵守其安全规则，部长承认安全措施不够完善。媒体还报道，查询账户曾使用密码123456；此事尚未得到官方证实。本网站的看法是：知道您姓名、地址和CPR号码的来电者仍可能是诈骗者。居民切勿透露MitID信息或一次性验证码，企业也应停止将这三项信息视为身份证明。
infoQ 调查网站数据泄露（894,082 条记录）：泄露了什么，会员应该怎么做
2026年10月5日，GMO Research & AI, Inc. 宣布其调查网站 infoQ 遭第三方未经授权访问，会员的个人数据被取出。在10月14日的第二次报告中，该公司将被取出的记录数确认为 894,082 条（第一次报告称最多为 948,498 条）。被取出的项目包括姓名、姓名读音（假名注音）、性别、出生日期、电子邮件地址、住址、电话号码、加密密码、会员ID，以及昵称和积分余额等其他注册数据。该公司不持有信用卡数据或日本的个人编号（My Number）。此外，价值 2,869,500 日元的 611 笔积分兑换在未经会员同意的情况下被换成了亚马逊礼品码，该公司表示将全额补偿（服务恢复后记入账户）。该公司于10月7日使所有会员的密码失效。该公司称，入侵者利用了其网站所用软件的一个漏洞。本站的看法是：由于包含出生日期和住址，制作令人信服的假冒消息很容易。请更改与 infoQ 共用密码的其他服务的密码，为电子邮件账户开启两步验证，并且不要打开声称来自 infoQ 的消息中的链接。
MrMax应用和线上商城遭入侵（最多约174万人）：姓名、邮箱和电话号码外泄——会员应该怎么做
2026年10月6日，日本折扣连锁店MrMax Co., Ltd.宣布，其运营的MrMax应用和线上商城的服务器遭第三方未经授权访问，部分会员个人信息已外泄。截至2026年10月3日注册为会员的最多1,735,154人受影响。外泄项目包括会员ID、姓名、邮箱地址和电话号码（因每位会员注册的内容不同而有所差异）。公司称已确认地址、出生日期、信用卡数据、密码和购买记录未外泄。公司于10月3日晚间发现可疑访问，当即暂停服务，并于当日阻断了外部访问。公司称，第三方滥用了构成该服务的软件的某项功能侵入服务器。截至通知发布时，尚未确认这些数据被滥用造成的损害。本站观点：预计会出现使用你姓名的逼真邮件、短信和电话。不要打开其中的链接，请通过你自己打开的官方应用或网站核实，切勿透露密码或银行卡号。
Rakuten Drive 数据泄露（15,382个账户的存储数据）：哪些内容被访问，用户应该怎么做
2026年10月6日，云存储服务 Rakuten Drive 宣布，第三方非法获取了该服务所用部分系统的一个管理账户凭证，进入系统后获取并查看了信息。受影响的包括：2026年1月29日至9月17日期间15,382个账户的存储数据（包括照片和文档）；8月27日687个账户的账户名、显示名称和头像图片URL；以及同日313个账户的账户名、显示名称、加密密码、密码加密过程中添加的字符串和头像图片URL。该服务表示，尚未确认有二次损害，并将通过电子邮件或其他方式逐一通知受影响的用户。在8月13日关于7月30日出现的可疑推送通知的更新中，该服务曾表示，当时尚未确认有第三方未经授权访问存储数据。本站的看法是：与密码不同，已被看到的文件内容无法收回。请检查是否收到通知，将你存储过的任何身份证件或合同视为已被看到，更改密码，并且不要回应任何冒充 Rakuten Drive 的消息、付款要求或威胁。
Abahouse 数据泄露：订单详情可能已外泄，以及如何应对假退款邮件
2026年10月2日，Abahouse International Co., Ltd. 宣布，其内部系统遭到未经授权的访问，据信是境外第三方所为，可能泄露会员ID、姓名、地址、电话号码、电子邮箱、出生日期、性别以及订单详情（下单日期和时间、商品名称、金额和配送地址）。由于公司无法完全确定被获取数据的范围，公司于10月2日根据购买记录等信息，向其判断可能受影响的客户发送了邮件。会员退会一个月后，公司会删除其会员数据，但基于法律和会计原因，会将过去的订单记录保存一段时间；公司表示无法排除这些订单遭到访问的可能，已退会会员也收到了同样的邮件。尚未公布受影响人数。卡号和安全码由支付服务商处理，尚未确认其泄露。此次泄露是在多位客户反映收到与其真实订单相符的可疑退款邮件后被发现的。公司在10月9日的后续通报中表示，入侵途径已被切断，尚未确认进一步扩散，已向警方提交损害报告，并且尚未收到经济损失的报告。被获取数据的范围和原因细节仍在与外部专家共同调查中。本站的观点是：一封能准确说出你订单内容的邮件，并不能证明它是真的。不要因“退款”或“缺货”邮件而点击链接或转到LINE；请改为在My Page中查看订单记录。
Lashinbang数据泄露：身份证件号码与收款银行账户信息可能外泄（未涉及证件图像）——卖家应采取的措施
2026年10月1日，Lashinbang Co., Ltd.宣布，其运营的一项服务于2026年9月14日至16日遭到未经授权访问，可能导致姓名、地址、电话号码、电子邮件地址、出生日期和职业，以及申请买取（即客户向店铺出售物品）时填写的身份证件种类与号码、银行名称、分行、账号和户名、买取同意书图像，以及买取和订单明细外泄。公司称，信用卡信息和密码未外泄，且公司不收集个人编号（My Number，日本个人编号）。10月9日的补充说明中，公司补充称，包括驾驶执照在内的身份证件图像未外泄。通知还新增一节，称受影响人群为收到公司单独电子邮件的人。截至2026年10月10日，件数和原因均未公布。本站的看法是：仅凭账号和户名无法提取资金，但对于利用您的账户信息、身份证件号码或真实买取细节来显得可信的联系，请勿回应。切勿向任何人提供PIN码、登录信息或验证码；如果您的身份证件号码已外泄，可考虑向日本的信用信息机构办理本人申报。
Seicomart应用数据泄露（约57.5万会员）：姓名、住址和出生日期被查看——会员应采取的措施
2026年9月29日，在日本经营Seicomart便利店连锁的Seicomart股份有限公司宣布，第三方通过Seicomart智能手机应用背后的服务器，未经授权访问了存放会员数据的服务器。该公司10月5日发布的第四份通告称，受影响的账户为574,647名通过应用注册的Club会员，于9月24日前退出Club Card计划的人不在此列。被查看的信息包括姓和名、性别、出生日期、住址、电话号码、电子邮件地址，以及加入和退出Club Card计划的日期。密码数据和购买记录未被泄露，该公司也不持有信用卡数据。自10月5日起，该公司正通过应用内通知告知每位应用会员其是否受影响。公司已停止应用和网站上新注册、查看和更改会员信息以及更换绑定卡片的功能；相关请求现通过门店或表单处理。泄露原因尚未披露。本站观点：泄露的是无法更改的个人信息，最可能的后续行动是冒充该公司的诈骗邮件、短信和电话。请查看应用通知以确认自己是否受影响，不要点击此类信息中的链接或按其指示操作，并停止将出生日期用作PIN码或身份验证的答案。
E-store ShopServe数据泄露（最终报告：约2,336万人）：买家、店主和联盟会员应如何应对
E-store Co., Ltd.在2026年10月16日的最终报告中表示，第三方利用其网店搭建服务ShopServe服务器上某个应用程序的漏洞，于2026年5月21日至8月1日期间将数据库内容发送到外部。受影响者约为23,356,000人（买家和会员、店主以及联盟会员合计；为去除重复后的近似数字），其中约2,096,900人的部分卡片数据被包含在内。受影响的商店为7,858家（包括现有和以往的ShopServe商店）。外泄内容包括买家的姓名、地址、电话号码、电子邮件地址和工作单位；会员ID和加密密码；持卡人姓名、卡号前6位和后4位以及有效期；以及商店和联盟会员的凭据。完整卡号和安全码未被保存，也未受影响。最终报告更正了第二次报告的内容：商店的邮件系统和FTP的ID与密码，以及E-store向其汇款的账户（付款账户）的银行账户信息，经确认没有外泄。尚未收到次生损害的报告。本站的看法是：大多数买家是在各商店自己的网站上购物的，从未听说过ShopServe这个名字。即使无法判断是哪家商店，也请对引用您真实订单详情或卡号后四位的信息保持怀疑，检查信用卡账单，并更改重复使用的密码。店主和联盟会员应更改管理或联盟密码，并开启两步验证。
TEMAIRAZU不正访问事件（2026）：住客与酒店应对指南
2026年9月28日，Temairazu, Inc.宣布其TEMAIRAZU系列遭到不正访问。该系统是酒店和旅馆用于集中管理多渠道预订的工具。从9月21日深夜起，使用该系统的酒店住客开始通过WhatsApp等即时通讯应用、电子邮件和短信收到可疑消息。这些消息似乎掌握预订详情，并以提前办理入住或保持预订有效等为由，诱导收件人访问外部网站输入银行卡信息或付款。公司在10月7日的第二份报告（英文版10月8日）中列出了可能已被第三方查看或获取的信息：住客姓名、电话号码、电子邮件地址、住宿设施名称、入住日期、退房日期和住宿费用。公司表示不保留信用卡信息或预订网站的登录凭据。在10月9日的临时公告中，公司称涉及预订信息的人数最多约为445万人，并表示已委托外部安全机构进行调查。根据使用该系统的酒店发布的通知，原因是公司过去提供的一款已安装产品部分功能存在安全问题，并于9月26日完成修复。本站的看法：通过旅游网站预订的人也可能受到影响。如果冒充酒店的消息要求你重新输入银行卡信息或付款，即使信息正确，也请拒绝，并通过预订网站的官方应用或酒店官网上的电话号码进行核实。
雅玛多（Yamato）与佐川（Sagawa）数据泄露事件（2026年）：受影响用户与应对
Yamato Transport于2026年9月28日发现其Kuroneko延期付款服务遭到未经授权访问，Sagawa Express于9月30日发现其包裹追踪服务遭到未经授权访问。10月1日至2日，两家公司均表示个人数据可能已泄露。这是两起独立事件，两家公司均未提及二者有关联。Yamato在10月16日发布的第四份通知中表示数据已被取走：约526万条延期付款用户记录（姓名、地址、电话号码、电子邮件地址、商品明细等，时间范围为2018年10月1日至2026年9月28日）、约5万条部分用户的配送地址信息记录，以及约4100条参与店铺记录。账单金额、未付余额和员工姓名未被发现遭到取走。Sagawa在10月23日发布的第五份通知中表示，2026年6月21日至9月30日（约100天）期间其处理的包裹的寄件人和收件人姓名、地址及电话号码等数据可能已泄露，并给出最大数量约5323万条记录（含重复，不是人数）。手写运单的包裹不在范围内。两起事件均不包括信用卡数据或密码。Yamato于10月9日恢复延期付款服务，并将付款期限延长17天；Sagawa于10月23日恢复包裹追踪服务，而包括网上预约在内的其他八项网络服务仍处于停止状态。本站观点：就Sagawa而言，即使您从未使用过该公司，只要收到过其投递的包裹，也可能受到影响。请假设虚假的未送达通知和付款催款短信可能已包含您的真实姓名和地址、您收到包裹的事实，或您购买的商品。请勿打开此类短信中的链接；请在官方应用中或通过您购物店铺的订单记录进行核对。
Booking.com 预订信息泄露：如何识别冒充酒店的诈骗消息
2026年4月，Booking.com 通知住客：未经授权的第三方可能访问了部分预订信息；公司已更新受影响预订的 PIN 码，并表示问题已得到控制。根据通知及媒体报道的公司发言人说法，相关信息包括预订详情、姓名、电子邮箱、电话号码以及与住宿方之间的消息；财务信息未被访问。受影响人数和原因均未公布。本站的看法：酒店名称、日期和价格都对，已经证明不了什么。判断标准是：这个要求是否与你自己在官方 App 中打开的预订里的付款政策一致。凡是要求重新输入银行卡信息、通过链接付款、或进行政策中没有的转账，一律拒绝。
Times Car数据泄露（6,628,007条含姓名和地址的记录，约146万张证件图像疑似被外传）：查看My Page及会员和前会员应采取的措施
运营方Times Mobility Co., Ltd.于2026年10月23日发布第五份通知，称外部取证调查已结束并公布最终数量。在Times Car网络系统中，有6,628,007条记录（包括姓名、地址、出生日期、电话号码、电子邮件地址及驾照信息）发现攻击者访问和对外传输的痕迹。在加密保存的证件图像中，1,464,800张有外传痕迹（公司此前曾表示约160万张可能已泄露），891,602张被访问但没有外传痕迹。4例哈希密码有外传痕迹。在同样发现未经授权访问的相关Times Club网络系统中，19,510个Times Club卡号、135,436个关联服务ID以及28条信用卡末四位记录等有外传痕迹（公司不持有完整卡号或安全码）。原因是利用了网络系统中的一个漏洞。公司将向证件图像被外传的人发放价值3,000日元的补偿（具体细节和方式仍在决定中），并已于10月23日17:00起在My Page上显示每个人的泄露项目。本站的看法是：请先在My Page查看自己的项目。如果您的证件图像被外传，请向信用信息机构登记欺诈警示并查询信用档案；所有人都应忽略冒充公司的联系。前会员可通过专用表单咨询。
MOVEit 大规模数据泄露（2023）—— SQL 注入零日漏洞波及 2,700 多家组织的原因与防御
入口是面向互联网公开的文件传输产品 MOVEit Transfer 的 SQL 注入零日漏洞（CVE-2023-34362）。攻击者植入 Web shell（LEMURLOOT），从后端数据库批量窃取数据，致 2,700 多家组织、约 9,330 万人的数据外泄。许多受害者是因为外包方、合作方使用了 MOVEit 而被间接牵连。在你的环境中，可通过 KEV 即时打补丁、最小化暴露面、Web↔DB 的最小权限与隔离、外包方盘点与数据最小化来防范。
组织的安全底线：从 2026 年日本的真实事故倒推的 6 个优先事项
组织的“底线”应该由真实事故被突破的位置来决定，而不是产品清单。把 2026 年日本的事故排在一起，入口各不相同——VPN 设备、第三方软件、查询功能、未公开——但让损害扩大的原因可以归结为 6 个：①按期限封堵面向互联网的设备②收窄维护、外包、离职人员的账号③监视数量与时间④日志保留到能回溯的期限⑤不保留不再需要的数据⑥用 KEV 重新排定优先级。本站结论＝底线就是决定“谁、看哪个数字、何时发现”。
Capital One 数据泄露事件（2019）— SSRF 如何导致 1 亿人信息外泄及防御之道
起点只是一个 SSRF。攻击由此连锁：元数据服务端点 → 权限过大的 IAM 临时密钥 → S3 整体复制，最终约 1 亿 600 万人信息外泄。每一步本可被拦下。在你的环境中，用 IMDSv2、IAM 最小权限和出站目标白名单来杜绝重演。
Codecov 篡改事件（2021）——CI 工具被篡改导致机密信息外泄的原因与防御
根源在于『在 CI 中信任并执行的工具（curl|bash 的 Bash Uploader）在上游被篡改』。由于自己的代码毫发无损，约两个月都没能察觉，CI 的机密信息因此外泄。检测靠的是校验和比对。在你的 CI 中，可用取得物的完整性校验、机密的最小权限、轮换、egress 监控来防止重演。
Equifax 信息泄露事件（2017）——未打补丁的 Apache Struts 导致 1.47 亿人泄露的原因与防御
原因是已经发布修复补丁的已知 CVE（CVSS 10.0）没有被应用到公开系统上。监控设备因证书失效导致长达 76 天都没察觉数据外带，使损失扩大。在你的环境里，要用资产盘点、补丁 SLA、机器监控、检测健全性来防止重演。