密码
该标签下有 23 篇文章
在线麻将游戏 Maru-Jan 遭未经授权访问（1,855,578名会员）：电子邮件地址和密码泄露——会员该怎么做
2026年11月7日，Signaltalk Co., Ltd. 宣布，其运营的在线麻将游戏 Maru-Jan 遭未经授权访问，1,855,578名会员的电子邮件地址和密码泄露。公司称，其管理系统的某项功能被滥用，包括会员信息在内的数据在11月4日约15:00之前被下载到外部。受影响的群体是全部 Maru-Jan 会员；已登记电子邮件地址的会员，其地址包含在内。信用卡号不在其中，因为公司不保存。公告没有说明密码是如何保存的（例如是否经过哈希）。公司称已查明入侵途径、完成修复，并于11月7日16:00恢复服务。公司请会员修改 Maru-Jan 的密码，在其他使用相同密码的服务上也修改密码，并留意可疑邮件。截至2026年11月9日，我们没有发现后续公告。本站的结论：请先在重复使用了 Maru-Jan 密码的服务上修改密码，不要点击以 Maru-Jan 名义发来的邮件中的链接。
Iris Plaza遭未经授权访问（约770万人的数据）：姓名、住址和加密密码可能外泄，会员和购物者该怎么做
2026年11月5日，Iris集团旗下的Iris Plaza株式会社在第二次通报中称，Iris Ohyama官方网店Iris Plaza遭未经授权访问，部分客户的个人信息可能已经外泄。10月28日，公司在其使用的外部云服务中发现可疑文件，立即停止了Iris Plaza及相关系统并展开调查，确认遭到第三方未经授权访问。外部云服务中保存的个人数据涉及约770万人，公司已确认这些数据可能被查看或获取。实际外泄的记录数和受影响人数仍在调查中。可能外泄的信息为：会员数据（约580万人，含已退会会员）中的姓名、住址、电话号码、电子邮件地址、性别、密码（已退会会员除外）、出生日期等；非会员数据（约190万人，含未注册即购买或参加活动的人）中的姓名、住址、电话号码和电子邮件地址。包括密码在内的部分项目已加密。公司称信用卡信息未保存在该云服务中，已确认未受影响。公司请在其他服务中使用相同密码的人修改密码。截至2026年11月7日，我们未发现第三次通报。本站的结论：如果您在其他服务中使用了与Iris Plaza相同的密码，请在今天修改。已退会会员和未注册即购买的人也在范围内。
Nojima Online 及二手手机回收网站遭未经授权访问（约 700 万条记录）：姓名、住址、电话号码与加密密码，会员应如何应对
Nojima Corporation 于2026年11月2日宣布，Nojima Online 会员管理系统遭未经授权访问，Nojima Online 及其二手手机回收网站的会员数据已泄露。据公司称，其于11月1日发现并确认了该访问，并于当天确认个人数据已泄露到外部。规模约为 700 万条记录（已退会的会员不包括在内）。泄露项目为姓名（汉字和假名）、出生日期、性别、邮政编码、住址、电话号码、登录 ID、加密密码和邮箱地址。公司称其不持有支付信息，这两个网站也不持有信用卡信息。原因、入侵时间段以及是否发生滥用或二次危害仍在调查中，截至11月2日公告时两个网站均已暂停（截至11月4日未见恢复运营的通知）。公司警告这些数据可能被滥用于冒充邮件和网络钓鱼，但其公告并未要求会员更改密码。本站的结论：不要打开自称来自 Nojima 的消息中的链接。如果您在其他服务上重复使用了 Nojima 的密码，请在那些其他服务上更改。
Aena EC应用遭未经授权访问（最多817,215人的My Page数据）：姓名、地址和配送信息可能被查看，会员应如何应对
日本折扣零售连锁店Aena Co., Ltd.于2026年10月14日宣布，其EC应用中会员的My Page数据可能遭未经授权查看。据公司称，系统日志分析于10月13日5:58发现此事，最多817,215名会员（正式会员）可能受到影响。LINE会员以及通过Amazon、乐天等网站购买的客户不受影响。可能被查看的信息有：姓名、地址、电话号码、电子邮件地址、出生日期、性别、职业、配送地址、姓名和电话号码（包括第三方的）、常用门店和邮件设置，以及已登记信用卡的后4位、有效期和持卡人姓名。公司表示不持有完整卡号或安全码，没有任何密码被查看或泄露，并确认没有会员信息被更改、没有人被退会、也没有完成任何购买。原因被描述为通过未经授权访问进行的机械式连续访问，调查仍在继续。公司已阻断对其EC网站的访问，此前暂停的EC应用于10月19日（星期一）中午恢复；重启后首次启动时会出现密码重置界面。本站的结论是：请在应用中重置密码，更改在其他服务中重复使用该密码的账户，并且对于有关配送或订单的信息，不要使用其中的链接或号码核实。
Hana-cupid会员数据泄露（最多4,238,242条记录）：用户ID、加密密码和电子邮件地址外泄，会员应如何应对
2026年10月28日，Hana-cupid Co., Ltd.宣布，第三方未经授权访问了其网上花店服务“Internet Hana-cupid”和“Business Hana-cupid”，导致部分会员信息外泄。据公司称，第三方于10月14日（星期三）至10月15日（星期四）期间未经授权访问了其管理系统，公司在调查中于10月19日（星期一）确认了会员信息外泄。涉及数量为4,238,242（可能受影响的客户）。外泄项目为：用户ID（登录ID）、密码（无法直接使用的加密形式；FAQ中称为哈希）、电脑邮箱地址和手机邮箱地址。公司表示，姓名、性别、出生日期、地址、电话号码、信用卡号、公司名称、部门名称和配送地信息没有外泄。涉及范围仅限于在公司官方网上商店（i879.com、i879.com/biz/）注册了电子邮件地址的会员；通过外部购物网站下的订单、未登记电子邮件地址的电话订单以及在Hana-cupid会员花店的购买不在其内。公司表示不持有信用卡信息，无需停用或重新发行信用卡。公司尚未确认任何次生损害，已于10月28日起逐一向受影响会员发送电子邮件，并已向个人信息保护委员会和警方报告。原因未说明，公司正与外部专业机构进行调查。公司表示不计划进行金钱赔偿或退款。本站的结论是：如果您可能受到影响，请更改密码，并更改在其他服务中重复使用同一ID和密码的账户。凡是声称来自Hana-cupid或金融机构的信息，请自行打开官方网站核实，不要通过其中的链接。
White Essence遭未经授权访问致个人信息泄露（约105万个账户）：姓名、地址、电话号码和加密密码，用户应如何应对
White Essence Co., Ltd.于2026年8月12日宣布，其预约网站和核心系统遭未经授权访问，已暂停系统；10月5日，公司发布题为《关于因未经授权访问导致个人信息泄露的致歉及通知》的公告，公布调查结果。据公司称，8月5日确认存在来自外部的未经授权访问，8月12日暂停了系统，后续调查发现个人信息已被取走。截至2026年8月5日已登记的信息中，受影响人数约为105万个账户（包括客户、加盟诊所人员和总部员工的合计数）。外泄项目的全部或部分为：姓名、地址、电话号码、电子邮件地址、出生日期、性别、工作单位、登录ID和密码（加密形式）、服务使用及应答信息，以及公司管理编号。公司表示不持有金融机构账户信息，也未确认客户图像外泄。公司称原因是预约网站程序中的一个漏洞被利用，并以此为起点未经授权访问了核心系统；公司表示已处理完该漏洞。截至10月5日，尚未确认次生损害，但公司表示可能收到冒充公司或其他企业的可疑电子邮件、电话或邮件。我们的结论是：如果您在其他服务中使用相同的登录ID和密码，请在那里更改。即使您的姓名、地址和出生日期都对，也应将声称来自公司或牙科诊所的任何信息视为未经核实，并通过您自己查到的官方渠道核实。
Beauty Garage与Eyelash Garage遭未经授权访问（775,725条记录）：沙龙名称、电话号码、电子邮件和密码哈希值外泄，如何防范冒充
10月15日，Beauty Garage Co., Ltd.宣布，其电商网站服务器以及Eyelash Garage的电商网站服务器在10月10日至12日遭未经授权访问，部分客户信息外泄。公司于10月13日发现此事，并在当天查明并阻断了入侵路径。据公司称，范围为截至2026年10月10日23:55，Beauty Garage与Eyelash Garage电商系统中保存的775,725条客户记录（未给出各品牌的明细）；Eyelash Garage自己的通知给出的数字是49,191（与775,725的关系未说明）。已确认外泄的主要项目有公司名称、沙龙名称、客户姓名、业务类型、沙龙网址、电话号码、电子邮件地址、密码哈希值，以及密码重置问题和答案的哈希值。到目前为止，尚未确认地址和配送信息、购买记录以及包括信用卡在内的支付信息发生泄露。公司表示，尚未确认数据被公开或被滥用。两家公司10月20日的第二次通知称，电商网站运行正常，并已向个人信息保护委员会报告。原因尚未披露。本站的结论是：声称来自任一公司或业务合作方的信息，不会因为能准确说出您的沙龙名称或姓名就是真的。任何更改银行转账账户或额外付款的要求，都请通过官方联系方式核实。
So-net会员数据库遭未经授权访问（So-net 214万条记录、plala S-Course 44.3万条记录）：姓名、电话号码和出生日期外泄，用户应如何应对
2026年10月27日，Sony Network Communications Inc.宣布，其互联网服务So-net的会员数据库遭未经授权访问，已确认发生信息泄露。据公司称，该数据库于10月19日遭外部访问，公司于10月23日确认并停止了受影响的服务器，10月24日查明了外泄的项目和记录数。外泄信息为：So-net会员信息2,141,986条记录（现会员1,869,771条，2026年3月及之后退会的前会员272,215条），以及plala（S-Course）会员信息443,495条记录（现会员422,365条，2026年3月及之后退会的前会员21,130条）。两者均包含姓名、电话号码、电子邮件地址、用户ID、出生日期、性别和互联网连接ID。公司表示，会员信息中没有密码外泄。对于四项邮箱服务（Mail Service G、A-Box、Sonnet VAIO Mail和PostPet Mail Account Service），邮箱密码也已外泄，合计54,401个邮箱地址，公司已于10月27日重置了这些密码。另有16条银行账户信息和7条密码重置通知信息外泄，公司表示将逐一联系相关人员。信用卡信息未包含在内，公司尚未确认包括NURO在内的其他服务发生泄露。原因被表述为第三方的未经授权访问（调查中），入侵途径尚未公布。本站的结论是：如果您使用过这四项邮箱服务，请重置邮箱密码，并更改重复使用该密码的其他服务的密码。即使对方能准确说出您的姓名和出生日期，对于声称来自So-net的信息，也请通过官方网站或专线电话核实，而不要使用其中的链接或号码。
Qzoo 调查网站数据泄露（约40万条记录）：包括银行账户信息在内的会员数据可能已泄露，会员应该怎么做
2026年10月21日，Monitas Inc. 宣布其调查网站 Qzoo 遭第三方未经授权访问，会员（调查对象）的个人数据可能已泄露。根据时间线，未经授权的访问始于10月17日8:30；12:22，数据库通过SQL注入被查看和更新；18:44，访问被发现并被阻断；19:02，服务进入紧急维护；10月20日，公司向日本个人信息保护委员会提交了速报。涉及范围约为40万条记录（截至10月17日 Qzoo 系统中持有的全部记录）。可能受影响的数据库存储了基本信息（姓名、出生日期、住址、电话号码、电子邮件地址等）、会员认证信息（会员ID、密码等）、金融信息（账号、支行名称、账户户名等）以及调查回答（年收入、职业等）。具体项目仍在调查中。该公司不持有信用卡信息或 My Number（日本的个人编号）。公司表示，入侵者利用了其系统中的一个漏洞。其他系统未发现遭未经授权访问。本站的观点：今天就更改与 Qzoo 共用的任何密码，不要打开声称来自 Qzoo 或银行的消息中的链接，绝不要把密码（PIN）或登录信息告诉任何人。同时请检查您的银行账户交易记录。
如何清除浏览记录、Cookie 和已保存的密码（电脑和手机上的 Chrome、Safari、Edge、Firefox）：泄露后该删除什么，以及删除前先保留什么
本文按照各厂商官方帮助中的标签，介绍如何在 Chrome（Windows、Mac、Android、iPhone）、Safari（Mac、iPhone、iPad）、Edge 和 Firefox 中删除浏览记录、Cookie（网站数据）、缓存、已保存的密码和自动填充数据。删除浏览记录并不能收回已被复制的内容，也无法防御威胁。能减少后续损害的是处理登录状态（Cookie）和已保存的密码：从安全的设备修改密码，并退出所有会话。如果打算报警，请在删除前记录威胁邮件和可疑的扩展程序。如果开启了同步，删除操作也会从同一账号的其他设备上移除这些数据。在 2026 年 10 月的 Onamae.com Desktop Cloud 事件中，GMO Internet 的第六份通知要求客户在完成设备检查之前保持浏览器同步处于关闭状态。
Digital Arts云服务遭未授权访问（i-FILTER@Cloud等六项服务）：部分客户数据可能已被查看，管理员应采取哪些措施
2026年10月21日，日本网络过滤与邮件过滤、文件安全产品制造商Digital Arts株式会社通过适时披露及其官网宣布，发现其云服务运行环境及内部环境存在未授权访问的痕迹。据公司称，用于运营云服务的凭证被外部人员获取，并被用于进入服务运行环境。因此，六项云服务（i-FILTER@Cloud、m-FILTER@Cloud（Modern Edition）、m-FILTER MailAdviser for Microsoft 365、FINAL CODE@Cloud、z-FILTER和Desk）的部分客户信息可能已被该外部人员查看。这些痕迹于10月9日在一次使用AI的全公司范围审查中发现，其中部分可追溯至约2025年7月。截至10月21日中午，尚未确认任何客户数据被带出公司，也未收到滥用或次生危害的报告。可能被查看的数据项目及客户数量尚未公布。公司要求六项服务的每位客户更改管理员及用户密码，并将在需要进一步行动时单独联系部分客户。本地安装的软件版本不受影响。在10月23日的投资者问答中，公司表示其白名单数据库既未被入侵者查看，也未被篡改，并且已向日本个人信息保护委员会报告此事件。本站结论：使用上述六项服务之一的机构管理员应在本周内更改管理员及用户密码，并确认公司是否已单独联系过自己。
Trustbank的故乡选择（Furusato Choice）遭入侵（4,454,097条会员记录）：姓名、地址及哈希密码泄露——捐赠者应采取哪些措施
2026年10月20日，运营Furusato Choice（日本“故乡纳税”捐赠制度的主要网站）的Trustbank股份有限公司宣布，有外部人员未经授权访问了会员数据，捐赠者的个人数据已泄露。公司在10月19日注意到异常访问情况后，发现未经授权的访问发生在10月17日，并于10月19日15:50关闭了相关服务。公司确认泄露的内容涉及4,454,097条会员记录：姓名、电子邮件地址、邮寄地址、电话号码、哈希密码以及估算的捐赠税收抵扣金额。在10月23日的第二份报告中，公司表示，其中5位捐赠者还有其他项目泄露，包括积分记录、捐赠记录、出生日期和送货地址。其中2人的“我的页面”中显示已保存卡片信息的画面曾被外部人员访问（卡号后四位、持卡人姓名、有效期）。公司称，卡片信息每次显示该画面时都从支付处理商获取，并不存储在其系统中，且仅凭这些信息无法完成卡片支付。自10月21日起，公司已逐一向会员发送电子邮件，告知其数据是否泄露及泄露的项目。在10月26日的第三份报告中，公司表示已于当天开始逐步恢复供市政府和回礼供应商使用的捐赠管理系统（同日的常见问题称自10月25日起）。目前不受理新的捐赠，面向捐赠者的网站尚未确定恢复日期。所有会员的密码均已失效，服务恢复后需要设置新密码。本站的结论是：如果会员在其他服务中使用了相同的电子邮件和密码组合，应更改该服务的密码；对于声称来自Furusato Choice或市政府的消息，不应打开其中的链接。
Medley 诊所系统 @link（at-link）遭未授权访问：患者姓名、出生月日、登录 ID 和密码泄露——患者和诊所现在该怎么做
2026年10月15日，Medley, Inc. 宣布其医疗机构管理系统 @link（at-link）、面向患者的 at-link 应用及相关服务遭到第三方未授权访问，并表示已于10月14日深夜起暂停这些服务。据该公司称，10月11日外部专业机构提示可能存在未授权访问，公司随即开始调查，并确认了该访问。10月23日，公司表示已确认：2026年9月下旬至10月中旬，第三方通过未经授权植入的程序访问了公司数据库并获取了信息，个人信息已泄露。对于使用过 at-link 应用或网页预约的患者，泄露项目为姓名、姓名读音（furigana）、出生月日、电子邮箱（仅限已登记者）、应用和网页预约的登录 ID 与密码、所就诊诊所名称、登记日期、最近就诊日期，以及信用卡支付记录（仅支付日期和金额；仅限通过应用在线支付者）。对于未使用应用或网页预约的患者，泄露项目为姓名、furigana、出生月日、所就诊诊所名称、登记日期、最近就诊日期，以及应用和网页预约的登录 ID 与初始密码。公司称其不持有信用卡号。受影响的诊所和人数仍在调查中；公司将与诊所合作，依次通知受影响者。公司称具体手段可能招致同类攻击，因此未予公开。公司已封堵相关路径并使所有相关认证信息失效，并已向个人信息保护委员会和厚生劳动省报告。应用和网页预约的密码不会沿用；服务重启时用户将设置新密码。在10月28日12:30更新的通知中，公司表示，面向诊所的“@link Cloud beta”已于10月28日起在部分诊所开始试用（试用功能：预约的查看与登记、患者信息和诊疗日历），面向患者的应用、网页预约网站及其他服务仍处于暂停状态，并计划在11月内退还暂停期间的费用。对原因和范围的调查仍在继续。本站的看法：使用过 at-link 应用或网页预约的人，应更改在其他服务中重复使用的密码，并且不要打开提及诊所或就诊情况的消息中的链接。诊所应将患者咨询引导至公司的专用联系渠道。
Comic Cmoa会员数据泄露（日志文件中最多约420万条记录）：邮箱地址和出生日期等外泄，用户应该怎么做
运营日本电子书商店Comic Cmoa（コミックシーモア）的NTT Solmare株式会社，就该服务遭未经授权访问一事先后发布四次通报，时间从2026年10月15日的首次通报至10月21日的第四次报告。据公司称，10月15日其判断外部未经授权访问其服务器的可能性很大，并于11:35暂停服务。10月16日的第二次报告称，已确认管理会员信息的系统中的会员数据已泄露给第三方（数量仍在核查中）。10月18日的第三次报告称，已查明入侵路径和攻击方式并正在处理，部分系统日志文件也被查看并被取走。10月21日的第四次报告将已确认泄露的数据描述为：会员数据库中的319条注册数据（邮箱地址、哈希处理后的密码、昵称、出生日期、性别），以及系统日志文件中最多约420万条记录（邮箱地址、昵称、出生日期、性别；不含密码；可能包含同一人的重复记录）。公司称，受影响系统中不保存信用卡数据，信用卡数据未泄露；未确认购买记录泄露，也未确认MY Bookshelf（用户书架）泄露、丢失或受损。公司称入侵路径和攻击方式的查明与阻断已经完成，但未披露具体内容。受影响人员将通过邮件联系。服务目前仍处于暂停状态，计划分阶段恢复，首先恢复已购作品的网页阅读；恢复时将要求所有用户重设密码。本站的看法是：凡是在其他服务中使用与Comic Cmoa相同的邮箱和密码的用户，应立即更改该密码，不要打开自称是该公司发来的邮件中的链接，并应自行打开NTT Solmare的新闻稿页面进行核实。
Onamae.com Desktop Cloud（GMO Internet）遭未授权访问（可能影响26,739台服务器）：客户信息被取走、补偿，以及外汇和证券交易者今天应做什么
2026年10月21日，GMO Internet, Inc.宣布，用于外汇自动交易的VPS（虚拟专用服务器）服务Onamae.com Desktop Cloud遭到第三方未授权访问，并表示部分客户的服务器环境中被植入了恶意程序。可能受影响的服务器为26,739台；公司表示，这是可能受影响的服务器数量，并非已确认发生未授权访问或数据获取的数量。自10月21日04:00起，公司陆续停止了所有套餐的服务器。在10月24日发布的第四份通知中，公司表示服务系统存在安全问题，已确认服务环境遭到未授权访问，客户信息已被取走。公司还表示，有客户反映其交易账户出现了本人未进行的交易。被取走的信息内容及涉及客户数量、入侵途径，以及受影响账户数和金额均未披露。公司将向所有现有用户一次性支付5,000日元；对于确认由此次未授权访问导致的交易所产生的已实现损失，将予以补偿（扣除交易所或券商已退还的部分）。公司不会按原样重启现有系统平台，将提供迁移至另一云平台替代服务的选择，迁移后免费六个月。据公司称，公司认为是攻击者的人要求支付钱款，并威胁若被拒绝将公开信息并采取其他行动；公司表示不会支付，并已向警方提供证据。10月24日发布的第五份通知再次要求客户对自己的设备进行全面扫描和备份，从非外汇交易用设备修改密码，即使已修改过密码也要终止所有登录会话，并设置双重身份验证。在10月26日发布的第七份通知中，公司表示，被认为是攻击者的一方已宣布将于10月27日12:00公开客户信息并发动勒索软件攻击。在10月27日发布的第八份通知中，公司要求客户先备份数据，然后在12:00之前断开网络、关机，并拔下连接电脑的所有线缆。在第九份通知（截至11:59）中，公司表示，在已完成分析的客户设备上未发现恶意软件（包括勒索软件），但这并不能确认所有设备都安全；公司还表示，遭受勒索软件损害的客户联系其支持窗口后，将在确认损害情况后获提供一台性能相当的新电脑。在10月27日发布的第十份通知（截至13:55）中，公司表示，已于12:30确认被认为是攻击者的一方公开了其声称是公司及客户的信息（公司仍在核实内容，并表示其中可能包含虚假信息）。公司表示，截至13:55未确认发生勒索软件攻击。公司称，攻击者会获取访问该网站者的信息，因此请大家不要访问或传播据称公开了这些信息的网站。在第十二份通知（截至19:10）中，公司表示，对于经公司确认其信息包含在攻击者所公开内容中的客户，将按信息类别支付10,000至25,000日元的特别慰问金（每次公开上限为300万日元），并设立了总额上限为100万美元的悬赏，征集有助于查明犯罪者的信息（自10月28日12:00起受理）。在10月28日的第十三份通知（截至11:00）中，公司表示已确认被认为是攻击者的一方的网站域名（含镜像网站）于当天04:00前后被暂停，并将对出现的类似网站采取行动。在同日发布的第十四份通知（截至18:20）中，公司表示，当天12:00开通的悬赏网站在最初约六小时内（截至18:00）收到113条线索，已就在X上传播被认为是攻击者一方网站的URL或内容的帖子共发出20次警告（截至18:00），且截至目前的设备分析未发现恶意软件感染或勒索软件攻击的痕迹。公司感谢客户将设备关机，并请需要继续使用电脑的客户事先进行安全扫描并备份。在10月29日12:40发布的第十五份通知中，公司表示其集团白帽黑客团队通过自行调查，获得了其认为可能有助于查明犯罪者的信息，并计划当天提交给警方和其他相关方，同时报告截至11:30悬赏网站收到270条线索。在10月29日20:50发布的第十六份通知中，公司报告线索已从113条（10月28日18:00）增至321条（10月29日18:00），提供了用于举报新的攻击者网站及未经授权公开个人信息的网站的举报表单（载于第十五份和第十六份通知），并再次请大家不要自行查明或联系犯罪者、不要发布未经证实的信息、不要传播可疑的URL。公司还表示，将对此次攻击及勒索行为采取包括刑事控告在内的法律措施。10月28日的披露称，据其母公司GMO Internet Group称，集团仍在检查旗下各公司的服务，目前尚未确认本服务以外的服务受到本次事件的影响。据报道，有客户收到被认为是攻击者的一方发来的邮件，邮件附有其部分浏览记录，作为持有数据的证明。公司集团CEO在博客文章中写道，攻击者威胁要公开客户电脑上的信息并对其发动勒索软件攻击，但公司并未表示有任何客户的电脑实际遭到入侵。10月26日发布的第六份通知要求客户对用于连接的设备进行全面扫描，并在检查完成前保持浏览器同步处于关闭状态等。本站的建议是：请使用非外汇交易用的设备修改券商密码、终止所有会话，并检查交易记录和余额。补偿相关信息请仅通过公司官方网站以及发送到注册邮箱的通知获取，切勿将可以交易的密码告诉任何人。
SourceNext会员数据泄露（22,519,960条记录）：电子邮件、密码和地址可能已外泄——会员应当怎么做
2026年10月15日，SOURCENEXT CORPORATION宣布，第三方未经授权访问了其管理的会员数据，已注册会员的个人数据已流出公司之外。据公司称，10月9日10:00左右起，第三方滥用会员数据检索API获取会员信息；公司于10月13日9:00左右确认未经授权访问，并于当日13:36完成遏制。可能外泄的数据涉及22,519,960条记录。涉及项目包括电子邮件地址、密码、姓名、片假名姓名、地址、性别、电话号码、传真号码、出生日期、公司名称、职务、部门以及系统识别信息（订阅服务、注册日期、登录日期等）；具体项目因会员注册方式而异。公司表示，受影响系统中不存储信用卡数据，因此不包括在内。在10月16日的更新中，公司称所有会员的密码均已停用，旧密码不再有效，并要求会员设置新密码。一篇10月19日的报道将加密存储以及已确认的解密暴露归因于公司发言人。公司的常见问题页面称，其已于10月16日请求独立的外部安全专家开展第三方调查；其Super Security和Virus Security产品仍可照常使用；1Password中保存的数据不由公司持有，也不属于此次泄露的内容。另外，公司于10月27日和11月5日宣布，第三方未经授权访问了其所用电子邮件发送服务的提供方（委托方），因此用于发送的电子邮件地址和订单信息可能已外泄（11月5日第二报为142,669条记录，按不重复的电子邮件地址计算；密码、姓名、地址、电话号码和信用卡信息不在其中）。公司称这是与10月15日事件无关的另一起事件。本站观点：凡在SourceNext注册过的人，应先修改其他使用相同电子邮件和密码的服务的密码，然后通过自行打开的官方网站设置新的SourceNext密码，并且不要点击声称来自SourceNext的电子邮件、短信、电话或信件中的链接或拨打其中的号码。
Bookoff 会员数据泄露（6,383,279 人）：姓名、地址、电子邮箱和密码哈希值可能外泄——会员应该怎么做
2026 年 10 月 9 日，BOOKOFF GROUP HOLDINGS LIMITED 宣布，有第三方未经授权访问了其子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 会员管理系统，会员数据已泄露到公司外部。根据 10 月 13 日的第二次报告，会员数据在 10 月 4 日至 6 日期间被从外部窃取。按会员编号统计为 6,427,735 条记录；将使用同一电子邮箱地址注册的会员记录合并为一人后，为 6,383,279 人（其中 212,371 人为已退会会员）。受影响的是应用会员、线上商店会员和网页会员；仅使用会员卡、从未通过应用或网页注册的人不在其中。可能泄露的数据包括姓名、出生日期、性别、职业、昵称、电子邮箱地址、电话号码、邮政编码和地址、密码哈希值、积分卡号和会员编号（职业和昵称是 10 月 16 日的更正中补充的），但并非每位会员的所有项目都泄露。信用卡信息等支付数据、银行账户信息、门店收购时从身份证件读取的文字，以及邮寄收购的身份证件图像不在其中。公司自 10 月 15 日起分批向受影响会员发送电子邮件（对所有确认可送达的地址的发送已于 10 月 22 日完成），并请会员修改官方线上商店和应用的密码。10 月 23 日，公司宣布在 Bookoff 会员网站上增加网页查询功能，会员登录后可确认自己是否受影响，并表示已于 10 月 22 日开通专用免费电话。公司在 11 月 6 日的第三次报告中表示，与外部专家进行的调查发现，第三方利用了处理会员信息的系统中部分功能的访问控制问题（系统构成、设置等技术细节不予披露）。根据第三次报告，影响范围（服务、人数、项目）与第二次报告相同；10 月 26 日至 29 日，公司还通过官方应用的通知向受影响会员逐一说明。目前尚未确认会员信息被公开、积分被滥用或会员信息被改写；公司表示，如确认积分因本事件被滥用，将全额补偿。公司计划于 12 月初向个人信息保护委员会提交正式报告。本站看法：通过应用或线上商店注册过的人，应通过官方应用或自己打开的网站修改密码，在共用该密码的其他服务上也一并修改，并且不要点击声称来自 Bookoff 的邮件或短信中的链接。
skyticket（Adventure Inc.）数据泄露（约1464万条记录）：密码、退款银行账户信息及部分用户的卡信息外泄——用户今天应该做什么
2026年10月9日，Adventure Inc.宣布其旅游比价及预订网站skyticket发生三起各自经由不同路径的未经授权访问事件。第一起中，某管理功能被滥用，并被用作进入其他服务器及云端存储数据的起点；约1464万条记录泄露，包括姓名（含护照拼写）、出生日期、电子邮件地址、电话号码、地址以及用于银行转账的汇款人姓名，其中约413万条包含哈希处理的会员密码。第二起中，一个业务管理系统的漏洞被利用，17,780条记录（含重复记录，仍在统计中）包含退款银行账户信息，已泄露或可能已泄露。第三起中，巴士预订完成页面无需登录即可显示，约12,000笔预订已被或可能已被查看。公司最初表示卡号不在泄露数据之列，但在10月16日的第二份通知中更正：2017年2月至2018年6月期间注册或使用信用卡支付“skyticket Premium”会员费的最多6,140人，其卡号、持卡人姓名和有效期（部分人仅为卡号；不含安全码）在第一起事件中泄露，同时泄露的还有作为Premium会员福利提供的福利服务的会员ID、姓名和密码。护照图像未外泄；截至10月9日的通知，已确认的次生危害仅为一次会员账户的未授权登录（第二份通知未说明已泄露的卡信息是否被滥用）。本站的建议：会员应立即在官方网站或应用程序中修改密码；凡使用过相同密码的其他服务，也应一并修改；若在此期间注册或使用卡支付Premium会员费，应检查2026年10月起的卡账单；忽略关于退款、赔偿或预订变更的信息；绝不向任何人提供银行密码或一次性验证码。
如何确认自己的密码是否已泄露：安全使用 Have I Been Pwned，以及浏览器和手机里已内置的检查
关于检查密码泄露的指南。Have I Been Pwned（HIBP）可以告诉你某个邮箱地址是否出现在已知的数据泄露中、来自哪个服务、泄露了哪些种类的数据。它的密码检查（Pwned Passwords）会在你的设备上对密码做哈希处理，只发送哈希值的前 5 个字符，因此密码本身从不会被发送（HIBP API 文档）。本站的看法：正在使用的密码，应在它们已经保存的地方检查（Google 密码管理工具、iPhone 的「密码」App、Edge 的密码监视器或你的密码管理器），而不是输入到网站里；HIBP 用来检查邮箱地址。「未找到」并不能证明什么都没泄露。
infoQ 调查网站数据泄露（894,082 条记录）：泄露了什么，会员应该怎么做
2026年10月5日，GMO Research & AI, Inc. 宣布其调查网站 infoQ 遭第三方未经授权访问，会员的个人数据被取出。在10月14日的第二次报告中，该公司将被取出的记录数确认为 894,082 条（第一次报告称最多为 948,498 条）。被取出的项目包括姓名、姓名读音（假名注音）、性别、出生日期、电子邮件地址、住址、电话号码、加密密码、会员ID，以及昵称和积分余额等其他注册数据。该公司不持有信用卡数据或日本的个人编号（My Number）。此外，价值 2,869,500 日元的 611 笔积分兑换在未经会员同意的情况下被换成了亚马逊礼品码，该公司表示将全额补偿（服务恢复后记入账户）。该公司于10月7日使所有会员的密码失效。该公司称，入侵者利用了其网站所用软件的一个漏洞。本站的看法是：由于包含出生日期和住址，制作令人信服的假冒消息很容易。请更改与 infoQ 共用密码的其他服务的密码，为电子邮件账户开启两步验证，并且不要打开声称来自 infoQ 的消息中的链接。
密码哈希是什么？用不可逆的单向变换安全保存密码
密码哈希＝用不可逆的单向变换来保存密码的方法。明文保存不可取。与加密不同，它无法被解密，这正是优点。但直接使用 MD5/SHA-256 会被彩虹表或暴力破解攻破。正确做法是『每个用户不同的 salt』＋『故意做得很慢的专用哈希（bcrypt/Argon2/scrypt）』。不要自己实现，交给标准库。
salt（盐）是什么？对密码做哈希时添加的、每个用户各不相同的随机值
salt＝在对密码做哈希之前添加的、每个用户各不相同的随机值。即便密码相同，所有人的保存值也会各不相同，预先计算好的彩虹表因此失效，攻击者也无法用一次破解攻破多个人。salt 不是秘密，可以和哈希一起保存。使用 bcrypt/Argon2 时会自动加上。
如何安全存储密码：哈希与加盐的正确做法
面向服务端的密码安全存储实战指南。先理解明文、加密、裸哈希为什么都不行，再收敛到『为每个用户加盐＋故意放慢的专用哈希（首选 Argon2id，其次 bcrypt/scrypt）』。不要自己造轮子，直接用标准函数；成本参数要定期复核；既有的弱哈希在用户登录时重新哈希以完成迁移。