適用對象：曾登記 Benefit One 提供的、面向 Credit Saison 持卡人的福利服務 Toku-Kai 的人（包括已退會者），以及將業務外包給受託方的企業。本文根據 Benefit One 的官方通知撰寫，不涵蓋攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
截至2026年10月30日尚不清楚
- 原因（攻擊者如何入侵）
- 最終受影響人數
- 之後是否發生濫用
- 個別通知是否全部完成
- Toku-Kai 何時恢復服務
公司在10月28日的通知中寫明，調查仍在持續，人數可能變動，並將在其網站上儘快公布新的調查結果。截至10月30日，公司新聞列表中尚未出現關於此事的後續通知（第二次報告）。
現任與前任 Toku-Kai 會員今天應該做什麼
確認自己是否受到影響（已退會者也包括在內）
根據通知，受影響者是登記過 Toku-Kai 的 29,465 人，該數字包含部分已退會者。公司表示將透過登記的電子郵件地址逐一聯絡受影響會員。對於無法聯絡到的人（例如已退會者），公司表示以公告與諮詢窗口取代個別通知。
通知稱，您可以向 Benefit One 諮詢窗口（電子郵件 security-support@benefit-one.co.jp）詢問自己是否受到影響。要確認收到的電子郵件是否真實，請不要使用其中的連結，而是與您自行找到並開啟的官方網站上公司的公告進行比對。
不要開啟冒充該公司或其合作夥伴的訊息中的連結
姓名、出生日期、性別、郵遞區號、電子郵件地址與客戶編號湊在一起，就有可能寫出姓名與編號都正確、足以亂真的假訊息。公司提醒使用者留意冒充公司、合作夥伴或受託方的可疑電子郵件、電話與簡訊，並表示從不向會員索取信用卡號或密碼。
由於公司計畫向受影響會員寄送電子郵件，因此也可能出現外觀相似的「確認您是否受影響」或「重新登記信用卡」的假冒訊息。凡是索取卡號或密碼的訊息，一律視為假冒，並在自行開啟的官方網站上確認（辨識方法：什麼是網路釣魚？）。
通知並未要求更換卡號。作為預防，請檢查帳單
公司表示，公司及受影響的系統均不保存信用卡號、有效期限與安全碼。這些資訊由付款處理機構管理，該機構的系統未遭入侵，因此公司表示沒有信用卡資料外洩。通知中沒有建議更換卡號。
公司還表示，其用於串接付款系統的部分認證相關資訊可能已外洩，與管理編號結合後，原本可以對會費付款進行詐欺處理。公司已於10月26日更換該資訊，並表示此途徑已無法再被用於詐欺。作為預防措施，請檢查帳單中是否有自己不認識的 Toku-Kai 會費扣款。
通知並未要求更改密碼
外洩項目清單中不含密碼，公司的通知也沒有要求會員更改密碼。如果您想藉此機會檢查在其他服務上使用同一電子郵件地址時的弱密碼或重複密碼，可以考慮使用密碼管理器，但這並非因應本次事件的必要步驟。
受託方遭入侵，合作夥伴會員的資料外洩
根據公告，外洩的資料來自一家受託方營運的系統，該系統用於 Benefit One 向合作夥伴會員提供的服務。公司聲明，資料並非從 Credit Saison 管理的系統外洩。
在會員看來，信用卡公司、提供服務的公司，以及承擔其業務的受託方都牽涉其中，而這次未經授權的存取發生在受託方的系統中。同類的過往案例有JR 東日本、VIEW Card 及 JR 九州的電子郵件外洩，當時多家機構就同一原因分別發布了公告。本次的發展未必與之相同。
Credit Saison
向其持卡人提供該服務。資料並非從其系統外洩
↓→
Benefit One
提供 Toku-Kai
↓→
受託方的系統
未經授權存取發生的位置
會員資料從受託方營運的系統外洩（公司公告）。
發生了什麼（依據 Benefit One 的公告）
以下內容根據 Benefit One 2026年10月28日的公告（PDF）以及 Credit Saison 同日的通知。
2026年10月14日 13:45
受託方發生未經授權的存取，並間斷持續到10月20日 14:05。10月21日
受託方發現部分未經授權的存取（10:30）。Benefit One 收到受託方的通報（11:40），並暫時停止了該服務（17:00）。10月23日
向個人資料保護委員會通報（初步報告）。10月24日至25日
受託方發現了21日時尚未查明的額外未經授權存取。Benefit One 於25日 18:50 收到第二次報告。10月26日
為防止損害擴大，Benefit One 更換了用於串接付款系統的認證相關資訊。10月27日
19:00 收到受託方的第三次報告，認識到部分認證相關資訊可能已外洩。10月28日
Benefit One 確認，由於10月26日的更換，透過該途徑進行詐欺處理已不再可能。發布致歉與通知。
- 涉及的服務
- Toku-Kai（面向 Credit Saison Co., Ltd. 持卡人的服務）。公司表示資料並非從 Credit Saison 的系統外洩
- 外洩項目
- 姓名、注音假名、出生日期、性別、郵遞區號、電子郵件地址、客戶編號、入會與退會資訊，以及用於會費付款處理的管理編號。具體包含哪些項目因會員而異，取決於其登記內容
- 關於管理編號
- 用於將會員資訊與付款資訊關聯的編號；不是信用卡號
- 可能外洩，與會員資料無關
- 公司用於串接付款系統的部分認證相關資訊。與管理編號結合後，原本可以對會費付款進行詐欺處理；已於10月26日更換
- 表示不包含
- 卡號、有效期限與安全碼等信用卡資料（由付款處理機構管理，其系統未遭入侵）
- 濫用情況
- 核查了截至更換認證資訊的期間，未發現可歸因於本次事件的詐欺付款。尚未確認存在因這些資料遭濫用而造成的損害
- 已採取的措施
- 暫時停止服務，封堵已知的未經授權存取途徑，更換認證相關資訊
- 進行中的措施
- 與相關方及受託方共同調查，由第三方專業公司調查，向個人資料保護委員會通報，向警方諮詢，調查範圍與原因
已知與未知的內容
截至2026年10月30日的情況。有後續資訊時，本表的狀態欄將予以改寫。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 未經授權存取的期間 | 2026年10月14日 13:45 至 10月20日 14:05 間斷發生。10月24日至25日又發現了21日時尚未查明的額外存取 | 已確認（公司） |
| 人數 | 29,465（含部分已退會者）。隨著調查持續可能變動 | 已確認（目前；可能變動） |
| 姓名、注音假名、出生日期、性別、郵遞區號、電子郵件地址 | 因會員而異（取決於登記內容） | 已確認外洩（公司） |
| 客戶編號、入會與退會資訊 | 同上 | 已確認外洩（公司） |
| 用於會費付款處理的管理編號 | 不是信用卡號 | 已確認外洩（公司） |
| 用於串接付款系統的認證相關資訊 | 部分可能已外洩。已於10月26日更換 | 有可能（公司） |
| 卡號、有效期限、安全碼 | 不保存；未外洩 | 未包含（公司） |
| 密碼 | 外洩項目清單中未列出 | 未說明 |
| 詐欺付款處理 | 未發現可歸因於本次事件的情況 | 未確認（公司） |
| 因濫用造成的損害 | 目前尚未確認 | 未確認（公司） |
| 原因與入侵途徑 | 受託方的系統遭到第三方未經授權的存取。詳情調查中 | 調查中 |
| 個別通知 | 逐一寄送至登記的電子郵件地址 | 計畫中 |
| Toku-Kai 恢復服務 | 查明原因並完成防範措施之後；時間將在公司網站公布 | 未定 |
如何理解：「未確認」不等於「未發生」
公司寫明詐欺付款與濫用造成的損害「尚未確認」。公司表示調查仍在持續，人數可能變動。姓名、出生日期與電子郵件地址已經外洩，日後可能被用於假冒訊息，因此「不包含信用卡資料」與「需要提防訊息」是兩回事。
外洩項目的組合可能導致什麼
一般而言，如下組合可能導致此類濫用。這並不意味著本次已經發生。
- 姓名 + 出生日期 + 電子郵件地址 + 客戶編號：可以寫出姓名與編號都正確、足以亂真的「請確認」或「手續通知」電子郵件
- 電子郵件地址 + 服務名稱（Toku-Kai）：成為冒充「Toku-Kai 費用」「退會手續」或「重新登記信用卡」的訊息的切入點
- 入會與退會資訊：已退會者也可能收到冒充「退會確認」的訊息
面向使用受託方的企業：已揭露的時間線可供檢查什麼
原因尚未公布。本節不評價公司或受託方的因應，僅依據已揭露的時間線，限於使用受託方的企業可以在自己一側檢查的內容。
- 受託方事後可能發現更多未經授權的存取。在時間線中，10月24日至25日發現了21日時尚未查明的額外存取，通報分三次到達。請考慮能否在合約中預先約定：一次通報未必是最後一次，以及中期更新的頻率。
- 讓付款串接的認證資訊保持可更換。通知稱，公司為防止損害擴大更換了串接的認證資訊，之後又收到受託方的通報，表示其中一部分可能已外洩。一般而言，如果您把串接憑證交給受託方，了解隨時更換它們的步驟，以及更換時會影響什麼，可以縮短控制損害的時間。
- 盤點受託方持有的內容。本次受託方的系統持有從會員姓名到入會與退會資訊，以及付款管理編號的各類項目。請定期檢查受託方持有的項目是否在業務所需的範圍內，以及是否需要保留已退會會員的資訊。
參考來源（公開紀錄）
本文事實根據以下公開資訊。尚未揭露的入侵途徑與手法不做推測。
- Benefit One Inc.，《關於我方外包受託方遭未經授權存取導致合作夥伴會員個人資料外洩的致歉與通知》（2026年10月28日，PDF，日文）— corp.benefit-one.co.jp
- Credit Saison Co., Ltd.，《關於 Benefit One Inc. 提供的 Toku-Kai 個人資料外洩》（2026年10月28日，日文）— saisoncard.co.jp
- ITmedia NEWS（2026年10月29日，日文）。用於確認與官方公告一致 — itmedia.co.jp
更新紀錄
2026-10-30：首次發布。依據 Benefit One 10月28日的公告（PDF）及 Credit Saison 同日的通知。已確認截至10月30日，公司新聞列表中尚無關於此事的後續通知（第二次報告）。公司表示將公布新的調查結果，相關資訊發布後本文將予以更新。
延伸閱讀
- 同類事件：JR 東日本、VIEW Card 及 JR 九州可能發生的電子郵件外洩
- 辨識後續詐騙：什麼是網路釣魚？ / 密碼管理器的原理與選擇方法
- 2026年其他事件：2026年資料外洩與網路攻擊一覽（日本及全球）