適用對象：所有曾透過官方 App、官方線上商店或網站註冊為日本 Bookoff 會員的人（包括已退會會員），以及經營持有會員資料之服務的人。本文依據 BOOKOFF GROUP HOLDINGS LIMITED 的官方公告撰寫，不涉及攻擊手法。
持續發展中：機構公布更多資訊時，本文將隨之更新
截至 2026 年 10 月 24 日尚不明確
- 攻擊者如何入侵（公司表示不公開細節）
10 月 13 日的第二次通報公布了人數、涉及的服務、可能外洩的資料與不在範圍內的資料；10 月 16 日的更正將「職業」與「暱稱」加入資料項目。10 月 23 日的公告表示，已於 10 月 22 日前向所有確認可送達的地址寄出個別電子郵件，會員網站已新增可確認自己是否受影響的網頁查詢功能，並於 10 月 22 日開設專用免付費專線。10 月 23 日的公告未顯示數字有任何變動。公司正與外部專家調查原因，並表示若有新事實將盡速公布。
Bookoff 會員今天該做的事
確認自己是否受影響（App、線上商店與網站會員）
根據第二次通報，受影響者為日本 Bookoff 的 App 會員、線上商店會員與網站會員，包括已退會會員。僅使用會員卡、未透過 App 或網站註冊者不在其內。
受影響與不受影響的服務，請見下方「發生了什麼事」中的圖。BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF、官方線上商店等的會員受影響；Booklog、Aoyama Book Center、Japan TCG Center 等使用其他系統，不受影響。
10 月 23 日，公司新增了可在 Bookoff 會員網站上確認自己是否受影響的網頁查詢功能。使用方式（依公司公告與 FAQ）：
- 從公司的公告，或自己開啟的 Bookoff 官方網站進入 Bookoff 會員網站（member.bookoff.co.jp），不要從電子郵件或簡訊中的連結進入
- 以在 Bookoff 登錄的電子郵件地址與密碼登入，依畫面指示確認自己是否受影響
- 若登錄過多個電子郵件地址或會員帳號，請逐一確認
- 若因已退會等原因無法登入，請聯絡專用窗口（見最後一個步驟）
公司表示，沒收到個別電子郵件並不代表未受影響。已將會員卡資料移轉到 App 或網站的會員也可能受影響。若你曾透過 App 或網站註冊，請不要等查詢結果，直接進行以下步驟。
變更官方 App 與線上商店的密碼，以及其他共用該密碼的服務
不要點開自稱來自 Bookoff 的電子郵件、簡訊或電話中的連結
公司警告，可能會有假冒集團或合作夥伴的電子郵件、簡訊與電話。公司請會員不要點開意外收到的訊息中的連結或附件，也不要輸入個人資料或登入資訊。
公司表示，集團絕不會透過電子郵件、簡訊或電話索取密碼、信用卡資料或銀行帳戶資料（10 月 9 日的公告還列出驗證碼）。任何此類要求都是假的（辨識方式：什麼是網路釣魚？）。
即使是真正的通知郵件，也要透過官方入口確認
公司自 2026 年 10 月 15 日（週四）起，分批以電子郵件通知受影響會員的登錄地址，並表示對所有確認可送達地址的寄送已於 10 月 22 日（週四）完成。郵件主旨為「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（因未經授權存取導致個資外洩的致歉與通知），FAQ（截至 10 月 23 日）列出寄件者為「bookoff@2902.net」。郵件可能因地址變更或郵件設定而未送達，沒收到並不代表未受影響，因此請用上述網頁查詢確認。寄件者地址可以偽造，所以寄件者相符並不能證明郵件為真。
公司表示，這些郵件絕不會要求你輸入或回覆密碼、信用卡資料或銀行帳戶資料，也不會包含前往密碼變更畫面的連結。若有相同主旨的郵件附有密碼變更畫面的連結，或要求你輸入或回覆密碼、卡片資料或銀行資料，就與官方說明不符。請不要使用郵件中的連結，改透過官方聯絡管道確認。請在官方 App，或從自己的書籤或搜尋開啟的官方網站上確認內容。
檢查是否有不認得的點數使用或其他異常
公司請會員在發現可疑聯絡或不認得的使用紀錄時，聯絡其諮詢窗口。若你能登入官方 App 或線上商店，請檢查點數餘額、使用紀錄與登錄資料，看是否有自己沒做過的變更。公司表示，截至 10 月 13 日，未發現會員資料遭竄改或點數遭濫用。
使用官方公告所列的聯絡管道
10 月 22 日（週四），公司開設了本次事件的專用免付費專線 0120-300-663（10:00–18:30，每天，日語）。在此之前，公司是引導大家聯絡 Bookoff 集團客服。另一個聯絡管道是 Bookoff Group Holdings 網站上的專用諮詢表單（皆列於 10 月 23 日的公告）。請透過自己開啟的官方網站上的公告找到這些資訊，不要使用你收到的訊息中的電話號碼或連結。
發生了什麼事（Bookoff Group Holdings 的說法）
以下依據公司 2026 年 10 月 9 日的公告（第一次通報，證券交易所揭露）、10 月 13 日的第二次通報（證券交易所揭露）、10 月 16 日對第二次通報的更正（證券交易所揭露）、10 月 23 日關於網頁查詢與免付費專線的公告，以及其 FAQ（截至 10 月 23 日）。
2026 年 10 月 4 日至 6 日
BOOKOFF CORPORATION 會員管理系統中管理的會員資料遭從外部取走（第二次通報的調查結果）。10 月 6 日（週二）
確認第三方未經授權存取會員管理系統。確認之後
封鎖來自攻擊來源的連線與所用路徑，並強化存取控制與監控。已知用於取走資料的路徑已被遏止。10 月 9 日（週五）
公布第一次通報，指出最多約 643 萬筆（會員編號）。10 月 13 日（週二）
公布第二次通報與 FAQ。人數確定為 6,383,279 人（依會員編號計為 6,427,735 筆），並說明涉及的服務、不在範圍內的資料，以及變更密碼的請求。公司表示已向個人資訊保護委員會報告，並已與警方商談。10 月 15 日（週四）起
開始分批以電子郵件通知受影響會員的登錄地址（10 月 22 日完成）。FAQ 已修訂（截至 10 月 15 日），並列出寄件者地址。10 月 16 日（週五）
公布第二次通報的更正。「職業」與「暱稱」先前漏列於可能外洩的資料中，現已加入。公司表示，筆數、人數與報告其餘內容不變。10 月 22 日（週四）
完成對所有確認可送達地址的個別電子郵件寄送。開設專用免付費專線（0120-300-663）。10 月 23 日（週五）
公布在 Bookoff 會員網站新增可確認是否受影響的網頁查詢功能。FAQ 更換為截至 10 月 23 日的版本。
- 系統
- 由合併子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 會員管理系統
- 人數與筆數
- 6,383,279 人（現有會員 6,170,908 人，已退會會員 212,371 人）。依會員編號計為 6,427,735 筆。筆數是系統日誌顯示資料被傳送到外部的會員編號數量；人數則將以同一電子郵件地址登錄的多筆會員紀錄視為一人
- 受影響的會員
- App 會員、線上商店會員與網站會員。僅使用會員卡、未透過 App 或網站註冊者不在其內
- 項目
- 會員資訊中登錄的姓名、出生日期、性別、職業、暱稱、電子郵件地址、電話號碼、郵遞區號與地址，以及密碼雜湊值、點數卡號、會員編號（職業與暱稱於 10 月 16 日更正時新增）。並非每位會員的所有項目都外洩
- 密碼
- 雜湊值，公司表示無法直接還原為密碼。請受影響會員變更官方線上商店與 App 的密碼
- 不在範圍內
- 信用卡資料等付款資料；銀行帳戶資料；門市收購時填寫的地址與從身分證件讀取的文字；訂購時與會員地址分開提供的送貨地址；郵寄收購的取件地址與身分證件影像
- 公開與濫用
- 截至 10 月 13 日，未發現資料遭公開、點數遭濫用或會員資料遭竄改
- 後續步驟
- 與外部專家調查原因、對集團所有系統進行緊急檢查、加強安全措施與根本性的防止再發措施。已向個人資訊保護委員會報告並與警方商談
受影響（Bookoff 會員管理系統）
BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, BOOKOFF 官方線上商店, あそビバ (Asobiba), BOOKOFF FASHION, BINGO, B·SPORTS, B·STYLE, Rehello by BOOKOFF（門市）
不受影響（由其他系統管理）
hugall, aidect, Rehello by BOOKOFF（線上）, Japan TCG Center, Booklog, Aoyama Book Center, ブックオフおかたづけサービス（Bookoff Okatazuke，居家整理服務）
已知與未知
截至 2026 年 10 月 24 日的狀況。後續報告公布時，狀態欄將隨之更新。
| 項目 | 公司的說法 | 狀態 |
|---|---|---|
| 從外部取走資料 | 會員資料於 10 月 4 日至 6 日間遭從外部取走 | 已確認外洩（公司說法） |
| 人數與筆數 | 6,383,279 人（依會員編號計為 6,427,735 筆） | 已確認外洩（公司說法） |
| 會員與服務 | 日本使用 Bookoff 會員管理系統的各項服務中的 App、線上商店與網站會員（僅使用會員卡者不在其內） | 已確認外洩（公司說法） |
| 資料項目 | 姓名、出生日期、性別、職業、暱稱、電子郵件、電話、郵遞區號與地址、密碼雜湊值、點數卡號、會員編號（因人而異；職業與暱稱於 10 月 16 日更正時新增） | 可能（公司說法） |
| 付款資料與銀行資料 | 未在此系統中管理 | 不在範圍內（公司說法） |
| 身分證件（門市收購時讀取的文字、郵寄收購的影像） | 未在此系統中管理 | 不在範圍內（公司說法） |
| 公開、點數濫用或竄改 | 截至 10 月 13 日未發現 | 未發現（公司說法） |
| 原因與入侵路徑 | 因公開後可能招致進一步攻擊而不予公開 | 調查中 |
| 變更密碼的請求 | 請變更官方線上商店與 App 的密碼 | 已請求 |
| 個別通知 | 自 10 月 15 日起分批寄至登錄地址；對所有確認可送達地址的寄送已於 10 月 22 日完成（寄件者 bookoff@2902.net）。沒收到並不代表未受影響 | 已確認（公司說法） |
| 如何確認是否受影響 | 10 月 23 日在 Bookoff 會員網站新增網頁查詢功能；無法登入者請洽專用窗口 | 已確認（公司說法） |
如何解讀：「未發現濫用」不等於「安全」
公司的說法是，截至 10 月 13 日，尚未發現外洩的資料遭公開或點數遭濫用。外洩本身已經確認。假訊息可能在外洩很久之後才出現，因此請至少數個月保持警覺。
這些資料組合可能被如何利用
一般而言，以下資料組合可能導致以下濫用。這並不代表本案中已經發生。
- 姓名 + 地址 + 電話號碼 + 電子郵件地址：寫出帶有正確姓名與地址、以假亂真的「致歉」或「請確認」訊息。若再加上職業或暱稱，會顯得更個人化
- 電子郵件地址 + 密碼雜湊值：若密碼容易猜到，就可能被推算出來，並拿去嘗試共用該密碼的其他服務
- 會員編號或點數卡號 + 出生日期：可用於在電話或客服請求中冒充會員的材料。知道這些編號並不能證明某人的身分
在過去的案例中，2026 年 9 月公布的 Seicomart App 外洩事件，也是在第一次公布約 57 萬個帳號之後，由後續報告確定數字。這次，第二次通報將第一次通報的「最多約 643 萬筆（會員編號）」確定為 6,427,735 筆與 6,383,279 人。
點開電子郵件或簡訊中的連結
你得從用詞自行判斷真偽
↓→
有在假登入頁面輸入密碼的風險
透過官方 App 或自己開啟的網站進入
把電子郵件只當作「有公告存在」的提示
↓→
你看到的只會是真正的公告，不需要自行判斷
本站看法：真正的通知與假訊息會在同一週出現
本案中，公司事先公布了寄給受影響會員的電子郵件的開始日期（10 月 15 日）與主旨。知道這些郵件何時會到、叫什麼名稱，對發送假訊息的人同樣有幫助。要區分真假，最可靠的方法不是看用詞，而是由你自己選擇入口。如果你完全不使用郵件中的連結，而是一律透過官方 App 或自己開啟的網站進入，就能在不依賴郵件連結的情況下，將訊息與官方公告相互比對。
給持有會員資料的服務：讓外洩通知與假訊息有所區別
公司不公開原因的細節，因此本節不討論如何防止入侵。從公告中可得出兩點：資料中包含密碼雜湊值，且公司以電子郵件聯絡受影響者。以下步驟僅限於你可以為自己的服務事先決定的事項。本節不評價公司的應對。
不要在外洩通知郵件中放登入連結
外洩通知郵件會成為假冒郵件的範本。如果通知寫著「請由此登入以變更密碼」，假郵件就能使用完全相同的版面。
如果通知不含任何連結，並寫明「請在官方 App 或官方網站上確認公告」，你就能一貫地告訴使用者永遠不要點開連結。事先在自己的網站上公布寄件者地址與主旨，也有幫助。Bookoff 的第二次通報同樣公布了主旨，並表示其郵件不會連結到密碼變更畫面。
資料來源（公開紀錄）
本文中的事實依據以下公開資訊。本文不推測未公開的入侵路徑或手法。
- BOOKOFF GROUP HOLDINGS LIMITED，關於未經授權存取導致個資外洩的致歉公告（第二次通報）（2026 年 10 月 13 日，證券交易所揭露，日語）— PDF
- 同一公司，第二次通報的更正（2026 年 10 月 16 日，證券交易所揭露，含更正後的完整第二次通報，日語）— PDF
- 同一公司，關於未經授權存取導致個資外洩而新增網頁查詢功能與開設專用免付費專線的公告（2026 年 10 月 23 日，日語）— PDF
- 同一公司，關於未經授權存取導致個資外洩的常見問題（2026 年 10 月 13 日張貼，已更換為截至 10 月 15 日與 10 月 23 日的版本；10 月 24 日查閱，日語）— PDF
- 同一公司，關於未經授權存取導致個資外洩的致歉公告（第一次通報，2026 年 10 月 9 日，證券交易所揭露，日語）— PDF
- Bookoff 官方網站新聞（第一次通報，同日，日語）— bookoff.co.jp
- Bookoff Group Holdings 本次事件的諮詢頁面（2026 年 10 月 10 日查閱，日語）— bookoffgroup.co.jp
更新紀錄
2026-10-24：反映 10 月 23 日的公告。Bookoff 會員網站新增了可確認是否受影響的網頁查詢功能，因此在第一個步驟中加入其使用方式。同時反映了已於 10 月 22 日前向所有確認可送達的地址寄出個別電子郵件（沒收到並不代表未受影響），以及專用免付費專線（0120-300-663）已於 10 月 22 日開設，並更換了聯絡資訊。數字沒有變動，原因仍未公布。
2026-10-17：反映更正內容。10 月 16 日，公司更正其第二次通報，表示「職業」與「暱稱」先前漏列於可能外洩的資料中。這兩個項目已加入本文的各處清單（摘要、FAQ、事實清單與表格）。公司表示，數字與報告其餘內容不變。另將更換後 FAQ（截至 10 月 15 日）中給出的寄件者地址，以及更正公告，加入資料來源。
2026-10-14：反映 10 月 13 日的第二次通報與 FAQ。將人數更新為 6,383,279 人（依會員編號計為 6,427,735 筆，其中 212,371 人為已退會會員），並加入受影響的會員（App、線上商店與網站會員）、受影響與不受影響的服務、資料被取走的期間（10 月 4 日至 6 日）、不在範圍內的資料（包括從身分證件讀取的文字）、變更密碼的請求，以及自 10 月 15 日起的個別電子郵件（主旨、不含前往密碼變更畫面的連結）。公司表示不公開原因的細節。
2026-10-10：第一版，依據公司 10 月 9 日的公告與其諮詢頁面上的 FAQ（10 月 10 日查閱）。公司表示將在後續報告中公布受影響人數與涉及的資料，本文將於其公布時更新。
延伸閱讀
- 相關：Treasure Factory 外洩事件（746,277 筆）
- 同一時期的其他會員資料案例：Seicomart App 外洩事件 / Yakiniku King App 外洩事件 / MrMax App 與線上商店外洩事件 / SourceNext 會員資料外洩（含密碼）
- 密碼：如何檢查你的密碼是否外洩 / 密碼管理工具指南
- 詐騙後續：什麼是網路釣魚？
- 其他 2026 年案例：2026 年的資料外洩與網路攻擊