適用對象：負責公司或個人網站資安的任何人。這不是單一事件的報導，而是將日本機構在2026年8月所揭露的事件排列對照後呈現的模式。所有事實均來自這些揭露與相關報導，不包含對成因的推論。
依切入途徑分類
依各機構所公布的內容整理；數字與原因僅依其揭露內容呈現。
| 揭露日期 | 機構 | 起點 | 類別 |
|---|---|---|---|
| 8月3日 | Kodansha | 企業信箱——聯絡人遭竊取，部分聯絡人收到冒用該員工名義的郵件 | 憑證 |
| 8月4日與7日 | Innovation Co. | GitHub憑證——該公司揭露兩項缺失：設定檔中寫死權杖，以及儲存庫中存放個人資料 | 憑證 |
| 8月13日 | Charm | 未經授權存取電商網站（約230,000筆紀錄，包括密碼雜湊值） | 直接 |
| 8月14日 | Nichirei | 勒索軟體（7月13日系統故障；員工資料可能外洩） | 直接 |
| 8月17日與19日 | Sakura Internet | 供應商的管理環境，隨後是合約管理系統（範圍最多涉及1,360,563個會員帳號） | 憑證／供應商 |
| 8月20日 | Expo 2025 Association | 一家承包商的Microsoft 365，起點為5月13日收到的網路釣魚郵件 | 憑證／供應商 |
| 8月20日 | VOISING | 一套BI工具（最多涉及約170,000人） | 憑證／SaaS |
| 8月（據報導） | JST | 信箱遭存取（約16,000封郵件） | 憑證 |
| 8月12日 | OCS、ANA Group（據報導） | 應用程式中的漏洞 | 直接 |
如何解讀這些數字
以上數字是截至發布時所公布的內容，且多數調查仍在進行中。特別是Sakura Internet的1,360,563，是可能涉及的會員紀錄數，並非已確認的外洩數；該公司表示尚未確認有資料外流。不將仍在調查中的數字視為最終結果，是閱讀此類報導的基本功。
為何只保護自身系統並不足夠
起點：您無法控制的合法帳號
供應商的M365／一套BI工具／一個信箱／一個GitHub權杖／供應商的控制台
攻擊者執行一般操作
以遭竊的憑證正常登入並讀取資料
您的伺服器（未被觸及）
修補、WAF與CSP都無法套用於此途徑
被利用的漏洞代表有人透過缺陷闖入，因此修復該缺陷即可阻止。遭竊的憑證則代表有人以正常方式登入，因此沒有可修補的缺陷。需要保護的是憑證本身：由誰持有、存放在哪裡，以及有效多久。
在此無效的做法
- 修補——對不利用任何漏洞的攻擊毫無作用
- WAF／IPS——合法登入看起來不會異常
- 「我們太小，不會成為目標」——真正的目標是供應商或服務供應商，而您是其客戶，因此受到影響
- 更換託管模式——VPS無法阻止憑證遭竊
有效的做法
- 多因素驗證，特別是在信箱、程式碼託管與SaaS管理員帳號上
- 短效期、權限範圍狹窄的憑證——淘汰長效權杖
- 供應商與SaaS清單，列出可存取您資料者
- 設定檔中不寫死機密；儲存庫中不存放個人資料
- 假設資料已被讀取而規劃——減少可被竊取的內容
該怎麼做
列出您所依賴的外部服務與承包商
包括託管、SaaS、BI工具、郵件平台、程式碼託管，以及承包商。**沒有這份清單，新聞爆出時您甚至無法回答「我們是否在影響範圍內？」**建立方法請參閱：資產盤點清單。
優先為信箱與程式碼託管啟用多因素驗證
上述多個起點都是信箱與程式碼託管的憑證。這兩類帳號都可以用來重新發放其他一切，因此優先順序最高。→ 如何選擇多因素驗證
盤點長效憑證，並縮短其有效期限與權限範圍
設定檔中的機密、沒有到期時間的存取權杖、可跨所有儲存庫使用的金鑰。假設會被竊取，並讓竊賊取得的內容變少、有效時間變短。→ .env與API金鑰的風險／在提交時阻止機密外洩
事先評估供應商遭入侵時會發生什麼事
當收到供應商遭入侵的通知時，**您實際會失去什麼？**事先釐清這個問題，才能決定當天該怎麼做。→ 網站託管商遭入侵時的應對方式
預期會出現機會型網路釣魚
大型事件之後必定會出現假冒該事件的郵件。在8月的一起案例中，已揭露有假冒該員工的郵件被寄給遭竊取的聯絡人。請勿點擊「事件通知」郵件中的連結，請自行開啟官方網站。→ 什麼是網路釣魚
本站觀點：這不是大公司才有的問題
表中列出的是大型機構，但入侵的起點與規模無關：一個信箱、SaaS管理權限、留在儲存庫中的憑證。單人開發者的情況完全相同，甚至可以說更糟，因為小型營運更依賴外部服務，而且一個憑證往往能取得更多存取權限。我們的立場始終如一：現在，不要將憑證發放得比必要範圍更廣，也不要讓不用的憑證持續存在，這比試圖讓系統無法被入侵更有效。修補仍是基本要求，但重點應轉向憑證。
資料來源
事實來自各機構的揭露與相關報導。除已公布的內容外，不對成因或責任作任何歸因。
- Sakura Internet——第一次報告（8月17日）／第二次報告（8月19日，8月26日更新）／常見問題
- Expo 2025 Association——關於承包商遭未經授權存取的報告（8月20日）
- Kodansha——關於個人資料外洩的公告（8月3日）
- Charm——關於未經授權存取的公告（8月13日）
- Innovation Co.——關於GitHub事件的最終報告（8月7日）
- 關於Nichirei的報導——@IT（8月15日）
- 關於VOISING的報導——ITmedia NEWS（8月21日）
延伸閱讀
- 從帳號或供應商登入開始的近期案例：Navigate360 P3（Crime Stoppers 提示平台）／ASOS（英國，客戶資料）
- 承包商的雲端金鑰遭濫用的求職網站案例：MyBRANDS
- 2026年所有事件（日本與全球）：資料外洩與網路攻擊列表，以及切入方式的差異
- 比較2026年的主要案例：KDDI、Aflac、數位廳與Sakura Internet的共通點
- 當VPN是入侵途徑時：VPN設備是勒索軟體的主要入侵途徑：數位廳遭入侵後的遠端存取防禦
- 準備工作：資產盤點清單／如何選擇多因素驗證
- 供應商遭入侵時：網站託管商遭入侵時的應對方式
- 開發用雲端憑證遭竊時：日經未經授權存取事件（約183萬筆紀錄）
- 雲端營運憑證遭取得時：Digital Arts雲端服務遭未經授權存取
- 憑證竊取：單次npm安裝如何竊取您的憑證／.env與API金鑰的風險
- 設計問題：密碼重設的設計缺陷——服務自身的重設流程將憑證發給攻擊者
- 案例：KADOKAWA勒索軟體事件（2024）——以網路釣魚竊取憑證作為入口