適用對象：曾在線上透過大和證券與公司聯繫的大和證券帳戶持有人，以及使用外部服務處理客戶詢問的企業。本文依據大和證券股份有限公司的官方通知，以及委外廠商與其他使用同一委外廠商服務的公司（Citizen Watch、Sompo Japan、ORIX Life Insurance、東武鐵道與au Jibun Bank）的通知撰寫，不涵蓋攻擊手法。
客戶今天應該做什麼
在訊息匣確認你是否受到影響
根據公司網站，受影響的客戶已於10月5日透過線上交易的訊息匣（お知らせBOX）個別聯繫。請自行從書籤或官方應用程式登入，不要從電子郵件中的連結進入，並在該處查看。
如有疑問，請撥打專線0120-851850（日本時間上午9時至下午5時，週末及假日休息）。請使用公司官方網站公布的號碼，不要使用你收到的訊息中提供的號碼。
切勿從電子郵件或簡訊中的連結登入
可能外洩的是你的姓名、電子郵件地址、帳號與詢問內容。這些資訊合在一起，就能製作出附上正確姓名、正確帳號，並提及你過去詢問的假訊息。
公司的網路釣魚頁面提醒客戶不要從電子郵件登入線上交易。即使訊息提到安全檢查、道歉或賠償，也請不要點開連結；請從你平常使用的書籤或官方應用程式登入（如何辨識假訊息：什麼是網路釣魚？）。
切勿將你的帳號、密碼、PIN或一次性密碼提供給任何人
公司要求客戶不要因為可疑訊息而提供交易帳號、密碼、PIN或一次性密碼。若有來電者表示「為確認您的身分」，也適用相同原則。
知道你姓名與帳號的來電者，並不代表他已證明身分。而這正是可能外洩的資訊。
檢查操作紀錄
登入線上交易後，開啟「お手続き・サポート」（手續與支援）選單，選擇「操作履歴」（操作紀錄），即可查看近期的登入與手續紀錄。
如果你發現任何你並未進行的登入、交易或變更，請立即變更密碼並聯繫公司。如果你在其他服務也使用相同密碼，請在該處一併更換（檢查方式：如何確認你的密碼是否外洩）。
事件經過（依大和證券的通知）
大和證券股份有限公司於2026年10月5日發布通知，說明因外部委外廠商遭未經授權存取，客戶資訊可能外洩。以下內容皆出自該通知。
2026年10月2日晚上約8時33分至10月3日上午8時01分
根據委外廠商，未經授權存取委外廠商伺服器發生在此時段。10月3日
委外廠商通知公司，已發現存取及取得公司客戶資訊的痕跡。10月5日
公司宣布此事件，並透過線上交易訊息匣個別聯繫受影響的客戶。
- 來源
- 公司用於管理客戶線上詢問的服務委外廠商伺服器
- 範圍
- 詢問相關資料，涉及約110,000名客戶；約220,000筆紀錄，包括無法識別個人的詢問
- 項目
- 已收到詢問紀錄中的姓名、電子郵件地址、帳號及其他資訊
- 帳戶
- 公司表示，這些資料無法用於存取證券帳戶或進行交易，包括透過線上交易
- 公司系統
- 存取範圍僅限委外廠商伺服器；未發現公司系統遭未經授權存取
- 原因
- 公司通知中未說明原因。公司表示將審查委外廠商的根本原因調查（委外廠商的說明見下一節）
- 委外廠商回應
- 委外廠商表示已進行緊急安全強化，目前未發現進一步的未經授權存取或外洩
- 聯絡方式
- 專線0120-851850（日本時間上午9時至下午5時，週末及假日休息）
委外廠商的通知，以及其他受影響公司
10月6日，提供詢問管理服務的委外廠商及其母公司各自發布通知。通知顯示，未經授權存取並不限於大和證券：它波及了同一伺服器上運行的數家客戶公司環境。委外廠商的通知未公布客戶公司名稱。
- 經過
- 自10月2日約晚上8時30分至10月3日約上午8時，第三方未經授權登入該服務的管理網站，並在廠商管理的伺服器上放置未經授權的程式。同一伺服器上運行的客戶環境資料庫中的詢問資料可能已遭取走
- 範圍
- 同一伺服器上客戶環境中的詢問資料（最多五家公司）
- 筆數
- 依每筆詢問計算，最多713,126筆，因此同一人的多筆詢問會分開計算。實際人數仍在確認中
- 項目
- 姓名、電子郵件地址、詢問內容等（項目因客戶公司而異）
- 發現
- 10月3日上午，資料庫監控警示後開始調查；當天約上午8時已切斷存取
- 因應
- 已變更用於未經授權登入的帳號密碼、隔離未經授權的程式、變更所有環境的管理員密碼，並變更設定使上傳的檔案無法作為程式執行，以及其他措施。目前正與外部專業人員進行鑑識調查（尋找入侵痕跡），且事件已向日本個人資訊保護委員會通報
- 規劃措施
- 依據調查結果，強化管理員驗證（包括多因素驗證）、環境之間的區隔、加強監控，並定期進行第三方弱點評估（委外廠商通知）
- 次生損害
- 截至10月6日未發現
此後，其他客戶公司也發布通知，表示同一委外廠商已向其通報此事件。以下是本網站截至10月10日可確認的官方通知。
| 公司（日期） | 相關服務 | 筆數（依各公司說明） | 自身資料 |
|---|---|---|---|
| 大和證券（10月5日） | 管理線上詢問 | 約110,000人（約220,000筆紀錄） | 可能已外洩（公司說明） |
| Citizen Watch（10月6日） | 品牌網站的聯絡表單 | 約100,000人（設有專用詢問表單） | 可能已外洩（公司說明） |
| Sompo Japan（10月7日） | SMILING ROAD的常見問題與詢問 | 約60,000筆，依每筆詢問計算 | 可能已外洩（公司說明） |
| ORIX Life Insurance（10月8日） | 管理官網的詢問 | 約26,500筆（包括重複詢問） | 可能已外洩（公司說明） |
| 東武鐵道（10月7日） | 客服中心聯絡表單 | 未說明 | 未發現遭檢視或取走的跡象（公司說明） |
| au Jibun Bank（10月9日） | 常見問題與電子郵件聯絡表單 | 未說明 | 不在最多五家的環境之列；未發現外洩（公司說明） |
Citizen Watch Co., Ltd.（10月6日）宣布，同一委外廠商已通報其用於處理官網聯絡表單詢問的系統遭未經授權存取。
- 範圍：Citizen、Bulova與Frederique Constant品牌的詢問，約100,000人
- 項目：姓名、地址、電話號碼、電子郵件地址等。若客戶在詢問欄位中填寫了銀行帳戶或信用卡資訊，該資訊也可能已外洩
- 時段：約10月2日晚上8時33分至10月3日上午8時01分（與大和的通知相同）
- 公司表示將個別聯繫受影響的客戶；截至10月6日未發現次生損害
- 聯絡方式：通知中列出的專用詢問表單（contact.citizen.co.jp，日文）
Sompo Japan Insurance Inc.（10月7日）宣布其企業用聯網行車記錄器服務SMILING ROAD發生事件。該服務使用同一委外廠商的伺服器，主要用於處理客戶企業員工的常見問題與詢問。
- 筆數：依每筆詢問計算約60,000筆（同一人的多筆詢問分開計算）
- 項目：姓名、電話號碼、地址、電子郵件地址、雇主資訊（公司、部門、產業、代理店名稱等）、駕駛ID、駕駛警示資料（類型與時間）、裝置資訊（如行車記錄器序號）、申請編號，以及詢問內容（主旨與內文）
- 不包括：銀行帳戶、信用卡及個人編號卡（My Number）資訊
- 時段：約10月2日晚上8時33分至10月3日上午8時01分（與大和的通知相同）
- 公司表示將個別聯繫受影響的客戶，截至通知發布時未發現遭濫用。專線為0120-268-567（平日日本時間上午9時至下午5時）
ORIX Life Insurance Corporation（10月8日）宣布，其用於管理官網詢問的同一委外廠商服務發生事件。
- 筆數：約26,500筆（包括同一客戶的重複詢問）
- 項目：姓名、出生日期、地址、電話號碼、電子郵件地址、保單號碼，以及詢問內容（包括客戶所回報的醫療資訊）
- 不包括：可能導致財務損失的資訊，例如個人編號（My Number）或信用卡號碼
- 公司表示將以信件或電子郵件個別聯繫受影響的客戶，截至通知發布時未發現次生損害。客服中心電話為0120-330-053（週一至週五，日本時間上午9時至下午5時）
其他使用同一委外廠商服務的公司表示，尚未發現對其自身資料造成影響。
- 東武鐵道株式會社（10月7日）：表示已由其客服中心聯絡表單所使用服務的提供者通知，並且根據委外廠商的說明，目前調查尚未發現東武相關資訊遭檢視或取走的跡象。作為預防措施，公司請客戶不要開啟可疑電子郵件中的連結或附件
- au Jibun Bank Corporation（10月9日）：表示已由其常見問題與電子郵件聯絡表單所使用服務的提供者通知，該行不在委外廠商所公布的最多五家客戶環境之列，且未發現未經授權的資料存取或登入跡象，也未發現客戶資料外洩
委外廠商表示，涉及的客戶公司最多五家。據本網站截至10月10日可確認的資訊，已有四家宣布其客戶資料可能外洩：大和證券、Citizen Watch、Sompo Japan與ORIX Life Insurance。其餘客戶尚未被公布名稱，本文也不猜測其身分。
岩手銀行與四國銀行也已發布通知，轉知其客戶大和證券的公告。兩家銀行均以大和的業務夥伴身分這樣做；兩份通知都未表示該銀行本身是委外廠商服務的客戶。
各方公布的筆數單位不同：委外廠商、Sompo Japan與ORIX Life Insurance依每筆詢問計算；大和證券同時提供紀錄筆數與人數；Citizen Watch則提供人數。這些數字不能直接相加或相減。
也請把你在詢問中填寫的內容視為可能已外洩
大和的通知列出的項目為「姓名、電子郵件地址、帳號等」，並未說明詢問內文如何處理。另一方面，委外廠商的通知則將詢問內容列為項目之一。
如果你記得曾在詢問中填寫信用卡號、銀行帳號或出生日期，為安全起見，建議假設這些資料也可能已外洩（本網站的看法）。若是信用卡，請撥打卡片背面的號碼聯繫發卡機構，詢問是否需要補發。
外洩的資料可能被如何利用
這些項目單獨看都不稀奇，但合在一起就會讓假訊息看起來很真實。本事件的特殊之處在於，除了姓名與聯絡資料外，還包括帳號以及客戶曾詢問的內容。
姓名 + 電子郵件 + 帳號
↓→
附上正確姓名與帳號的假登入請求
→ 切勿從連結登入／使用通行密鑰
姓名 + 過去的詢問內容
↓→
以「關於您近期的詢問…」開頭的假來電或電子郵件
→ 切勿提供PIN或一次性密碼／改撥官方號碼回電
依通知未發現的項目
- 公司自身系統遭存取
- 不法交易（截至10月5日）
- 資料公開或擴散（截至10月5日）
- 僅憑此資料存取帳戶或交易（公司表示不可能）
可能已外洩的項目
- 姓名
- 電子郵件地址
- 帳號及其他細節
- 詢問內容（已收到的詢問紀錄）
如何理解：「此資料無法用於交易」不代表「可以不用理會」
公司表示，可能外洩的資料本身不足以存取帳戶或進行交易。也就是說，光靠這些資料還不夠。
但如果你在假電子郵件或假網站上輸入了帳號與密碼，情況就不同了。日本金融廳（FSA）曾警告，假冒證券商的假網站竊取登入帳號與密碼後進行的不法交易相當頻繁（FSA警告，日文）。登入資訊很可能是下一個目標，因此切勿從連結登入，並使用通行密鑰，才是最主要的防禦方式。
每位客戶的詢問內容各不相同。如果你記得自己曾詢問的主題，當訊息提到該主題時，你就能察覺外洩的資料可能正被利用。
使用外部服務處理客戶詢問的企業
資料並非存放在公司自身系統，而是存放在用於詢問管理的委外廠商伺服器上。廠商表示事件始於對管理網站的未經授權登入，但該登入如何成為可能尚未公開，因此本節僅說明適用於任何類似架構的要點。若是客服系統本身成為入侵目標的案例，請參閱DIVD事件。以下補充詢問紀錄特有的重點。
不要讓詢問表單以自由文字收集帳號
客戶常在詢問表單的訊息欄位中填寫帳號、出生日期，甚至密碼。如需進行身分確認，請讓客戶從已登入的畫面提出詢問，並且不要將這些號碼存入詢問紀錄。
一個初步做法是：在表單送出時偵測類似帳號或電話號碼的字串，並在儲存前遮蔽部分內容。部分詢問管理服務提供敏感資料遮蔽功能，或可在儲存前處理內容。
為已結案的詢問設定保存期限，並在期限屆滿時刪除
詢問結案後，其紀錄很少再被使用，但一旦外洩，每一筆紀錄都會暴露。請決定舊紀錄的保存期限，並讓它們在期限屆滿時自動刪除。
若由委外廠商保存，請在合約中訂明保存期限與刪除方式，並至少每年確認一次刪除確實執行。合約結束後資料未被刪除的案例，可參閱2026年事件列表中的ApplyNow項目。
列出持有客戶資料的委外廠商，並記錄資料量與通報期限
列出所有持有客戶或應徵者資料的外部服務：詢問管理、電子郵件發送、問卷、招募等。針對每一項，記錄其持有的筆數與項目，以及一旦發現未經授權存取，必須在幾小時內通知你。
先從持有最多紀錄的廠商開始，確認其管理員畫面是否具備多因素驗證、來源限制，以及大量匯出的警示（背景知識：驗證與授權的差異）。
也請詢問你的資料是否與其他客戶的環境位於同一台伺服器上。本事件中，同一伺服器上最多五家公司的環境受到影響。如果你的資料也是共用的，請確認若其他客戶端遭入侵，是否可能波及你的資料。
資料來源（公開紀錄）
本文事實依據以下公開資訊。我們不推測未公開的手法或原因。
- 大和證券股份有限公司，因外部委外廠商遭未經授權存取而可能外洩客戶資訊的通知（2026年10月5日，日文）— 公司公告（PDF）
- 大和證券官網通知（透過訊息匣個別聯繫，日文）— daiwa.jp
- 大和證券，網路釣魚警告（日文）— daiwa.jp
- 大和證券，安全設定（通行密鑰、操作通知、操作紀錄；日文）— daiwa.jp
- [委外廠商的母公司]，關於合併子公司因未經授權存取而導致個人資訊外洩的致歉與通知（当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ，2026年10月6日，日文）— 委外廠商母公司通知（PDF）
- [委外廠商]，關於FAQ系統［委外廠商的服務］遭未經授權存取而導致個人資訊外洩的致歉與通知（2026年10月6日，日文）— 委外廠商通知
- Citizen Watch Co., Ltd.，因委外廠商遭未經授權存取而可能外洩客戶資訊的通知（委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について，2026年10月6日，日文）— citizen.co.jp
- Sompo Japan Insurance Inc.，因企業用服務所使用的外部委外廠商系統遭未經授權存取而可能外洩客戶資訊的通知（2026年10月7日，日文）— sompo-japan.co.jp（PDF）
- ORIX Life Insurance Corporation，委外廠商可能發生個人資訊外洩的通知（2026年10月8日，日文）— orixlife.co.jp（PDF）
- 東武鐵道株式會社，委外廠商遭未經授權存取的通知（2026年10月7日，日文）— tobu.co.jp（PDF）
- au Jibun Bank Corporation，FAQ系統［委外廠商的服務］未經授權存取事件對該行的影響說明（2026年10月9日，日文）— jibunbank.co.jp（PDF）
- 岩手銀行，依業務合作關係轉知其客戶大和證券公告的通知（日文）— iwatebank.co.jp
- 四國銀行，轉知其客戶大和證券公告的通知（2026年10月5日，日文）— shikokubank.co.jp
- 日本金融廳，線上交易未經授權存取與不法交易警告（日文）— fsa.go.jp
- 日本經濟新聞（2026年10月5日，日文）— nikkei.com
- 共同社（2026年10月5日，經由Yahoo! News Japan，日文）— news.yahoo.co.jp
更新紀錄
2026-10-06：首次版本，依據大和證券2026年10月5日的通知。公司表示將審查委外廠商的根本原因調查；發布新事實時將更新本文。
2026-10-07：新增委外廠商（10月6日）與Citizen Watch（10月6日）的通知：新增委外廠商通知與其他受影響公司的章節、其他公司與詢問中填寫信用卡號的常見問題，並依委外廠商通知更新原因說明。
2026-10-10：新增Sompo Japan（10月7日）與ORIX Life Insurance（10月8日）的通知，以及東武鐵道（10月7日）與au Jibun Bank（10月9日）的通知（兩者使用同一委外廠商服務，但未發現對其自身資料造成影響）。於委外廠商通知章節新增公司表格，並更新其他公司的常見問題。
2026-10-11：將委外廠商自身2026年10月6日的通知（包括其規劃措施）新增至資料來源。新增Citizen Watch的專用詢問表單。註明岩手銀行與四國銀行的通知是以合作夥伴身分轉知大和的公告，並未新增受影響的客戶公司。
2026-10-22：在「延伸閱讀」中，將Commune的166,505筆數字說明為依社群計算。
延伸閱讀
- 預防後續詐騙：什麼是網路釣魚？ / 什麼是通行密鑰？
- 保護你的登入安全：正確選擇多因素驗證 / 如何確認你的密碼是否外洩
- 本月其他日本事件：燒肉王App資料外洩 / Times Car資料外洩
- 委外廠商電腦上的客戶資料風險：Daiichikosho委外廠商電腦遭惡意程式感染（約872萬筆紀錄）
- 單一服務導致多家公司會員資料外洩：Commune未經授權存取（166,505名社群成員，依社群計算）
- 本月另一家證券公司事件：Iwai Cosmo Securities委外廠商遭入侵（4,975名客戶，7個帳戶發生非預期下單）
- 其他2026年事件：2026年的資料外洩與網路攻擊