IDARE 資料外洩（129,659 人）：餘額、交易紀錄與部分證件號碼外洩——使用者該怎麼做

所有在 2026 年 9 月 27 日前註冊 IDARE的人都受影響，包括已關閉帳戶的人。外洩的項目取決於每個人如何使用服務，公司表示將以電子郵件逐一通知。

不要透過該電子郵件中的連結處理。請自行開啟 IDARE 應用程式，或從書籤或搜尋進入官方網站。查詢請透過應用程式內的「聯絡」或官方網站的聯絡表單。

公司警告，可能會收到冒充公司或 IDARE 的可疑電子郵件、簡訊與電話。公司表示它絕不會透過電子郵件、簡訊或電話索取密碼、PIN、安全碼或多重驗證碼。

由於餘額與交易紀錄已外洩，假訊息可能會寫出你真實的餘額或近期消費。正確的細節並不能證明訊息是真的。請勿開啟意外訊息中的連結或附件，也不要輸入個人資料（如何辨識假訊息：什麼是網路釣魚？）。

根據公司說法，登入需要使用你註冊的方式進行多重驗證（在密碼之外的第二道確認）。把該驗證碼交給他人，等於關閉了這項保護。

對部分人而言，儲值用信用卡的前 6 碼與後 4 碼，以及已登錄銀行帳戶的後 3 碼也已外洩。信用卡號的前 6 碼通常能顯示發卡公司與卡片品牌。

這使得逼真的假訊息成為可能，例如「偵測到你尾號 ×××× 的卡片有可疑使用」。請勿使用訊息中的電話號碼或連結。請透過卡片背面的號碼、存摺，或銀行／卡公司的官方應用程式聯絡。公司表示它不持有完整卡號、有效期限、安全碼或 PIN，因此這些資料無法被取得。

公司表示，截至 10 月 13 日尚未確認盜刷交易，餘額也受到保護；10 月 21 日的第二份報告截至該日亦表示相同內容。公司說，餘額遭未經授權使用等任何損失，將依其補償政策予以補償，儲值與付款則照常運作。即便如此，仍建議在應用程式中查看一次交易紀錄，確認是否有不認得的付款。

IDARE 說明中心關於補償政策的頁面表示，若發現盜刷，你應先在應用程式中鎖定卡片，然後在應用程式內的「聯絡」中選擇「不認得的交易」，並提供日期與時間、金額及商家。補償僅涵蓋在損失發生日起 30 天內，向公司及警察局申報的損失。

同一頁面表示，由使用者本人進行的交易，包括受第三方脅迫所做的交易，不在補償範圍內。不要因為來電或訊息的指示而自行匯款或付款。

對部分人而言，為身分驗證提交的姓名、地址、性別與使用目的，以及證件號碼已外洩。公告並未說明這些號碼來自哪些證件（例如駕照）。公司表示，證件與臉部影像，以及 My Number（日本個人編號）並未外洩。

即使沒有影像，證件號碼加上姓名、地址與出生日期，仍可能被用於以他人名義提出申請。作為預防，可考慮向日本的信用機構（CIC、JICC 與全國銀行個人信用資訊中心）登錄自我申報。費用、警示的效期，以及如何查詢自己的信用紀錄，請參閱若你的日本駕照資料外洩：該怎麼做。

此外，自 2027 年 4 月起，開立銀行帳戶等服務的線上身分檢核原則上將停止接受證件照片，改為讀取 IC 晶片，這需要實體卡及其 PIN（日本的線上身分檢核改為 IC 晶片讀取）。

在 2021 年 10 月前註冊的人中，曾為使用 LADDER（已於 2021 年 10 月結束的借貸服務）而輸入年收入、雇主等資訊者，這些資料也已外洩。

對於以你的收入或雇主為依據、提供貸款或財務協助的聯絡，請勿回應。另外，與本事件無關，Fivot 於 2026 年 4 月 7 日的公告中警告，有人冒用其員工或服務名稱進行假借貸招攬。公告中，公司表示從不會寄送裝置要求客戶輸入後寄回個人或銀行資料，並列出 fivot.co.jp、idare.jp 與 flex-capital.jp 為其官方網站。

如果你因可疑訊息而匯款、交出驗證碼或 PIN，或輸入卡片資料，請在 IDARE 應用程式中鎖定卡片，並同時聯絡你的卡公司或銀行。

在日本，你也可以撥打警察諮詢專線（#9110）或消費者熱線（188）。若你在假網頁上輸入了密碼，請立即更改，並同時更改其他使用相同密碼的服務（如何選擇密碼管理工具）。

工單與聊天系統等客服工具，通常會連接會員與交易畫面，讓員工能查看客戶狀況。首先，請為每個外部工具列出它能讀取哪些欄位，以及它使用哪些憑證（API 金鑰或資料庫帳號）。

對於日常客服不需要大量讀取的資料，例如證件號碼或交易紀錄，應阻止該工具讀取，或將存取限制為逐筆查詢。

公司表示，證件與臉部影像、登入密碼與類似資料無法被取得，因為它們是以受影響系統無法讀取的方式管理，或根本未持有。

將敏感資料保存在權限獨立的另一個儲存區，可限制一個系統遭入侵時可被取走的範圍。不持有你不需要的資料（例如完整卡號），是最可靠的保護。

本次事件包括為 2021 年 10 月結束的借貸服務所輸入的年收入與雇主資訊。公告並未說明為何這些資料仍被保留，而借貸紀錄可能受法定保存要求約束。公司在 10 月 21 日的第二份報告中表示，將於 11 月 30 日前為法律未要求保存的項目（如電子郵件地址與電話號碼）設定保存期限，並在帳戶關閉後定期刪除。

一般而言，應將已關閉服務的資料區分為法律要求保存的部分與不需要的部分；刪除不需要的資料，並將保留的資料移至日常系統無法讀取的地方。

公告指出，未經授權的存取於 8 月 10 日至 9 月 27 日間發生多次。公司的防範措施包括持續監測軟體漏洞資訊，以及監測與警示存取紀錄；公司在 10 月 21 日的第二份報告中表示，將於 10 月 30 日前建立能偵測對客戶資料的大量或異常存取並立即發出警示的監測機制。

一個簡單的第一步，是為外部工具使用的每個資料庫帳號或 API 金鑰，設定每小時可讀取的紀錄上限，並在讀取量超過平常的數倍時通知員工。另外，請訂閱你所用外部工具供應商的公告與安全通知，以追蹤其漏洞資訊。