適用對象：負責保護服務或內部系統的人員，以及在新聞中看到這些名稱、希望釐清事實的讀者。本文以各機構自行公布的官方資訊作為主要來源進行比較，不包含任何攻擊技術內容。
首先：您是否受影響？
如果您是在新聞中看到這些名稱而來到這裡，關鍵問題是您是否在影響範圍內，以及該怎麼做。本節回答這個問題；文章其餘部分主要針對負責防禦系統的人員。影響範圍的數字來自各機構自行公布的資訊；以下的行動建議則是客戶或員工今天可以採取的措施。
- KDDI（銷售給ISP的郵件平台）
- 對象：郵件信箱位於受影響ISP的使用者（您的ISP會與您聯絡）。今天該做的：ISP已強制重設密碼，因此真正要做的是更改您曾在其他服務重複使用該密碼的所有服務。日本總務省表示，約762萬名使用者的信箱內容可能遭到讀取，因此請將仍留在該信箱中的密碼通知與一次性驗證碼視為已外洩，並重新取得。
- Aflac Life Insurance Japan
- 對象：保單持有人與代理店。今天該做的：約22萬人的銀行轉帳資料在範圍內。請檢查您的帳戶活動，若有異常，請同時聯絡銀行與公司。對於任何聲稱來自該公司的訊息，請自行前往官方網站，不要使用訊息中的連結或電話號碼。
- 數位廳（GSS）
- 對象：政府人員，以及曾參與這些系統的承包商；該機構表示不包含一般民眾的資料。今天該做的：請留意以姓名、地址與電話號碼為素材的冒充嘗試（參見VPN文章）。
- Sakura Internet
- 對象：任何有會員註冊的人，無論是否為主機客戶。今天該做的：更改任何重複使用的密碼；若您仍在使用註冊時發放的初始密碼，請今天就更改（步驟見主機商外洩應對文章）。
如果您負責防禦某項服務，接下來的內容更為重要：四個入口彼此沒有共通點，但各機構的改善計畫指向同一件事。
四起案例並列比較（依各機構公布資訊）
| 機構（公布內容） | 範圍（依公布） | 入侵途徑（依公布） | 從開始到發現 |
|---|---|---|---|
| KDDI（6月23日起） | 已確認外洩：12,231,954人的電子郵件地址，其中7,616,173人的密碼 | 系統內建第三方軟體的弱點，發現時廠商並不知情 | 5月16日開始 → 6月17日確認（約一個月） |
| Aflac Life Insurance Japan（6月30日起） | 約440萬名客戶（其中約22萬人有銀行資料），約4萬家代理店 | 「Online Consultation」與「寄り添いネット」在存取與資料查詢方式上的控管不足 | 首次外洩6月10日 → 6月25日發現（15天） |
| 數位廳（9月11日） | 約24.6萬筆人員等資料可能外洩 | VPN設備弱點（據大臣表示已為人所知；據該機構Q&A，CVSS為「Medium」） | 公告中未說明開始時間；報導指大量存取始於5月下旬 → 6月25日發現 |
| Sakura Internet（8月17日起） | 1,360,563個會員帳號可能在範圍內，951個主機帳號 | 為避免引發仿效攻擊，不予公開 | 銷售系統：2023年4月至2026年3月 → 2026年8月9日因另一項異常被發現（約三年） |
請勿將此表視為災情排名
表中數字的確定程度並不相同。KDDI與Aflac回報的是已確認資料外洩的人數；數位廳回報的是可能外洩的資料；Sakura Internet回報的則是可能在範圍內的總數。各系統不同，所存放的資料種類也不同。
依人數排名沒有意義，本網站也不做此類排名。值得比較的是各機構表示從中學到什麼，也就是其改善計畫。
各機構的公布內容
- 事件內容
- 未經授權存取KDDI為ISP開發的郵件平台（帳號管理、收發信、網頁郵件與郵件儲存整合於同一系統）。KDDI表示其自有的au郵件及相關服務運作於獨立設備上，未受影響
- 原因
- 「利用本系統所安裝之第三方軟體的弱點」。確認當時（6月17日），該軟體的廠商「並不知悉此弱點」
- 範圍
- 首次通知（6月23日）指出最多可能達1,422萬人。7月6日報告（7月21日更正）確認12,231,954人的電子郵件地址外洩，其中包括7,616,173人的密碼
- 主管機關行動
- 2026年7月29日，總務省就此事件發布有關保護通訊秘密的指導。其發布內容指出，「約762萬名使用者的信箱內容經確認處於可被讀取的狀態」
- 應對
- 與ISP協調更改密碼，包括由ISP對少用帳號強制重設。截至6月21日，已在所有對外通訊伺服器上部署EDR。未來將改採更安全的通訊標準
- 事件內容
- 未經授權存取「Online Consultation」（代理人用於遠端保單設計與申請）以及保單持有人網路服務「Aflac寄り添いネット」。Aflac表示，已確認其他系統未發生類似外洩
- 原因（7月31日結果）
- 「對本次攻擊所用之存取與資料查詢方式的控管不足」。系統原有偵測與阻擋功能，但「由於存取形式與正常使用時相同，無法立即被判定為未授權存取」。此外，「缺乏對短時間內大量資料查詢的監控與控管功能」
- 既有措施
- 設計階段已進行安全審查，上線前也做過滲透測試，但「未預期到本次攻擊所用手法的風險」
- 範圍
- 約440萬名客戶（其中約22萬人包含保費扣款銀行資料）與約4萬家代理店。個人編號（My Number）、卡片資料與電子郵件地址不在範圍內
- 事件內容
- 未經授權存取各省廳人員共用的工作環境。該機構表示，已確認不包含一般民眾的個人資料
- 原因
- 「第三方利用網路連線設備（VPN）的弱點進入系統」。產品與弱點編號未公布
- 後續（記者會摘要）
- 在數位大臣9月11日記者會的摘要中，該機構表示大臣說明「我們知悉此弱點，屬已知弱點」、「並未被評為高度緊急」，且依其嚴重程度評級處理，並表示「修補工作需依序進行，而我們就在此期間遭到入侵」；目前修補已完成。該機構的Q&A（2026年9月12日更新）載明CVSS為「Medium」。大量存取始於5月下旬的說法來自報導，未見於該摘要、公告或Q&A中
- 偵測
- 6月25日，發現使用維護業者帳號對伺服器上的檔案進行大量存取。詳見VPN設備是勒索軟體的主要入侵途徑
- 事件內容
- 未經授權存取保存合約紀錄的銷售管理系統，以及部分共享主機環境。公司表示，尚無明確依據顯示兩者有關聯
- 期間
- 銷售管理系統遭未授權存取的期間為「2023年4月至2026年3月」。2026年8月9日，因主機維護伺服器上的異常而被發現
- 原因
- 入侵路徑不予公開，以避免引發仿效攻擊。公司也揭露部分初始密碼未經雜湊處理。客戶應採取的措施見網站主機遭入侵時該怎麼做
四方共同的改善：加強偵測
就攻擊者的入侵方式而言，四起案例彼此沒有共通點。但比對各機構為自己撰寫的改善計畫，相同的字句反覆出現。
各機構提出的偵測措施
- KDDI：為加強未授權存取的偵測，在所有對外通訊伺服器上部署EDR（6月21日完成）
- Aflac：加強對應用程式與安全設備上大量存取的監控與控管
- Sakura Internet：擴大監控與偵測範圍以利早期發現，並檢討安全日誌的範圍、保存與分析
數位廳是偵測發揮作用的案例
- 觸發發現的是使用維護業者帳號的大量檔案存取
- 入侵並未被阻止，但資料量異常讓該機構得以界定範圍、停用帳號並切斷通訊
- 其改善措施——「檢討弱點管理」與「改善外部連線」——著重於防止入侵
正常使用
登入 → 查詢自己的保單 → 檢視少量紀錄
呈現正常使用樣貌的攻擊
登入 → 查詢 → 檢視（到此與正常相同）
數量
每人幾筆紀錄，還是數萬筆？
速度
人工的速度，還是機器的速度？
時間跨度
日誌是否保留得夠久？
您的組織今天可以做什麼
對任何會回傳資料的功能設定數量上限與警示
Aflac指出的原因之一是「缺乏對短時間內大量資料查詢的監控與控管功能」。請為每個會回傳客戶資料的API或畫面設定每次請求與每小時的筆數上限，並在使用量接近上限時通知負責人員。即使使用者已通過登入驗證，若在短時間內拉取數萬筆紀錄，也不像一般人使用系統的方式。如何決定計算的對象、單位與上限數字，請參見速率限制與濫用控制。
可以在三個層次進行測量。
在應用程式內：在搜尋、列表與匯出路徑中，依帳號計算紀錄筆數；這是唯一能得知誰拉取了多少資料的層次。
在前端：使用nginx的limit_req或CDN的速率限制規則，依端點限制每秒或每分鐘的請求數。
在平台層：Google Workspace的警示中心，以及Microsoft 365的稽核紀錄與警示原則，可針對大量下載與匯出發出通知（可用功能視您的方案而定）。
從一個端點開始：即回傳最多紀錄的那一個。為其設定每帳號每小時的上限，並在達到上限的80%時發出警示。一個真正能通知人員的端點，勝過一套仍在設計中的完整方案。
保留日誌的時間要足以回溯
在Sakura Internet的案例中，銷售管理系統的存取在被發現前約三年便已開始。如果您發現問題時，該期間的日誌已經不存在，就無法說明發生了什麼，也無法排除什麼。Sakura也列出了檢討日誌範圍與保存期間的項目。若儲存空間只允許保留數週，務實的做法是至少將身分驗證與資料查詢日誌保存更長的時間。
可參考的數字：支付卡產業標準（PCI DSS）要求保存12個月，且最近3個月的紀錄須可立即調閱。即使不涉及支付，這也是一個可用的起點。
至少保留三類日誌：身分驗證（成功與失敗）、資料查詢與匯出，以及管理作業。僅有網頁伺服器的存取日誌，無法得知誰拉取了多少筆紀錄。
假設存在未知弱點，並規劃入侵後的及時發現
KDDI案例中被利用的弱點，在發現時連廠商本身都不知道，當時也不存在修補程式。由於即使修補做得再完善，也有些入侵無法防止，因此在伺服器上察覺可疑活動與對外流量的能力——例如KDDI在每台伺服器部署的EDR——才是剩下的關鍵。
同時持續修補面向網際網路的設備
這並不代表防止入侵不重要。數位廳的案例是透過VPN設備的弱點進入的。不讓已知弱點持續開放，仍是最具成本效益的防禦方式。關於VPN設備，請參見VPN設備是勒索軟體的主要入侵途徑；關於工作排序，請參見以CVSS、EPSS與KEV進行優先順序排列。
本網站的看法：滲透測試只能找出有人想到的手法
依本網站的解讀，Aflac結果中最重要的一句話不是原因本身，而是這句：「我們在系統設計階段進行了安全審查，並於系統上線前進行滲透測試，但未預期到本次攻擊所用手法的風險。」這不是說措施沒有做，而是確實做了，只是攻擊用了沒人預期到的手法。任何組織都可能遇到這種情況。
上線前的檢查只能測試測試人員想到的手法。因此，剩下的就是在營運環境中察覺異常的數量、速度與時間。四個案例中有三個在改善計畫中提到偵測，這顯示各機構都在自身事件中碰到了同樣的限制。
審查與測試可以減少入口；偵測則縮短入侵被發現之前的時間。兩者作用不同，也無法互相取代。
無論哪一起案件，每位個人都應該做的三件事
對您真正的風險，與其說是外洩本身，不如說是它引來的後續詐騙訊息
(1) 不要重複使用密碼。KDDI案例中密碼已確認外洩，若您重複使用同一組密碼，攻擊者也可能進入您的其他帳號（密碼管理工具是實用的解決方式）。
(2) 不要使用冒用機構名稱的訊息中的連結或電話號碼。數位廳與Sakura Internet都明確警告過冒用其名義的訊息，Aflac也要求收到可疑聯繫的人撥打其官方專線。請自行前往官方網站查證。
(3) 若涉及銀行資料，請檢查您的帳戶活動。Aflac表示，正與相關銀行合作處理帳戶資料外洩的保單持有人。若發現任何異常，請同時聯絡您的銀行與該機構。
資料來源
以上事實皆來自各機構的官方公告。不包含對未公布的產品名稱或入侵路徑的推測。
- KDDI Corporation，關於ISP郵件系統未經授權存取的通知（2026年6月23日，日文）— newsroom.kddi.com
- KDDI Corporation，關於ISP郵件系統未經授權存取的致歉與報告（2026年7月6日，7月21日更新；日文）— newsroom.kddi.com
- Aflac Life Insurance Japan，關於未經授權存取與資訊外洩的第二次報告（2026年7月13日，日文）— aflac.co.jp
- Aflac Life Insurance Japan，調查結果與改善措施（2026年7月31日，日文）— aflac.co.jp
- 總務省（日本），就保護通訊秘密對KDDI發布的指導（2026年7月29日，日文）— soumu.go.jp
- 數位廳（日本），關於政府解決方案服務未經授權存取可能導致個人資料外洩（2026年9月11日，日文）— digital.go.jp
- 數位廳（日本），數位大臣2026年9月11日記者會摘要（日文）— digital.go.jp
- 數位廳（日本），關於政府解決方案服務未經授權存取可能導致個人資料外洩的Q&A（2026年9月12日更新，日文）— digital.go.jp
- Nikkei xTECH（2026年9月11日，日文）——弱點嚴重程度與大量存取的起始時間來自此報導 — xtech.nikkei.com
- Sakura Internet Inc.，調查結果與改善措施（第三次報告，2026年9月10日，日文）— sakura.ad.jp
更新紀錄
2026-10-11：更正。被利用弱點的CVSS「Medium」評級並非僅來自報導：該機構的Q&A（2026年9月12日更新）載明其評級為「Medium」（CVSS中等級）。此說法現在的出處是該機構的Q&A。大量存取始於5月下旬的說法仍註明來自報導。
2026-09-19：數位廳的相關說明已與公布的記者會摘要核對；「已為人所知，發生入侵時正依評估的嚴重程度依序修補」現已改引自官方摘要，而非報導。CVSS「Medium」與「5月下旬」仍註明來自報導。自9月10日第三次報告以來，Sakura Internet未再發布新內容（2026年9月19日查核）。
2026-09-12：新增兩項。(1) KDDI案例中，總務省已於2026年7月29日發布有關通訊秘密的指導（約762萬名使用者的信箱內容可能遭讀取）。(2) 數位廳案例中，據報導被利用的弱點已為人所知且評級為「Medium」——因未見於該機構公告，故註明為報導內容。自9月10日第三次報告以來，Sakura Internet未再發布新內容（其常見問題頁面仍顯示9月10日；2026年9月12日查核）。
2026-09-11：首次發布，依據四家機構的官方公告撰寫。
延伸閱讀
- 2026年重大案例：Yellow Hat（最多180萬人）
- 2026年重大案例：Murauchi.com（770萬筆紀錄）
- 2026年重大案例：EPARK Relax & Esthe（2,200萬筆紀錄）
- 2026年8至9月重大案例：ShopServe（885萬筆紀錄）
- 轉化為組織控制措施：由日本2026年外洩事件反推的六項優先事項
- AI代理入侵：Hugging Face入侵事件（2026）：自主AI代理攻擊
- Gyazo外洩事件（2026年9月）：外洩了什麼，以及使用者今天該做什麼
- 2026年所有事件（日本與全球）：附影響評級的外洩與網路攻擊時間軸
- 2026年9至10月日本其他事件：Seicomart應用程式（約57萬人） / 大和運輸與佐川急便（包裹寄件人與收件人） / Abahouse（訂單資料與偽造退款郵件）
- Times Car外洩事件（2026年9月）：駕照影像外洩——會員應該怎麼做
- 各案件詳細內容：數位廳案例與VPN設備防禦 / Sakura Internet案例與客戶應採取的措施
- 偵測與控制：速率限制與濫用控制 / 什麼是EDR / 攻擊指標（IoA）
- 設計：身分驗證與授權 / 什麼是IDOR
- 整體模式：依入侵途徑對2026年8月公布事件的綜合分析