適用對象：曾於 2026 年 5 月 1 日至 8 月 5 日之間在 RIZAP 的 APORITO 線上商店購物或輸入資料的人，以及經營線上商店的人。本文依據 RIZAP Co., Ltd. 的官方公告撰寫，不涉及攻擊手法。
顧客今天應該做什麼
確認自己是否受影響——未完成訂單者也算在內
受影響者為 2026 年 5 月 1 日至 8 月 5 日之間在 APORITO 線上商店下單或輸入資料的人。輸入資料但未完成訂單仍算在內。
公司於 8 月 8 日已寄送電子郵件給可能遭外洩信用卡資料的人。請先在信箱中搜尋「APORITO」。若沒有找到，但記得該期間曾使用此商店，仍請依下列步驟處理。
檢查信用卡帳單，立即向發卡機構通報不明扣款
公司請顧客持續檢查信用卡帳單，留意不認識的扣款。若發現，請撥打信用卡背面的發卡機構電話。
發卡機構通常會承擔盜刷損失，但通報有期限（例如 JCB 要求在帳單顯示該筆扣款後 60 天內通知）。小額扣款容易被忽略，因此連幾百日圓的陌生扣款也請確認。
請發卡機構更換卡號（補發）
公司表示，停用或補發信用卡（更換卡號）是防止二次傷害的有效方式，決定權交由各顧客自行判斷。本站建議，在該期間於此商店使用過信用卡的人更換卡號。
理由詳見下一節；簡單來說，安全碼是可能外洩的項目之一。公司表示，將在調查後公布補發費用等相關費用的處理方式。
更換信用卡後，更新原卡號的扣款服務
水電、電話方案、訂閱服務等會自動向舊卡號扣款的項目，在改為新卡號前都會失敗。申請補發前，請先從帳單中列出所有定期扣款項目，避免遺漏。
不要回應自稱是公司、警察或發卡機構的電話或訊息
姓名、地址、電話號碼與電子郵件信箱可能已外洩，詐騙者可能會寄出看似真實的假訊息。公司提醒，有人假冒公司、警察或其他公家機關、或發卡機構的電話、電子郵件與簡訊，意圖騙取 PIN 碼或個人資料；公司也表示絕不會向顧客索取 PIN 碼。
請勿點開「退款程序」或「重新登錄信用卡」等連結；如需確認，請自行查詢官方電話號碼再聯絡（參見什麼是網路釣魚？）。
若今後不再使用此商店，可要求刪除資料
公司接受刪除要求，並將在確認您的使用與登錄狀況後個別回覆。請將要求寄至公告末尾的專用電子郵件信箱。
部分資料可能因調查或法律原因需保留一段時間，但仍值得詢問保留的內容與期限。
為什麼本站建議更換卡號
通常只需檢查帳單即可的情況
- 只有部分卡號外洩
- 未包含有效期限與安全碼
- 若遭濫用，也只是容易察覺的小額扣款
本案範圍內的資料（依公司說明）
- 信用卡號碼、有效期限與安全碼同時在內
- 姓名、地址、電話號碼與電子郵件信箱也在內
- 在卡號更換前，這組資料仍可使用
網路付款時，結帳頁面通常要求的三項基本資料就是信用卡號碼、有效期限與安全碼。在日本，產業指引要求線上商店導入 EMV 3-D Secure（持卡人驗證），因此額外驗證步驟比以往更常見。但並非每筆交易、也並非每個國家的每個網站都會觸發該額外檢查。
檢查帳單很重要，但這是在卡片已被使用後才察覺的方式。更換卡號則能讓可能外洩的組合從更換當下起失效。調整定期扣款雖然麻煩，但比起數月來都不知道卡片何時可能遭濫用，仍然更安全。
如何理解：未確認濫用，不代表您就安全
公司表示，尚未確認以下任何情況：濫用、二次傷害，或個人資料實際外洩。這代表目前尚未發現，並不代表日後不會被利用。信用卡資料有時會在被竊取很久之後才遭使用。請至少持續檢查帳單數個月。
事件經過（依 RIZAP 公告）
以下內容皆依公司官方公告所述。
2026 年 5 月 1 日
可能發生資料外洩的期間開始。8 月 5 日
公司在 APORITO 線上商店系統中發現可疑的對外傳輸程式，為防止進一步損害，於當日 15:30 暫時關閉網站。受影響期間於此日結束。8 月 8 日
可能遭外洩信用卡資料的人以電子郵件逐一通知。8 月 10 日
公開致歉與報告。公司表示已向個人資料保護委員會提交初步報告，並依法律要求與警方等單位處理。8 月 18 日
第二次公告：與外部第三方機構的調查持續進行，商店仍維持關閉。公司表示，在重新開放前正在加強安全措施並檢視監控機制。
- 對象
- 2026 年 5 月 1 日至 8 月 5 日之間在 APORITO 線上商店下單或輸入資料的人
- 個人資料
- 姓名、地址、電話號碼、電子郵件信箱
- 信用卡資料
- 信用卡號碼、有效期限、安全碼
- 受影響人數
- 未公開
- 公布的原因
- 第三方植入惡意腳本；系統中發現可疑的對外傳輸程式。植入方式及其他技術細節尚未公開
- 二次傷害
- 公司表示，尚未確認任何濫用、二次傷害或個人資料實際外洩
- 補償與費用
- 補發費用處理與補償政策審議中；將以電子郵件及公司網站公布
- 既有訂單
- 公司表示，商店關閉不影響出貨；確認庫存後將出貨。退款申請請寄至專用電子郵件信箱
同日另一則公告
同樣在 8 月 10 日，RIZAP 另發布公告表示，其部分 APORITO 業務營運外包的公司遭勒索軟體入侵，部分服務因此受限（第二則公告於 8 月 14 日發布）。公司的公告並未說明兩者是否相關。本文僅涵蓋線上商店的惡意腳本。
給電商經營者：不儲存卡片資料，並不能防止輸入頁面遭竄改
公司尚未公開其已採取的防護措施，或腳本是如何植入的。本節不評估其應對方式，而是說明如何防止您自己的網站發生同類事件。
顧客的瀏覽器
在結帳頁面輸入的卡片資料
↓→
付款服務供應商
正當的傳送目的地
↓→
不儲存於您的伺服器
= 非留存所保護的部分
若惡意腳本進入輸入頁面本身，顧客輸入的內容也會當場被傳送到別處
→ 即使您未儲存任何資料，仍會外洩。經營者需要監控付款頁面是否遭竄改
在日本，《分期付款銷售法》第 35-16 條要求包括線上商店在內的信用卡特約商，採取防止洩漏等適當管理卡號所必要的措施。該義務的實務指引為信用交易安全協議會（Council for Credit Transaction Security）的《信用卡安全指引》（事務局為日本信用協會（Japan Consumer Credit Association））。
指引表示，採取其所列措施，或同等或更強的措施，即被視為採取了法律所要求的「必要且適當的措施」。
自 2025 年 3 月的第 6.0 版起，指引為線上特約商新增了「脆弱性措施」，無論是否留存卡片資料皆適用。其理由是：目前大多數外洩發生在已達成非留存的線上特約商，原因多為網站脆弱性等。
第 6.1 版（2026 年 3 月）維持此項內容不變。要求以下五項措施，全部都需實施：
| # | 指引項目 | 內容（摘要） |
|---|---|---|
| 1 | 限制管理畫面的存取；管理管理員帳號與密碼 | 依 IP 位址限制管理存取（若無法做到則採基本驗證），使用兩步驟或多因素驗證，失敗登入達 10 次以下即鎖定帳號 |
| 2 | 修正會暴露資料目錄的錯誤設定 | 將重要檔案置於公開目錄之外；限制可上傳的檔案類型與副檔名 |
| 3 | 處理網路應用程式的脆弱性 | 定期進行弱點評估或滲透測試並修復發現的問題；保持外掛與軟體更新；檢視客製化部分的原始碼 |
| 4 | 安裝並執行防毒軟體以防範惡意程式 | 保持特徵碼（用於辨識惡意程式的定義檔）更新，並定期進行全面掃描 |
| 5 | 對抗惡意的卡片有效性檢查與「信用卡號碼試算」攻擊 | 實施附件所列措施中的至少一項（「信用卡號碼試算」攻擊會以機械方式產生卡號，以找出有效的號碼） |
指引中針對線上特約商的附件指出，許多外洩都鎖定電子商務套件與 CMS 的錯誤設定與脆弱性，且已確認有遭竄改的腳本持續外洩會員所輸入內容的案例。
指引也指出，若特約商將網站的建置或營運外包，應要求承包商理解這些脆弱性措施。
本站的看法：五項措施是防止入侵；也應加入偵測入侵的方法
這五項措施都是為了防止入侵或植入。但此類事件中，只要在有人察覺之前輸入卡片資料的人都會受影響。因此一般而言，察覺的速度決定了有多少人會被納入範圍（這也是 IPA 的指引將檔案竄改偵測列為必要項目的原因）。
其他公開標準已涵蓋「察覺」的面向。IPA（日本資訊處理推進機構）的《電子商務網站建置與營運安全指引》將定期比對重要檔案，以及使用網站竄改偵測工具進行監控，列為必要的營運要求。
信用卡產業的國際標準 PCI DSS，自 2025 年 3 月 31 日起要求對付款頁面上執行的腳本進行授權、完整性檢查與清點（要求 6.4.3），並要求具備偵測付款頁面未經授權變更的機制（要求 11.6.1）。
對於小型線上商店，可先從以下三項著手：
列出結帳頁面載入的所有腳本
列出結帳頁面載入的每一個 JavaScript 檔案，依自家、付款供應商，以及分析或其他標籤加以分類。任何無人能說明來源與用途（誰加入、為什麼加入）的腳本，都是首先要檢查的對象。只有擁有清單，才能察覺腳本是否被新增或變更。
每日比對網站檔案並對變更發出警示
對於組成結帳頁面的檔案（主題、範本、JavaScript），記錄已知正常狀態的雜湊值（由檔案內容計算出的數值），並每天比對一次。若在沒有人部署的情況下發生變更，應向負責人員發出警示。
也請確認您的主機或電子商務平台是否提供竄改偵測功能或附加元件。若您自行架設伺服器，其思路與檔案上傳脆弱性有相通之處。
將管理畫面限制於內部網路並採用雙因素驗證
這正是措施 1 本身。若管理畫面僅憑密碼即可從任何地方登入，應優先修正。若由承包商負責營運網站，請確認承包商的管理員登入也符合相同條件。組織層級的最低要求請見組織的最低安全基準。
資料來源（公開紀錄）
本文事實取自以下公開來源。未公開的入侵途徑或方法不做推測。
- RIZAP Co., Ltd.，關於 APORITO 線上商店未經授權存取的致歉與報告（2026 年 8 月 10 日，日文）— rizap.co.jp
- RIZAP Co., Ltd.，同一事件的第二次公告（2026 年 8 月 18 日，日文）— rizap.co.jp
- RIZAP Co., Ltd.，APORITO 業務系統故障與服務暫停的公告（2026 年 8 月 10 日與 14 日，日文）— rizap.co.jp / rizap.co.jp
- 《分期付款銷售法》第 35-16 條（日文）— e-Gov 法規檢索
- 信用交易安全協議會，《信用卡安全指引》第 6.1 版（2026 年 3 月）、修訂說明，以及線上特約商安全指南（附件 20）（日文）— 日本信用協會
- IPA，《電子商務網站建置與營運安全指引》（2023 年 3 月 16 日，日文）— ipa.go.jp
- PCI Security Standards Council，《New Information Supplement: Payment Page Security and Preventing E-Skimming》（2025 年 3 月 10 日）— blog.pcisecuritystandards.org / 《Guidance for PCI DSS E-commerce Requirements Effective After 31 March 2025》— blog.pcisecuritystandards.org
- 盜刷補償申報期限的範例：JCB（日文）— jcb.co.jp
更新紀錄
2026-09-30：首次發布，依據 RIZAP 8 月 10 日公告及 8 月 18 日第二次公告撰寫。公司計畫公布技術調查結果、補償政策與重新開放日期；屆時本文將予以更新。
延伸閱讀
- 同類型的較新案例：Good Smile Company 官方商店遭未經授權存取（付款頁面的惡意程式）
- 同類型事件：PhotoGoods（Daiko Printing）付款頁面上的信用卡竊取程式（濫用檔案上傳功能，以及檢查是否有未經授權的管理員帳號）
- 後續詐騙：什麼是網路釣魚？
- 信用卡資料相關標準：什麼是 PCI DSS？ / 什麼是 XSS（跨網站指令碼）？
- 給網站經營者：檔案上傳脆弱性 / 組織的最低安全基準
- 本季其他日本案例：Cariteco（名鉄協商）：勒索軟體與可能的資料外洩 / The Times Car 入侵事件
- 其他 2026 年事件：資料外洩與網路攻擊一覽（日本及全球）