適用對象：在門市會員 App（集章卡、優惠券等）中登錄了手機號碼等資料，且該 App 使用 Toypo 的人。本文依據 Toypo Inc. 及使用其 App 的門市的官方公告撰寫，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
截至2026年10月29日尚不清楚
- 涉及的門市與公司的完整名單
- 原因的詳細情況
- 第三方評估的結果
- 資料是否已遭濫用
- 是否會有賠償
Toypo 表示，將儘快在其公告頁面等處公布任何重要的新事實，但未給出時間表。10月29日，我們查看了 Toypo 的兩個公告頁面（10月14日的與沒有日期的），以及使用該 App 的門市（JR Kyushu Food Service、Nishitetsu Wellness 與 Mannoya）的公告，未發現新的公告。
門市 App 使用者今天該做什麼
在 App 的公告中確認您是否受影響
Toypo 為門市提供會員 App（客戶管理 App），並在各門市的 App 背後運作。App 的外觀與名稱因門市而異，因此僅憑 App 名稱可能無法判斷。據本站所查，Toypo 尚未公布使用其服務的門市名單。
Toypo 在10月14日的公告中說明了如何判斷您是否受影響：
- 公司已確認受影響的使用者，並自10月13日起逐一聯絡他們，包括透過 Toypo 官方帳號發送的 App 內推播通知
- 如果您 App 的公告欄中收到了關於此事件的通知，則您在受影響之列。如果沒有收到，則不在其中
- 如需個別確認，請聯絡 Toypo
門市未必能夠回答。Nishitetsu Wellness 表示，事件發生在 Toypo 的系統中，因此無法回答詳細情況，並請大家聯絡 Toypo。
請勿使用自稱來自門市或 Toypo 的訊息中的連結或電話號碼
可能外洩的項目包括手機號碼、電子郵件地址與姓名。Toypo 與 Nishitetsu Wellness 警告，可能有人利用這些資訊發送可疑的電子郵件、簡訊、撥打電話以及實施網路釣魚。
如果您收到關於「確認會員資料」、「優惠券到期」或「道歉退款」的訊息，請勿使用其中的連結或電話號碼。請透過 App 內聯絡方式或公告中列出的聯絡方式確認。Toypo 稱，其不會要求您輸入密碼、驗證碼或信用卡號。
決定如何處理密碼
Toypo 表示，密碼等登入憑證不在其中，因此無須因此次事件更改密碼或在 App 內採取其他措施，App、點數與優惠券可照常使用。其常見問題頁面請您在其他服務中使用相同密碼或發現可疑登入時考慮更改密碼。
如果您在多項服務中使用同一組密碼，本站建議藉此機會將它們分開（如何檢查您的密碼是否已外洩 / 如何選擇密碼管理工具）。
如果收到意外的訊息，請告知 Toypo
Toypo 表示，無法判斷某則訊息是否由此次事件引起，但為了確認關聯，請您在可能的情況下，向其聯絡窗口告知發送方的電話號碼、收到的日期與時間以及內容。如果您已開啟了 URL 或輸入了資料，請盡快更改密碼；如果輸入了信用卡資料，請聯絡發卡公司（什麼是網路釣魚？）。
刪除不再使用的 App 帳號
Toypo 表示，您可以在 App 中刪除帳號，位置在「我的頁面」畫面底部。刪除會清除包括您登錄資料在內的所有資料，且無法復原。刪除需要約一週才會生效，期間再次登入會取消刪除。如果有進行中的訂閱或尚未收到的訂單，則無法刪除。操作前請確認沒有想保留的集章或優惠券。
1. 自稱來自門市或 Toypo 的電子郵件 / 簡訊 / 電話
姓名與手機號碼都對 → 不要僅憑這一點下判斷
↓
2. 不要使用其中的連結或號碼：自行使用 App 內聯絡方式或公告中列出的聯絡方式
Toypo 客戶聯絡電話 0120-546-030（平日日本時間 9:00 至 18:00）
↓
3a. 無法確認的要求
密碼、驗證碼或卡號，或要求付款 → 不要回應
3b. 聯絡窗口給出相同的指引
依官方指引操作
事件經過（據 Toypo 與各門市）
以下內容依據 Toypo Inc. 的兩個公告頁面與各門市的公告。其一是「關於因未經授權存取導致個人資訊外洩的致歉與通知」（日期為2026年10月14日，含人數；下文稱「10月14日公告」）。另一個是「關於 Toypo App 遭未經授權存取導致個人資訊外洩的致歉與通知」（無日期，無人數；下文稱「另一公告頁面」）。10月14日公告稱資訊「可能已外洩」；另一頁面則稱其「已外洩」。Toypo 為門市提供客戶管理 App「Toypo App」。
2026年10月4日（星期日）
Toypo 確認其系統遭到第三方未經授權存取。其系統的一部分存在存取控制缺陷，使已通過驗證的使用者能夠取得無權查看的其他使用者資訊，日誌顯示有第三方利用它取得了使用者資訊。10月7日（星期三）
Toypo 告知了使用該 App 的門市之一（JR Kyushu Food Service）（該門市的公告）。10月13日之前
Toypo 已完成對存取中所用帳號的停用與對缺陷的修復，並已向個人情報保護委員會通報（均據公司表示；未給出日期）。10月13日（星期二）
13:00 開通專用聯絡窗口，Toypo 開始透過 App 內推播通知逐一聯絡受影響使用者（據公司表示）。JR Kyushu Food Service 與 Nishitetsu Wellness 也發布了公告。10月14日（星期三）
Toypo 在10月14日的公告中給出受影響使用者數為 697,209 人（資訊可能已外洩）。Mannoya 也發布了公告。10月28日
ScanNetSecurity 報導，697,209 名使用者的註冊資料可能已外洩。
- 可能外洩的資訊
- 手機號碼與使用者 ID 等識別碼。如已登錄：姓名、姓名假名讀音、電子郵件地址、出生日期、性別與地址（登錄了哪些項目因人而異，並非所有人的全部資料都已外洩）
- 不在其中（據公司表示）
- 密碼等登入憑證、信用卡號等付款資料、點數、到店紀錄、購買與使用紀錄（另一公告頁面還列出了密碼雜湊值、驗證權杖與工作階段資訊）
- 未持有（據公司表示）
- 其服務不持有身分證件影像、My Number 等資料
- 已退出的使用者
- 對於外洩發生時已退出的使用者，尚未確認發生外洩（據公司表示）
- 目前的因應（據公司表示）
- 已修復缺陷。正在檢查其他地方是否存在類似問題、審查存取控制，並加強監控與偵測。正在安排第三方資安評估。已向個人情報保護委員會通報。另一公告頁面還列出了停用存取中所用帳號與保存日誌
- 聯絡方式
- Toypo Inc. 客戶聯絡電話：0120-546-030，平日日本時間 9:00 至 18:00。客服中心受理電話至10月30日（星期五）18:00，此後請使用 App 內聯絡方式（據公司表示）
使用該 App 的門市的公告
該 App 被用作各門市的會員 App，各門市各自公布了受影響人數。以下內容來自我們自行開啟的官方公告。各門市的數字是分開的，未被相加；目前沒有公告說明它們加起來是否等於 Toypo 的 697,209 人。
| 門市 / 公司 | 公告的內容 | 狀態 |
|---|---|---|
| JR Kyushu Food Service（10月13日） | 其 24 家目標門市登錄的約 61,500 名會員中，約 26,900 人的資訊可能已外洩。已停止招募新會員 | 可能（公司） |
| Nishitetsu Wellness（Nishijin Palace Dome，10月13日） | 會員 App「Toypo」的部分使用者資訊已外洩。未給出人數 | 已確認外洩（據 Toypo 的通知） |
| Mannoya（10月14日） | 其參與開發的品牌「Kineya Mannoya」官方 App 的 212 名會員中，12 人的註冊資料受影響。暫時停止新會員註冊 | 受影響（公司） |
Toypo 的公告沒有說明還有哪些門市或公司使用該 App。
已知與未知的資訊
狀態截至2026年10月29日。有更多資訊公布後，我們將更新此表。
| 項目 | 公告的內容 | 狀態 |
|---|---|---|
| 發生了未經授權存取 | 10月4日確認。日誌顯示有第三方利用該缺陷取得了使用者資訊 | 已確認（公司） |
| 手機號碼、使用者 ID 等識別碼 | 已外洩 | 可能（Toypo，10月14日公告）。另一公告頁面稱「已外洩」 |
| 姓名、姓名假名讀音、電子郵件、出生日期、性別、地址 | 已登錄的部分已外洩 | 可能（Toypo，10月14日公告）。另一公告頁面稱「已外洩」 |
| 密碼等登入憑證 | 不在其中（另一公告頁面還列出了密碼雜湊值、驗證權杖與工作階段資訊） | 不在其中（公司） |
| 信用卡號等付款資料 | 不在其中 | 不在其中（公司） |
| 點數、到店紀錄、購買與使用紀錄 | 不在其中 | 不在其中（公司） |
| 受影響人數 | 697,209 人（10月14日公告）。ScanNetSecurity 報導了同樣的數字。另一公告頁面中沒有 | 已公布（公司） |
| 如何判斷您是否受影響 | App 公告欄中有關於此事件的通知則受影響；沒有通知則不受影響（10月14日公告） | 已確認（公司） |
| 涉及的門市與公司 | 沒有完整名單。JR Kyushu Food Service、Nishitetsu Wellness 與 Mannoya 發布了各自的公告 | 未說明 |
| 原因 | 存取控制缺陷（已通過驗證的使用者可取得其他使用者的資訊）。無更多細節 | 已確認（公司，僅概要） |
| 缺陷的修復 | 已完成。已無法再以這種方式取得資訊 | 已確認（公司） |
| 其他地方是否存在類似問題 | 正在進行額外檢查 | 調查中 |
| 第三方評估 | 正在安排第三方資安評估（10月14日公告） | 安排中（公司） |
| 濫用或次生損害 | 未確認有具體的次生損害。警告可能出現可疑聯絡 | 未確認（公司） |
| 賠償 | 未說明 | 未說明 |
注意：697,209 是人數而非筆數，且是資訊可能已外洩的人
Toypo 在10月14日的公告中稱「本次未經授權存取涉及的使用者數為 697,209 人」，並稱資訊「可能已外洩」。單位是人，而不是筆數。另一公告頁面（無日期）沒有給出數字，並稱資訊「已外洩」。鑑於這一差異，本站寫作「可能已外洩」。目前沒有公告說明各門市的數字（如 JR Kyushu Food Service 的約 26,900 人）加起來是否等於總數 697,209。
這些外洩項目的組合可能被用來做什麼
以下是這種項目組合通常可能發生的情況。並未公布此次事件中發生了其中任何一種。Toypo 稱，尚未確認有具體的次生損害。
- 手機號碼＋姓名：使用您的姓名，自稱來自門市或服務的簡訊或電話，讓人以為對方認識您
- 電子郵件地址＋姓名與地址：看起來像真的「請更新會員資料」或「您的點數即將到期」之類的偽造郵件
- 出生日期＋姓名＋地址：可能被用來回答其他服務的身分核對問題。Toypo 也請大家留意其他服務的身分核對
- 使用者 ID＋手機號碼：Toypo 稱密碼等項目不在其中，因此僅憑這些資訊無法立即登入其服務
一般而言，以手機號碼與電子郵件為基礎的大多數偽造訊息，只要不使用其中的連結或號碼、自行確認，就能識破。
營運方應該檢視什麼
Toypo 揭露的是一個存取控制缺陷，使已通過驗證的使用者能夠取得其他使用者的資訊。細節尚未公布，因此本節只涉及已揭露的經過與一般性的說法。
- 一般而言，僅僅登入是不夠的：伺服器必須在每次請求時檢查的不僅是「該使用者是否已登入」，還有「此人是否有權查看這些資料」（什麼是 IDOR？）。這是一般性的說法；並未公布本次事件的原因與此相同。
- 許多門市的使用者位於同一平台上：一個平台上的缺陷會同時波及許多門市與公司的使用者。在本次事件中，各門市發布了各自的公告，而諮詢則集中在 Toypo。門市可以事先商定平台提供者是否會在一發現問題時就告知它們，以及由誰、透過什麼途徑通知使用者，以此自助。
- 不持有的資料不會外洩：Toypo 稱，密碼等登入憑證、卡號、到店紀錄與身分證件不在外洩的資料中（或不持有）。只蒐集某項功能所需的項目，可以在出問題時縮小範圍。
資料來源（公開紀錄）
本文事實依據以下公開資訊。對於尚未公布的原因細節與完整的門市名單，我們沒有作出猜測。
- Toypo Inc.，「關於因未經授權存取導致個人資訊外洩的致歉與通知」（日文，日期為2026年10月14日，涉及使用者 697,209 人；10月29日查閱）— toypo.notion.site
- Toypo Inc.，「關於 Toypo App 遭未經授權存取導致個人資訊外洩的致歉與通知」（日文，未顯示日期與人數；10月29日查閱）— toypo.notion.site
- Toypo Inc.，「關於 Toypo App 遭未經授權存取的常見問題」（日文；從上述頁面連結）
- JR Kyushu Food Service Co., Ltd.，「關於 Toypo Inc. 遭未經授權存取導致客戶資訊外洩」（日文，2026年10月13日）— jrfs.co.jp / 公告全文（PDF）
- Nishitetsu Wellness Co., Ltd.，「關於 Nishijin Palace Dome 會員 App Toypo 遭未經授權存取，個人資訊可能外洩的通知與提醒」（日文，2026年10月13日）— nishitetsu-wellness.com（公告列表）
- Mannoya Co., Ltd.，「關於 Toypo 遭未經授權存取導致『Kineya Mannoya』官方 App 會員資料外洩」（日文，2026年10月14日）— mannoya.com
- ScanNetSecurity，「行為資料平台 Toypo App 遭未經授權存取，697,209 名使用者的註冊資料可能外洩」（日文，2026年10月28日，媒體報導；697,209 人）— scan.netsecurity.ne.jp
- 西日本新聞，關於客戶管理 App 營運方約 697,000 人資料可能外洩的報導（日文；發布日期未確認，需付費訂閱，僅閱讀了開頭部分；報導約 697,000 人）— nishinippon.co.jp
更新紀錄
2026-10-29：第一版，依據 Toypo 的兩個公告頁面（一個日期為10月14日，一個沒有日期；均於10月29日查閱）、使用該 App 的三家門市的公告，以及兩篇媒體報導撰寫。待原因細節、第三方評估結果或賠償公布後，我們將更新。
延伸閱讀
- 外洩同類項目（姓名、電話、電子郵件）的日本事件：MrMax / TEMAIRAZU 住宿預訂系統事件
- 同期的日本事件：Joshin（原 Joshin 電器）未經授權存取事件
- 防範偽造訊息：什麼是網路釣魚？ / 智慧型手機安全基礎
- 存取控制類缺陷：什麼是 IDOR？
- 保護您的帳號：如何選擇密碼管理工具 / 如何選擇多因素驗證
- 其他2026年事件：資料外洩與網路攻擊事件一覽（日本及全球）