適用對象：曾在日本申請 Treasure Factory（Trefac）到府收購服務或 Trefac Moving 的人，以及經營受理服務申請系統的人。本文依據該公司的官方公告撰寫，不涉及攻擊或詐騙手法。
持續發展中：該機構公布更多資訊後，本文將會更新
截至 2026 年 10 月 24 日尚不明確
- 詳細原因
- 外部調查的結果
- 個別通知的時間與方式
- 專用客服專線
- 紀錄筆數所對應的人數
該公司在 10 月 23 日的公告中表示，正與外部資安公司調查詳細原因與範圍。專用客服專線正在準備中，該公司表示準備完成後會立即在官方網站公布。
到府收購與 Trefac Moving 的客戶今天該做的事
確認自己是否受影響：門市與 App 的資料不在範圍內
根據該公司的說法，遭存取的系統是用於受理與處理到府收購及 Trefac Moving 申請的案件管理系統。門市保管的客戶資料與該公司 App 管理的客戶資料由其他系統管理，未受影響。
如果你只在門市櫃檯賣過物品，或只使用 App，就不在該公司公布的範圍內。如果你曾以線上或其他方式申請過到府收購或 Trefac Moving，請假設你的電子郵件地址可能包含在內，並依照以下步驟處理。
不要點開自稱來自 Trefac 的郵件或簡訊中的連結
該公司表示，被取得的電子郵件地址「可能被用於釣魚郵件等詐騙聯繫」。申請過到府收購或搬家服務的人，收到有關估價、報價、到府日期安排或服務重新啟用的訊息並不意外，因此這類主題的假訊息更難辨識。
要確認任何事項，請使用自己開啟的官方網站或 App，不要使用郵件中的連結（參見什麼是網路釣魚？）。
不要輸入信用卡號或密碼
該公司表示，被取得的客戶資料不包含信用卡號等付款資訊。公告中沒有任何內容要求客戶因這起事件重新登錄信用卡資料或「驗證身分」。如果有郵件要求你這麼做，請不要回應。
該公司本身也請大家不要在可疑網站輸入密碼或信用卡資料。
如果有人來電，請掛斷後撥打官方電話
該公司建議，接到可疑電話後，請自行查詢來電者所稱機構的官方聯絡方式並聯絡該機構。不要回撥電話中告知的號碼，請使用官方網站上的號碼。
等待個別通知與客服專線的公告
該公司表示計畫個別聯絡受影響的客戶，說明這起事件與應採取的注意事項。專用客服專線正在準備中。
截至 10 月 24 日，該公司尚未說明通知將以何種方式寄送（電子郵件、郵寄或其他方式）。如果你收到看似通知的內容，請不要透過其中的連結進行任何操作，並與官方網站上的公告比對。
關於另含姓名與地址的 11 筆紀錄
根據該公司的說法，746,277 筆客戶紀錄中有 11 筆除電子郵件地址外，還包含姓名與地址。該公司尚未說明這些紀錄屬於誰。使用你的姓名與地址寄來的郵寄品或郵件看起來更可信，因此請等待該公司的個別通知，並到官方網站確認其內容。
發生了什麼事（根據 Treasure Factory 的公告）
2026 年 10 月 23 日，Treasure Factory Co., Ltd. 就未經授權存取導致的個資外洩發布公告，同時在東京證券交易所以適時揭露方式公布，並刊登於其消費者二手網站。以下內容皆來自該公司的公告。
2026 年 10 月 20 日 清晨至上午
外部人士利用該公司系統的漏洞，取得客戶等資料（該公司透過存取紀錄檢查確認）。10 月 20 日 10:30
該公司切斷了外部對案件管理系統的存取。10 月 20 日 11:05
該公司停止受理到府收購、Trefac Moving 等申請表單的申請。10 月 23 日
該公司以適時揭露及官方網站公告此事件，並同時發布因資安作業而暫停部分服務的通知。該公司表示正向日本個人資料保護委員會報告，並向警方等機關諮詢與報告。10 月 28 日（預定）
系統與申請表單預定於此日前後重新啟用，前提是完成必要的安全措施與檢查。
- 系統
- 用於受理與處理到府收購及 Trefac Moving 申請的案件管理系統
- 客戶資料
- 746,277 筆紀錄。項目為電子郵件地址；其中 11 筆另含姓名與地址
- 廠商與員工
- 750 筆往來廠商、員工等人的姓名與電子郵件地址紀錄
- 裝置資料
- 1,000 筆往來廠商、員工等人所用裝置的姓名與裝置識別碼紀錄
- 未包含
- 信用卡號、安全碼等付款資訊（該公司確認）。門市與該公司 App 保管的客戶資料（由其他系統管理）
- 原因
- 該公司認為是與資料庫存取有關的漏洞遭到利用。該公司表示已確認此事件與近期公開的 PHP 漏洞無關
- 二次損害
- 截至 10 月 23 日尚未確認
- 應對
- 已停止外部存取，並變更相關帳號的密碼等。目前正進行修補遭利用的漏洞、強化登入安全及監控可疑存取的作業
- 通報
- 向個人資料保護委員會報告；向警方等機關諮詢與報告
- 聯絡窗口
- 專用客服專線準備中（將於官方網站公布）
案件管理系統
到府收購與 Trefac Moving 申請。10 月 20 日遭存取
門市客戶資料
其他系統。未受影響（該公司）
App 客戶資料
其他系統。未受影響（該公司）
↓ 已確認被取得的資料
746,277 筆客戶電子郵件紀錄
11 筆另含姓名與地址。無付款資料（該公司）
↓ 一般而言可能接著發生的事
自稱來自 Trefac 的郵件與簡訊
假冒估價、報價、到府日期或重新啟用通知
↓ 不要使用其中的連結
自行開啟官方網站或 App 確認
只有電子郵件地址外洩時可能發生什麼
光憑電子郵件地址，無法登入帳號或轉走金錢。問題在於，他人會同時得知此人曾申請 Trefac 的到府收購或搬家服務這件事。一般而言，可能發生以下情況（該公司並未報告此案中發生任何一項）。
一般而言可能發生的事
- 假冒 Trefac 的假估價結果、報價或日程變更
- 假冒道歉、補償或「重新啟用活動」並導向其他網站的郵件
- 該地址被加入垃圾郵件名單，使整體垃圾郵件增加
你可以做的事
- 在官方網站或 App確認你的申請
- 對以道歉或補償為名義、要求信用卡或銀行資料的聯繫一律不理會
- 使用垃圾郵件檢舉與過濾功能，不要點開陌生寄件者的連結
關於另一起電子郵件地址外洩的案例，請參見JR East、View Card 與 JR Kyushu 的電子郵件外洩事件。同一個月，大型二手連鎖業者Bookoff 也公告了會員資料外洩。這兩起事件互不相關。
已知與未知
依據 2026 年 10 月 24 日時該公司的公告（10 月 23 日的適時揭露與官方網站公告）。狀態欄將隨後續消息更新。
| 項目 | 該公司的說法 | 狀態 |
|---|---|---|
| 客戶電子郵件地址 | 確認 746,277 筆被取得 | 已確認外洩（該公司） |
| 客戶姓名與地址 | 其中 11 筆包含姓名與地址 | 已確認外洩（該公司） |
| 廠商與員工資料 | 750 筆姓名與電子郵件；1,000 筆姓名與裝置識別碼 | 已確認外洩（該公司） |
| 信用卡號等付款資料 | 確認未包含在被取得的客戶資料中 | 未包含（該公司） |
| 門市與 App 客戶資料 | 由其他系統管理；未受影響 | 未包含（該公司） |
| 電話號碼與密碼 | 未列為被取得的資料 | 未說明 |
| 人數 | 以紀錄筆數公布；未提供人數 | 未說明 |
| 存取的日期與時間 | 10 月 20 日清晨至上午 | 已確認（該公司） |
| 原因 | 認為是與資料庫存取有關的漏洞遭利用；詳情調查中 | 調查中 |
| 與 PHP 漏洞的關係 | 確認與近期公開的 PHP 漏洞無關 | 已確認（該公司） |
| 二次損害 | 尚未確認（截至 10 月 23 日） | 未確認（該公司） |
| 個別通知 | 計畫通知受影響的客戶；未說明時間與方式 | 預定（該公司） |
| 專用客服專線 | 準備中 | 準備中（該公司） |
| 服務重新啟用 | 預定 2026 年 10 月 28 日前後 | 預定（該公司） |
| 對業績的影響 | 評估中（適時揭露） | 調查中 |
適時揭露與官方網站公告的差異
客戶資料的明細（746,277 筆、11 筆含姓名與地址、無付款資訊）出現在 10 月 23 日的適時揭露中。同日的官方網站公告列出了 750 筆與 1,000 筆廠商與員工紀錄，但我們在其中找不到客戶紀錄筆數（10 月 24 日確認）。本文中的數字來自適時揭露。
2026 年 8 月，該集團的合併子公司 Kindal 也公告了因未經授權存取導致的個資外洩（列於本站的 2026 年資料外洩與網路攻擊清單）。Treasure Factory 表示，先前那起事件是員工帳號憑證遭網路釣魚竊取，而這次是與資料庫存取有關的漏洞遭利用，因此原因與入侵途徑不同。該公司表示，自 8 月以來，一直在檢討並強化整個集團的驗證與存取權限。
給經營申請受理系統的人
詳細原因尚未公布，因此本節僅限於已公布的事實所能支持的內容。我們不臆測漏洞的類型，也不主張封堵某個特定漏洞就能防止此事。
列出申請表單背後可從外部連線的後台系統
這次涉及的系統是用於受理申請及相關作業的案件管理系統。為防止再發生，該公司列出了對外公開系統的漏洞管理與測試，以及 WAF（Web 應用程式防火牆，用來過濾針對網路應用程式的攻擊）等防護措施。
請列出申請表單背後的案件管理與客戶管理系統中，哪些可從網際網路連上，並為每一個指定負責人與更新程序。對於不需要外部存取的管理畫面，限制可連線的來源是第一步。
分離系統可限制外洩的範圍
該公司表示，門市與 App 保管的客戶資料由其他系統管理，因此未受影響。能夠說明門市與 App 資料不在範圍內，可減少詢問與不安。
不把各業務線的客戶資料集中在同一處，是決定入侵未能被阻止時損害大小的因素之一。
決定已結案案件的聯絡資料保存多久
超過 74 萬筆客戶電子郵件紀錄被取得。一般而言，請決定為申請與報價蒐集的聯絡資料在交易結束後保存幾年，期限一過就刪除，或移除聯絡資料、只保留報表所需的數字，以限制出事時的損害（該公司保存此類資料的時間長度並未公布）。
保存可在當天讀取的存取紀錄
該公司表示，其於存取當天透過存取紀錄檢查確認了資料遭竊，並在 10:30 前切斷外部存取。有留存且可讀取的紀錄，才能確定範圍並快速關閉。請決定紀錄存放在哪裡，以及何時由誰檢查。若要減少使用自家網域的假郵件，請參見電子郵件偽造與 SPF、DKIM、DMARC。
資料來源（公開紀錄）
本文中的事實來自以下公開來源。入侵中未公開的細節以及受影響人數，不作臆測。
- Treasure Factory Co., Ltd.，關於系統遭未經授權存取導致個資外洩的公告（2026 年 10 月 23 日，適時揭露，日文）— nikkei.com（適時揭露 PDF）
- Treasure Factory Co., Ltd.，關於系統遭未經授權存取導致個資外洩的致歉與公告（2026 年 10 月 23 日，日文）— treasure-f.com
- Treasure Factory Co., Ltd.，關於因資安作業而暫停部分服務的公告（2026 年 10 月 23 日，日文）— treasure-f.com
更新紀錄
2026-10-24：初版，依據 Treasure Factory 於 10 月 23 日的適時揭露與官方網站公告。待詳細原因、個別通知或客服專線公布後將更新。
延伸閱讀
- and ST HD 個資外洩（約 250 萬筆客戶資料）：可能外洩的內容與會員該怎麼做
- 電子郵件地址外洩：JR East、View Card 與 JR Kyushu 的電子郵件外洩事件
- 同一時期的二手業界案例：Bookoff 資料外洩
- 防範假郵件：什麼是網路釣魚？
- 同一時期的另一起日本案例：Abahouse 資料外洩
- 2026 年的其他事件：資料外洩與網路攻擊清單（日本與全球）