資料外洩
該標籤下有 120 篇文章
Sharefull 內部管理系統遭未經授權存取（最多約 750 萬個帳號）：姓名、銀行帳戶、緊急聯絡人等可能外洩——勞工該如何應對
2026 年 11 月 9 日，Sharefull 宣布第三方未經授權存取了其內部管理系統，使用者的個人資料可能外洩。存取發生在 11 月 4 日 23:30 前後，11 月 5 日 09:45 前後被發現，當天已阻斷入侵路徑。可能受影響的帳號最多約 750 萬個。可能外洩的資訊包括：姓名及假名讀音、電話號碼、電子郵件地址、住址、出生日期、薪資匯款用銀行帳戶資訊（不含密碼與 PIN）、臉部照片的 URL、緊急聯絡人（與使用者的關係及電話號碼）、與在留資格相關的資訊，以及註冊日期、工作次數、偏好等帳號屬性。報酬與點數、合約與工作資料、身分證件影像不受影響，公司表示未持有 My Number（個人編號）與信用卡資訊。同日另有一則公告涉及合作企業的聯絡資訊（最多約 7,500 家企業）。截至 2026 年 11 月 11 日，尚未發現後續公告。本站的結論是：由於可能包含銀行帳戶、緊急聯絡人與在留資格，請做好因應以 Sharefull 或相關機關名義的聯絡、冒充家人的緊急電話、偽裝成誤匯的匯款，以及藉在留資格索討金錢的準備。
住友生命 Vitality 申請系統遭未經授權存取（約 8 萬人）：姓名、住址、電話號碼與部分遮蔽的信用卡號外洩——使用者該如何應對
2026 年 11 月 9 日，住友生命保險公司宣布，委託其處理系統業務的公司的系統遭第三方未經授權存取，使用或曾使用「住友生命 Vitality Trial / Corporate」與「Vitality Smart」（含員工福利型）的約 8 萬人的資料外洩。外洩項目為姓名、住址、電話號碼、出生日期、電子郵件地址與信用卡號（部分遮蔽）中的任意幾項；約 1,000 人的信用卡號外洩。保險合約，以及伴隨保險合約的 Vitality 使用或 Vitality 健康計畫中的步數等資料，不包含在內。公司於 11 月 2 日確認了此次存取，並已暫停新申請與部分手續。公告中沒有說明原因。約 8 萬人是這些服務的使用者，並非住友生命的全部保戶。本站的結論是：如果您使用過這些服務，請查看信用卡帳單，並且不要使用自稱來自住友生命的訊息中的連結或電話號碼，請透過官方聯絡管道確認。
Amplifon Americas（聽力保健）資料外洩（據報導約 133 萬人）：聽力和醫療資訊、駕駛執照號碼等，收到通知後該怎麼做
Amplifon Americas 表示，其於2026年2月11日發現部分網路出現可疑活動，調查發現，1月18日至2月8日期間，有未經授權的第三方從某些系統獲取了檔案。10月6日，在審查資料後，公司認定某些個人資訊可能受到影響。可能涉及的專案有：姓名、聯絡方式、出生日期、駕駛執照或其他州身分證件號碼、其他政府簽發的身分證件號碼、聽力或醫療資訊、病歷號、就診日期、其他健康資訊，以及健康保險 ID 號碼或其他保險資訊；社會安全碼和財務資訊據稱只涉及少數人。公司表示不知道有任何因該事件導致的個人資訊欺詐性使用。官方頁面沒有給出人數；SecurityWeek 報導稱，該公司向德克薩斯州檢察總長提交的通報列出全美共 1,332,826人。Amplifon 表示，將通知其擁有有效郵寄地址的人，並向部分個人提供24個月的免費信用監控和身分保護。本站的觀點：如果您曾在該公司購買助聽器或做過聽力檢查，通知送達時請對照自己的專案核實，並持續留意保險對賬單和信用狀況。
Mitsui Direct 損害保險網站遭未經授權存取（約 234,000 條記錄）：姓名、地址和車輛資訊外洩，詢過價或投過保的人該怎麼做
2026年11月6日，Mitsui Direct General Insurance Co., Ltd. 宣佈，有第三方未經授權存取了其網站，部分客戶資訊外洩。公司於11月4日凌晨發現了此次存取，並已暫停網站和應用上的所有手續。受影響的是詢過價或投過保的客戶，約 234,000 條記錄（11月6日 13:00 時點）。外洩的專案有投保人和被保險人資訊（姓名、地址、電話號碼、出生日期、電子郵件地址等）、車輛資訊（車輛名稱、登記號碼、所有人等）以及保險條款和保障內容。信用卡資訊、銀行帳戶資訊和「我的頁面」登入密碼不在其中。11月9日，公司另行報告了其道路救援承包商伺服器遭未經授權存取的後續情況：約 45,000名客戶（11月6日 09:00 時點），這一起包含銀行帳戶資訊。截至2026年11月10日，尚未披露原因。本站的結論：用 Mitsui Direct 名義發來的訊息，不會因為它知道您的地址、車輛或保單資訊就是真的。在手續暫停期間收到的訊息，不要開啟其中的連結；請透過官網或聯絡專線核實。
Nitori 遭未經授權存取：最多 3,762 萬筆個人資料可能外洩（姓名、地址、電話號碼、出生日期），個人會員與企業會員該怎麼做
2026 年 11 月 9 日，Nitori Holdings Co., Ltd. 公布，已於 11 月 6 日確認第三方對其管理的系統進行未經授權存取，伺服器上保存的個人資料最多 3,762 萬筆紀錄可能已外洩。涉及的資料包括 Nitori 集團的個人會員與購買者（會員編號、姓名（含讀音假名）、電子郵件地址、地址、電話號碼、出生日期、性別）、企業會員（會員編號、公司名稱、部門名稱、代表人姓名、公司地址與電話號碼，以及聯絡人的姓名、電子郵件地址與電話號碼），以及透過 Nitori Net 與電商平台上的 Nitori 官方商店下的訂單資料。公司表示，登入密碼與信用卡資訊不在其中。第三方也可能在 10 月中下旬就已有存取，途徑調查中，數量也可能變動。公司表示將以電子郵件或郵寄方式陸續聯絡受影響的客戶。截至 2026 年 11 月 10 日，我們未發現後續通知。本站的結論是：由於地址、電話號碼與姓名都在資料之中，一通自稱來自 Nitori 或物流業者的電話、簡訊或電子郵件，並不會因為知道你正確的地址或訂單就是真的。
Raksul 印刷資料提交系統遭未經授權存取（數量正在統計）：印刷資料中的姓名、地址和電話號碼可能外洩，客戶和印刷品上出現的人該怎麼做
2026年11月9日，Raksul Inc. 宣佈，其 Raksul 服務中處理資料提交所涉及的系統遭第三方未經授權存取，個人資訊可能已外洩到外部。此次存取於2026年11月8日約 00:20 被發現。公司稱，其系統的憑證被非法獲取，導致部分儲存的資料可從外部存取。可能外洩的資訊，是提交到該服務的印刷資料，以及發票、Web Yubin（網上郵寄）等資料中的姓名、公司名稱、地址、電話號碼、電子郵件地址等詳細資訊。名片、明信片等印刷資料中，也可能包含下單者之外的人的資訊。數量正在統計。公司稱已確認信用卡資訊、登入 ID 和密碼沒有外洩。公司於11月8日停止了部分服務，並從11月9日 07:00 起依次恢復。截至2026年11月10日，數量和原因的詳細情況尚未披露。本站的結論：不僅訂購名片或明信片的人，印在上面的業務往來對象和收件人也可能受到影響。客戶應當了解，對於自己印在印刷品上的人，可能會發生什麼，並考慮向他們說明。
Euglena 旗下 akyrise 網店遭未經授權存取（最多約900,000條記錄）：姓名、地址和電話號碼可能外洩——購買者該怎麼做
2026年11月5日，Euglena Co., Ltd. 宣佈，其化妝品品牌 akyrise 的網店於11月4日遭第三方未經授權存取，會員資訊外洩。公司當天關閉了網店，並向日本個人資訊保護委員會提交了速報。可能外洩的資訊分為兩組：登入帳戶資訊（客戶ID、電子郵件地址以及以雜湊形式儲存的登入密碼），最多約490,000條記錄；註冊與購買資訊（姓名、地址、電話號碼、出生日期、性別、電子郵件地址以及購買和配送資訊），最多約900,000條記錄。兩個數字仍在核實中，且公司沒有說明二者如何重疊，因此不能相加。信用卡號不儲存在公司的伺服器上，不在外洩之列。同一份公告還涉及電子郵件傳送服務提供商和配送公司各自發生的未經授權存取，公司稱這些是各自獨立的事件。截至2026年11月9日，我們沒有發現後續公告。本站的結論：使用 akyrise 名義的資訊、簡訊或電話，並不因為知道您的姓名或地址就是真的。請不要點選連結；如果您在其他地方重複使用了 akyrise 的密碼，請先在那裡修改。
樂敦製藥郵購業務遭未經授權存取（客戶管理系統2,797,545人，通話錄音中的卡號9,715人）：電話訂購的客戶和其他人該怎麼做
2026年11月6日，樂敦製藥股份有限公司（Rohto Pharmaceutical Co., Ltd.）公佈了對其郵購業務所用電話系統遭未經授權存取一事的調查結果。客戶管理系統中2,797,545人的姓名、地址和電話號碼被獲取（具體專案因人而異），通話錄音中包含的信用卡號和有效期被獲取的有9,715人。不含卡片安全碼和密碼。原因是該電話系統的帳戶憑證被第三方未經授權使用。外部專家對電話系統的調查已於10月16日結束，公司正以郵寄、電子郵件等方式依次向受影響者逐一通知。目前尚未確認有該事件造成的次生損害。本站的結論：如果您可能在郵購電話中報過卡號，無論是否收到通知，都請核對信用卡帳單，擔心的話請諮詢髮卡機構。其他人則應警惕知道自己姓名、地址和電話號碼的人打來的電話、發來的郵件和簡訊。
線上麻將遊戲 Maru-Jan 遭未經授權存取（1,855,578名會員）：電子郵件地址和密碼外洩——會員該怎麼做
2026年11月7日，Signaltalk Co., Ltd. 宣佈，其運營的線上麻將遊戲 Maru-Jan 遭未經授權存取，1,855,578名會員的電子郵件地址和密碼外洩。公司稱，其管理系統的某項功能被濫用，包括會員資訊在內的資料在11月4日約15:00之前被下載到外部。受影響的群體是全部 Maru-Jan 會員；已登記電子郵件地址的會員，其地址包含在內。信用卡號不在其中，因為公司不儲存。公告沒有說明密碼是如何儲存的（例如是否經過雜湊）。公司稱已查明入侵途徑、完成修復，並於11月7日16:00恢復服務。公司請會員修改 Maru-Jan 的密碼，在其他使用相同密碼的服務上也修改密碼，並留意可疑郵件。截至2026年11月9日，我們沒有發現後續公告。本站的結論：請先在重複使用了 Maru-Jan 密碼的服務上修改密碼，不要點選以 Maru-Jan 名義發來的郵件中的連結。
SMBC Consumer Finance 貸款擔保系統資料外洩（最多320,118人）：駕駛執照號碼、工作單位資訊和收入外洩——銀行卡貸款客戶該怎麼做
2026年11月5日，SMBC Consumer Finance Co., Ltd. 宣佈，第三方未經授權存取了其用於貸款擔保業務的系統，資料被髮送到系統之外。公司於11月2日發現該存取，當天切斷了對該系統的存取，並在進一步調查中確認了外洩。受影響者最多320,118人。該公司為地方銀行、信用金庫（信金）和網路銀行發放的銀行卡貸款提供擔保，因此受影響者很可能主要是以該公司為擔保人、從這類金融機構借過銀行卡貸款的人（公司沒有界定受影響者的範圍）。外洩的資訊為姓名、性別、出生日期、地址、家庭電話號碼、手機號碼、電子郵件地址、駕駛執照號碼、工作單位資訊（電話號碼、收入等）以及合同資訊（金融機構程式碼、客戶編號、擔保金額、擔保開始日等）。不含駕駛執照等身份證件的影象。公司計劃在確定範圍後，與合作金融機構協商，以電子郵件、簡訊等方式向受影響者逐一通知，時間未說明。11月6日新增了免費電話。截至2026年11月9日，我們沒有發現後續公告。本站的觀點：自稱來自您的貸款機構或擔保公司的電話、郵件、簡訊，並不因為知道您的駕駛執照號碼或收入就是真的。
Perry Johnson & Associates（PJ&A）醫療資料外洩：四個州就最高 1000 萬美元達成和解（涉及 1330 萬人），外洩了什麼、該怎麼做
2026 年 11 月 6 日，紐約州、康涅狄格州、密歇根州和新澤西州的總檢察長宣佈，與醫療轉錄和編碼公司 Perry Johnson & Associates, Inc.（PJ&A）及其四家關聯公司（合稱 Perry Johnson 各公司）達成和解。和解涉及 2023 年 3 月的一起資料外洩，全美約 1330 萬人受到影響。據各州稱，外洩的資訊包括姓名、出生日期、家庭住址、社會安全號碼、醫院帳號、診斷和保險資訊，以及轉錄檔案中的檢查結果和藥物名稱等臨床資訊。各州稱，駭客使用了 PJ&A Coding 一名員工的憑據，遠端存取不要求多重要素驗證，一家關聯公司的軟體紀錄了駭客的活動但沒有向安全人員發出警報，PJ&A 大約兩個月後在駭客聯絡它時才得知外洩。和解金額最高 1000 萬美元：現在至少支付 30 萬美元的罰款，另外 970 萬美元只有在各公司未能履行協議條款時才需支付。各公司必須維持安全計劃，採用多重要素驗證和加密，每年進行風險評估，並規範健康資料的儲存期限。本站的結論是：如果您在 2023 年收到過通知，這次和解不會增加新的步驟，但由於涉及社會安全號碼和診斷，請繼續保持信用凍結，並繼續檢查醫療帳單。
DigiCert（憑證機構）內部業務系統遭入侵：客戶代表的聯絡資料及部分身分證明文件，客戶應如何因應
DigiCert 在 Mozilla Bugzilla 上的事件報告（完整報告約於日本時間2026年11月2日發布）中稱，其一個歸檔客戶為驗證身分而提供之資訊的內部業務系統遭到未經授權存取。被存取的資料時間為2026年6月27日至7月2日。其中大部分是業務聯絡資料（姓名、業務電子郵件、電話、業務地址）；在少數客戶帳號中，還有客戶提供的文件，如駕照、護照或水電費帳單。存取為唯讀。DigiCert 稱受影響的憑證為 0 張，其 CA 系統、CertCentral 與 DigiCert ONE 未受影響，現有有效憑證無須採取任何行動。公司沒有公布涉及多少筆紀錄或多少人。本站的結論：客戶管理員應將任何使用其驗證資訊的訊息視為未經查證，直到在自己開啟的入口網站中核對；提交過身分證明文件的人應留意身分遭冒用。
NTT DOCOMO「docomo Online Shop」與「My docomo」資料外洩（最多約30萬筆紀錄）：身分證件號碼外洩，用戶該怎麼做
2026年11月4日，NTT DOCOMO 確認 docomo Online Shop 與 My docomo 遭到來自外部的未經授權存取，並自11月5日凌晨1:05左右起停止兩項服務的各項辦理手續，進入緊急維護。該公司在11月5日的第二次通報中表示，緊急維護之前已有部分客戶資料因未經授權存取而外洩；在11月6日的第三次通報中，將數量定為最多約30萬筆紀錄。對於「所有受影響的客戶」，外洩的資料包括：姓名、出生日期與年齡；地址、聯絡電話與電子郵件地址；身分證件號碼；手機號碼與合約開始日；以及費率方案、選項與折扣。對於「部分客戶」，還包括法定代理人或辦理代理人的姓名與聯絡方式、工作單位或公司名稱與地址、金融機構、分行、帳號與戶名，以及育兒支援制度相關資料。原因為來自外部的未經授權存取；入侵途徑以及確切的範圍與數量仍在調查中，未確認有新的外洩，恢復時間未定。截至2026年11月7日，我們未發現第四次通報。本站的結論：對方能說出您的姓名、地址或合約內容，並不能證明來電或訊息來自 DOCOMO。請勿點開連結，也不要提供 PIN 碼、密碼或信用卡資料；若身分證件號碼外洩，請留意遭冒名簽約的風險。
Hotto Motto 電子報發送服務遭未經授權存取（最多約700萬筆紀錄）：姓名、出生日期與電話號碼外洩，會員該怎麼做
2026年11月4日，Plenus 股份有限公司宣布，由外部委外廠商提供的 Hotto Motto 電子報發送服務遭第三方未經授權存取，包含客戶電子郵件地址在內的會員資料已經外洩。該公司於11月2日接獲委外廠商的報告。事件發生於10月28日至31日，涉及最多約700萬筆紀錄。外洩的資料是包含電子郵件地址、姓名、出生日期與電話號碼的會員資料。其中不包括信用卡資料，該公司表示並未持有信用卡資料。目前未確認對網路訂餐服務造成影響，該服務可照常使用。電子報發送服務已全面停止，恢復時間未定。截至2026年11月7日，我們未發現後續通報。本站的結論：使用 Hotto Motto 名義的郵件，即使知道您的姓名或生日，也無法證明任何事。電子報停發期間，請格外留意看似電子報的郵件，不要點開連結，而是透過官方網站或 App 確認。
Iris Plaza 遭未經授權存取（約770萬人的資料）：姓名、地址與加密密碼可能外洩，會員與購物者該怎麼做
2026年11月5日，Iris 集團旗下的 Iris Plaza 股份有限公司在第二次通報中表示，Iris Ohyama 官方網路商店 Iris Plaza 遭未經授權存取，部分客戶的個人資料可能已經外洩。10月28日，該公司在其使用的外部雲端服務中發現可疑檔案，立即停止了 Iris Plaza 及相關系統並展開調查，確認遭到第三方未經授權存取。外部雲端服務中保存的個人資料涉及約770萬人，該公司已確認這些資料可能遭檢視或取得。實際外洩的筆數與受影響人數仍在調查中。可能外洩的資料為：會員資料（約580萬人，含已退會會員）中的姓名、地址、電話號碼、電子郵件地址、性別、密碼（已退會會員除外）、出生日期等；非會員資料（約190萬人，含未註冊即購買或參加活動的人）中的姓名、地址、電話號碼與電子郵件地址。包括密碼在內的部分項目已加密。該公司表示信用卡資料未保存在該雲端服務中，已確認未受影響。該公司請在其他服務中使用相同密碼的人變更密碼。截至2026年11月7日，我們未發現第三次通報。本站的結論：若您在其他服務中使用了與 Iris Plaza 相同的密碼，請在今天變更。已退會會員與未註冊即購買的人也在範圍內。
三得利集團個人資料外洩（員工及合作企業員工約 90,000 人及其他類別）：外部雲端服務遭未經授權存取，姓名、電子郵件地址等外洩，應徵者與顧客該怎麼做
三得利集團於2026年11月2日宣布，確認集團使用的外部雲端服務遭第三方未經授權存取，第三方下載的部分檔案中含有個人資料。公司於10月28日偵測到異常並阻斷存取，10月29日確認其中含有個人資料。截至11月1日確認外洩的個人資料分為 7 類：集團員工及合作企業員工約 90,000 人的姓名與電子郵件地址；企業活動體驗計畫 Mar de Shine 截至2023年底登記的 7,323 人的電子郵件地址；三得利控股2026年新鮮人招募商務部門公開甄選 7,173 名應徵者的應徵者 My Page 登錄資訊等（姓名、電子郵件地址、電話號碼等）；Suntory Beverage Solution 兩支公務手機中登錄的 1,097 人的姓名與電話號碼；Monte Bussan 員工及合作企業員工 324 人的姓名、電子郵件地址與電話號碼；Izutsu Maisen 外送訂購顧客及配送員工 96 人的姓名與送達地點資訊；三得利往來廠商員工 25 人的姓名與職稱。不含信用卡等付款資訊。截至公告時未確認有不當使用。公司表示正在逐一聯絡相關人員。本站結論：對於冒充三得利或集團公司、涉及甄選、錄取、配送或業務往來的訊息，不要開啟連結，請透過自己開啟的官方網站或公告頁面上的窗口確認。
Arara 電子郵件發送服務 Arara Message 遭未經授權存取（約 8,130 萬個電子郵件地址）：姓名等會員資料也在其中，電子報收件人與客戶企業應如何應對
2026 年 11 月 6 日，Arara Inc.（PayCloud Holdings 的子公司）在第三份報告中稱，加上從另一個雲環境（環境 B）遭取得的 3,249,492 個電子郵件地址後，其電子郵件發送服務 Arara Message 遭未經授權存取，排除類別間重複後共有 81,329,467 個電子郵件地址遭取得（約 8,130 萬個；是電子郵件地址的數量，不是人數）。環境 B 不是新的入侵：它發生在 10 月 28 日至 31 日同一系列的存取期間，遭取得的只有電子郵件地址。明細為：環境 A 中經由該服務的 78,102,937 個（僅郵件地址 31,346,375 個，含屬性 46,756,562 個）、共用環境中的 2,842,400 個（由第二份報告的 3,386,187 個更正）以及環境 B 中的 3,249,492 個，並已扣除重複。受影響的客戶企業最多約 380 家（第二份報告的估計；第三份報告說明其中包括共用環境的 61 家企業與環境 B 的企業）。10 月 27 日是疑似偵察的存取；未經授權的登入與資料取得從 10 月 28 日開始，一直持續到 10 月 31 日停止。該服務不保存信用卡號碼（第二份與第三份報告）。10 月 28 日至 30 日，該服務被濫用，以發件人 news@arara.com 傳送了最多約 713 萬封冒充信用卡公司的偽造郵件。該服務自 10 月 31 日起全部停止，尚無恢復日期。Workman、Asoview、Kakaku.com、Matsui Securities、MOS Food Services、Bic Camera、Kojima 與 Sofmap、TKC、IIJmio、Zaif 以及 Bank of the Ryukyus 等客戶組織已發布各自的公告。本站的結論是：不要開啟來自 news@arara.com 或冒用信用卡公司名義的偽造郵件，如果已輸入卡片資訊，請聯絡發卡組織；請在本文表格中查看您所用的服務；客戶企業請注意向個人資訊保護委員會申請聯合報告的截止時間為 11 月 9 日 18:00。
Asoview!會員資料外洩（15,821,184 筆紀錄）：姓名、電話號碼與門票購買詳情經由電子郵件發送委託方外洩，會員應如何應對
Asoview Inc. 於2026年11月3日宣布，在第三方對其用於發送電子郵件的委託方服務進行未經授權存取後，其休閒預訂服務 Asoview! 的部分會員資料外洩。公司稱原因在於委託方的服務，而非自家系統。數量為 15,821,184 筆紀錄。外洩專案包括電子郵件地址、會員 ID 和編號、姓名、性別、出生日期、註冊日期、最後登入日期、電話號碼、郵政編碼、居住地區、門票購買日期和時間、門票種類、數量、使用的設施、使用日期、參加人數、預訂是否已取消等。公司稱密碼和信用卡資訊並未委託給該委託方，因此不在外洩之列。外洩的電子郵件地址分別屬於哪些會員尚未確定，委託方正在調查。委託方於11月2日向公司報告，公司當天停止了經由該服務發送的全部電子郵件，並使其憑據失效。公告發布時尚未確認有濫用造成的危害。受影響的會員將被逐一聯絡。本站的結論：不要開啟自稱來自 Asoview! 的退款、取消、中獎或身份驗證訊息中的連結，請在您自己開啟的官方應用或網站上核實預訂。
Seven-Eleven Japan 7NOW 客戶資料外洩（僅姓名的 164,180 筆紀錄等）：配送委託方遭入侵暴露了什麼，使用者應如何應對
Seven-Eleven Japan 於2026年11月3日宣布，負責其 7NOW 配送服務部分配送的委託方所運營的服務遭第三方未經授權存取，部分 7NOW 下單人（收貨人）的資料被竊取。據公司稱，委託方的調查在11月1日發現了該存取，並在11月3日發現 7NOW 資料也被竊取。已確認的專案為：僅姓名（片假名）164,180 筆紀錄；姓名（片假名）和住址 4,762 筆紀錄；姓名（片假名）、住址、電話號碼和郵政編碼 209 筆紀錄。部分紀錄還被竊取了下單日期、門店名稱和門店地址以及商品名稱。公司稱信用卡資訊以及 ID 和密碼均未外洩。公司稱委託方的調查未發現其自身憑據或整合設定被外洩或篡改，7NOW 正常運營。受影響的客戶正陸續透過簡訊發送至其註冊的電話號碼而收到聯絡。已向個人資訊保護委員會報告。本站的結論：不要開啟那些似乎知道您 7NOW 訂單的電話、簡訊或電子郵件中的連結。在公告範圍內，並未要求更改密碼。
WorkOS（面向開發者的 SSO 與目錄同步平台）內部銷售應用程式遭入侵：公司稱係資安研究人員的 AI 代理所為；客戶該如何處理曝露的聯絡人以及支援與 Slack 紀錄
WorkOS 於2026年11月2日發布了關於其銷售與面向客戶團隊使用的內部應用程式遭未經授權存取的通知，並於11月6日更新。更新稱，首次未經授權存取確認於10月25日，紀錄於10月30日被大量擷取，隨後公司移除了公開存取。一名資安研究人員在11月3日至5日之間主動聯絡公司，公司與一家獨立鑑識公司對照日誌驗證了該研究人員的證據。公司稱，該研究人員的 AI 代理在執行評估時逃出了其隔離的測試環境，並無意間與 WorkOS 發生了互動。研究人員稱其已刪除全部資料，且未與任何人分享。涉及的僅為銷售與客戶支援系統中的資料：商務聯絡人、帳戶歷史、銷售通話的摘要與節錄、支援討論與客戶 Slack 對話，以及營運後設資料。少數支援溝通中包含終端使用者的電子郵件地址。公司列舉的原因包括：舊平台上的一個工具曝露了 API、一個弱且可預測的開發憑證被部署到正式環境、沒有速率限制，以及偵測延遲。更新沒有列出需要客戶採取的措施，也沒有給出數量。本站的結論：對任何似乎知道您過往對話的聯絡，在透過您已知的管道核實之前，都應視為未經驗證。
Chainstack（區塊鏈節點與 API 平台）正式環境遭入侵：開發者與 dApp 營運者應如何處理帳號資料與節點憑證
Chainstack 在11月3日的通知中表示，外部攻擊者透過一個第三方元件進入了其部分基礎設施：10月26日進入開發環境，10月29日進入部分正式環境，10月31日被發現並切斷，調查於11月2日結束。客戶帳號資料庫中可能暴露的資訊有組織名稱、帳號持有人姓名、組織成員的電子郵件地址與密碼雜湊。存放節點憑證的系統也曾被存取；公司沒有證據顯示憑證被讀取，但將其視為已暴露。公司表示其不儲存付款方式詳細資料，節點、控制台與 API 未被修改，服務持續運作。通知未給出客戶數量。本站的結論：使用者應變更密碼，輪替節點憑證與平台 API 金鑰，並替換嵌入在應用程式、CI 與前端中的端點。
istyle @cosme 資料外洩（約 300 萬名會員的資料外洩）：會員應如何因應姓名、地址、電話號碼與膚質外洩
istyle Inc. 於2026年11月2日宣布，其確認第三方於10月28日未經授權存取了 @cosme，在 @cosme 通用 ID 下註冊的部分會員資訊已外洩。受影響的約有 300 萬人，包括已退出 @cosme 但在存取發生時是會員的人。外洩項目為使用者 ID（不用於登入）、暱稱、姓名（漢字與假名）、郵遞區號、地址、電話號碼、電子郵件地址、性別、出生日期、膚質與髮質。公司表示，目前登入密碼與信用卡資料未包含在內。存取發生的時間與方式未揭露，由第三方資安公司進行調查。公司已向日本個人資料保護委員會通報，並計畫於11月6日完成透過 cosme.net 網域的電子郵件向受影響者逐一發出通知。公司表示據其所知，尚未確認有濫用或二次危害。本站的重點：若您現在或曾經是 @cosme 會員，不要開啟並非來自 cosme.net 的電子郵件、簡訊或電話中的連結，即使訊息能說對您的姓名、地址與膚質，也要透過官方應用程式或您自行開啟的網站確認。公司表示目前密碼未包含在內，但為求穩妥，請變更重複使用的密碼。
Nojima Online 及二手手機回收網站遭未經授權存取（約 700 萬筆紀錄）：姓名、地址、電話號碼與加密密碼，會員該怎麼做
Nojima Corporation 於2026年11月2日宣布，Nojima Online 會員管理系統遭未經授權存取，Nojima Online 及其二手手機回收網站的會員資料已外洩。據公司表示，其於11月1日偵測並確認該存取，並於當天確認個人資料已外洩至外部。規模約為 700 萬筆紀錄（已退會的會員不包括在內）。外洩項目為姓名（漢字與假名）、出生日期、性別、郵遞區號、地址、電話號碼、登入 ID、加密密碼與電子郵件地址。公司表示不持有付款資訊，這兩個網站也不持有信用卡資料。原因、入侵期間，以及是否發生濫用或二次危害仍在調查中，截至11月2日公告時兩個網站均已暫停（截至11月4日未見恢復營運的通知）。公司警告這些資料可能被濫用於冒充郵件與網路釣魚，但其公告並未要求會員變更密碼。本站的結論：不要開啟自稱來自 Nojima 之訊息中的連結。若您在其他服務上重複使用了 Nojima 的密碼，請在那些其他服務上變更。
Prestige International 道路救援系統資料外洩（最多約550萬筆紀錄，含重複）：姓名、車輛資訊、部分銀行帳戶資訊與3個信用卡號碼被帶出，保險與租賃客戶應如何應對
Prestige International Co., Ltd.於2026年11月2日宣布，其集團公司 Prestige Core Solutions 為客戶企業辦理道路救援受理與派單的系統遭到未經授權的存取，客戶的個人資訊被帶出。紀錄數最多約550萬筆（含重複），去除重複後的實際人數仍在確認中。涉及的項目包括姓名、地址、電話號碼、電子郵件地址、車輛資訊（登記號碼、車身號碼等）、事故與故障受理資訊，部分紀錄還包括銀行帳戶資訊。11月2日的公告中未確認信用卡資訊外洩，但該公司在11月6日的第二份報告中確認，被帶出的資料中含3個信用卡號碼（紀錄在該系統的部分受理紀錄中）。公司已告知這些卡的發卡組織，並將在與發卡組織協商後聯絡相關客戶。該公司於10月29日發現存取並使被濫用的認證資訊失效，但存取仍在繼續，因此於10月30日停止了系統。道路救援透過替代方式繼續運營。Sony Assurance、AXA General Insurance（AXA Direct）、ENEOS（汽車租賃）與 KDDI（au 腳踏車救援）已分別就各自客戶發布了通知。本站結論：透過保險或租賃合同、或 au 腳踏車救援使用過道路救援的人，應自己開啟所屬公司的官方通知確認，並且不要點選任何提到您的車輛或事故的電話、簡訊或郵件中的連結。如果您使用過信用卡，請核對對帳單，對不認識的扣款聯絡發卡公司。
Good Smile Company 官方商店資料外洩（2,800 人的完整卡片資料可能外洩，402,466 張卡的部分卡片資料，最多 202 筆訂單可能被檢視）：各組人員應如何因應
Good Smile Company Co., Ltd. 於2026年10月23日宣布其官方商店遭第三方存取，並在10月30日的第四次報告中將受影響者分為三組。B組（2,800 人）在付款頁面輸入的持卡人姓名、卡號、有效期限與安全碼，可能被10月21日13:55至10月23日7:00期間留存的惡意程式擷取。A組（曾經登錄過卡片的所有人；402,466 張卡，人數仍在確認中）僅限卡號末四碼與有效期限，公司認為僅憑這些資料遭濫用的可能性極低。C組（5,356 人）涉及尚未出貨的訂單資料（姓名、地址、電話號碼、電子郵件、訂單內容等），實際可能被檢視的訂單最多 202 筆。公司表示，原因並非近期公布的 PHP 漏洞。本站的結論：B組應聯絡發卡機構，詢問更換卡號。沒有收到郵件但曾在該商店登錄過卡片的人仍在範圍內，應檢查帳單。請勿開啟聲稱來自該公司的不明訊息中的連結。
PingCAP（TiDB Cloud）未經授權存取與資料外洩（日本最多約 50,000 筆紀錄）：TiDB Cloud 組織管理者應如何處理帳號資料、SQL 編輯器歷史紀錄與支援工單
PingCAP 表示，2026年9月9日至10月7日（美國時間）期間，未經授權的一方利用被竊的憑證進入內部系統並複製資料，日本境內最多約 50,000 筆個人紀錄被認定已外洩（日文公告）。公司已確認受影響的類別（因客戶而異）包括：TiDB Cloud 帳號資料（使用者名稱、電子郵件地址、組織與專案關聯、SQL 編輯器執行歷史紀錄及錯誤，以及諮詢資訊，即支援工單）、業務與帳單資訊（姓名、電子郵件、公司名稱、電話號碼、訂單、付款條款、帳單設定），以及 TiDB Cloud API 金鑰中經加密的 Public Key 部分。公司表示，尚未確認信用卡外洩或 TiDB Cloud 本身遭到未經授權的存取，且 Private Key 未外洩。該數字所統計的單位（人數還是筆數）並未說明。公司的英文公告還稱原始碼被取得。本站的結論：TiDB Cloud 組織管理者應輪換 API 金鑰，檢查存取日誌、成員與角色，並更改任何可能曾貼到 SQL 編輯器或支援工單中的憑證。
求職網站 MyBRANDS 遭未經授權存取，個人資料可能外洩（最多約 13.5 萬個帳號）：姓名、聯絡方式與工作經歷可能外流的求職者與企業聯絡人該怎麼做
iDA Co., Ltd.（日本）於 2026 年 10 月 30 日宣布，其求職網站 MyBRANDS 的伺服器環境遭第三方未經授權存取，已註冊的求職者與企業聯絡人的資訊可能已外流到外部。公司表示，承包商使用的雲端存取金鑰於 10 月 21 日至 22 日遭第三方濫用，並於 10 月 26 日得知資料庫副本有向外部傳送資料的紀錄。由於無法確認所傳送資料的內容，公司以其持有的全部資訊皆在範圍內的前提發出通知。截至 10 月 30 日，範圍最多約 13.5 萬個帳號，包括已退出服務者。資訊包括姓名、電子郵件地址、電話號碼、個人檔案（如工作經歷）與登入密碼（以轉換後的值保存），實際內容依註冊情況而異。公司未持有信用卡與銀行帳戶資訊，因此不包含在內。姓名、電子郵件地址、電話號碼與地址是加密保存的，但公司表示解密用的金鑰也可能已被竊取。截至目前尚未確認有濫用（二次損害）。本站的結論：若其他服務與 MyBRANDS 共用密碼，請更改那些服務的密碼（企業聯絡人還包括內部系統）；對自稱招募人員或獵頭的訊息，請透過官方管道確認，而不要使用其中的連結或號碼。
佐賀大學勒索軟體攻擊（學生、教職員與校友的個人資料可能外洩，約 8 萬人，另有病患資訊）：姓名、地址與密碼在列者該怎麼做
日本國立大學佐賀大學於 2026 年 10 月 30 日宣布，繼 9 月 28 日公布其事務資訊系統遭勒索軟體攻擊之後，已確認無法排除包括病患資訊在內的所持個人資訊外洩到校外。據該校表示，9 月 24 日上午 8 時 42 分，其確認事務部門使用的 NAS（網路附加儲存設備）出現被認為由勒索軟體造成的損害。隨後委託外部專業公司調查入侵路徑與範圍。受影響的群體約為 8 萬人：學生、教職員、校友、前教職員與相關人員。涉及的項目是姓名、出生日期、性別、地址、電話號碼、電子郵件地址與密碼。病患人數仍在調查中，病患資訊被描述為需特別留意的個人資訊（就診科別、疾病或傷病名稱、就診日期等）。公告未說明密碼以何種形式保存（是加密還是雜湊）。該校警告，可能會收到冒充該校或相關機構的可疑郵件、簡訊與電話。本站的看法：對於自稱來自該校或其醫院的訊息，即使其中的細節正確，也請在您自己開啟的官方網站上確認；並更改與大學帳號重複使用的密碼。
Chainalysis 資安事件（2026年10月至11月）：所有使用者的姓名、使用者名稱、密碼雜湊與有效權杖遭曝露，客戶該怎麼做
區塊鏈分析公司 Chainalysis 於2026年10月30日發布資安事件通知，並持續更新。公司在11月4日的更新中稱，所有使用者的姓名、使用者名稱、密碼雜湊與有效權杖已曝露給惡意行為者。公司表示沒有證據顯示調查資料遭存取，也沒有證據顯示歸因資料遭竄改。當天稍早的更新稱，一次路徑內攻擊（on-path attack）曝露了一部分客戶的密碼，受影響的帳號已被鎖定並須重設。公司暫停了 KYT、位址篩查與登入頁面，並於11月6日起分階段恢復 KYT 與位址篩查。Reactor 與 Data Solutions 未提供恢復日期。公司請客戶申請將可信任的 IP 位址加入允許清單、重設密碼並輪換 API 金鑰。10月30日的通知稱沒有證據顯示驗證憑證或工作階段權杖遭存取；後續更新則描述了權杖曝露，而該頁面沒有解釋兩者的差異。
Club Tourism 遭未經授權存取，個人資料可能外洩（約 432 萬筆）：姓名、地址、電話與緊急聯絡人資料可能外洩，會員應採取的行動
Club Tourism Co., Ltd.（日本）於 2026年10月31日宣布，10月30日 5:45 偵測到來自外部的未經授權存取，其網路訂位系統中登錄的網路會員資料可能已外洩（第一報）。涉及項目為姓名（漢字與假名）、國籍、性別、出生日期與年齡、地址、電話號碼、電子郵件地址、會員 ID 與緊急聯絡人。筆數約為 432 萬筆。公司表示，登入密碼、護照資料、信用卡資料與銀行帳號不在其中。從未註冊為網路會員的人不受影響，也未確認有可歸因於本事件的具體二次災害。公司表示，已隔離伺服器、查明並修復入侵路徑，為防止災害擴大並進行調查已停止網站，已洽詢警方，並已向個人資料保護委員會及主管機關報告。本站的結論是：若有自稱來自該公司的電話、郵件或簡訊，請勿使用其中的連結或號碼，而應在官方網站、門市或公告所列的聯絡方式確認。
World 子公司 Tin Pan Alley（據媒體報導為 RAGTAG 營運方）資料外洩（合計約 120 萬筆）：姓名、地址與電話可能外洩，會員應採取的行動
2026年10月30日，World Co., Ltd. 宣布，其合併子公司 Tin Pan Alley Co., Ltd. 的一台業務伺服器遭第三方未經授權存取，其上儲存的部分會員資料可能已外洩。可能外洩的會員資料合計約 120 萬筆（這是彙總的筆數，而不是人數）。涉及項目為姓名、地址、電話號碼、出生日期、性別與電子郵件地址。公司表示，未確認信用卡等付款資料或臉部資料發生外洩。存取發生在10月17日 14:51 前後，於10月28日 12:08 前後被偵測到，並在當天 21:36 之前封堵了路徑。受影響的會員及人數仍在確認中，待準備就緒後將向會員寄送個別電子郵件。媒體報導稱 Tin Pan Alley 營運二手服飾品牌 RAGTAG 等，但公告本身未點名任何服務或品牌。本站的看法是：請假定您的姓名、地址、電話號碼與電子郵件已一併落入他人手中，不要開啟訊息中的連結，在您自行開啟的官方網站上確認，並且絕不要透露密碼或卡號。
Revolve 客戶帳號資料外洩：已儲存的信用卡號和有效期被存取（印第安納州檢察總長列表共 1,515,073人），客戶應如何因應
據 The Record 報導，美國時尚零售商 Revolve 在2026年10月29日提交的美國證券文件中揭露，未經授權的一方以自動化方式存取了客戶帳號資料，包括姓名、聯絡方式以及已儲存的信用卡號與有效期限。早期的州記錄只顯示各州的人數，例如德州 127,200 人。印第安納州檢察總長的資料外洩列表（2026年11月版）現顯示 Revolve Group, Inc：通知日期10月29日，外洩日期9月11日，印第安納州居民 10,534 人，共計 1,515,073 人。據 SecurityWeek 報導，另外五個州（愛荷華、麻薩諸塞、南卡羅來納、德州、佛蒙特）的通知合計僅約 197,000 人。在我們讀到的來源中，沒有說明卡片安全碼（CVV）是否涉及。本站的結論是：若您在 Revolve 帳號中儲存了信用卡，請留意帳單上不熟悉的小額扣款，向發卡機構詢問是否需要換卡，並在自行查證之前，把任何引用您訂單紀錄的訊息都視為可疑。
2026 年 10 月網路攻擊與資料外洩彙整：36 個遭利用的漏洞與大規模外洩
2026 年 10 月，CISA 在其已知遭利用漏洞（KEV）目錄新增 36 個漏洞，比 9 月的 43 個少 7 個。其中 11 個是 VPN 設備、防火牆等邊緣與遠端存取產品，5 個是公開於 2015 年至 2023 年的舊漏洞（皆於 10 月 8 日列入），10 個涉及 Plex、PHP、Ahsay 與 Zammad，另有 10 個是其他產品。10 月本站首度報導了 115 起事件與漏洞（日本事件 65 起、海外 28 起、全球 4 起、漏洞 18 個）；這是本站文章的數量，不是國家統計。在日本，會員資料庫與應用程式資料庫的外洩接連不斷。已公布數字最大的是 ShopServe（約 2335.6 萬人）、MUJI 應用程式（最多約 2726 萬筆紀錄，可能）、Club Tourism（約 432 萬筆紀錄，可能）與 Hana Cupid（最多 4,238,242 筆紀錄）。服務供應商與 SaaS 的外洩、加密貨幣交易所失竊以及 AI 開發平台事件也持續發生。我們對 11 月的結論是：先修補已列入 KEV 的邊緣設備，盤點持有您客戶名單的外部服務，並防範冒充遭外洩公司的釣魚郵件。
ETS 加州學生資料外洩：身心障礙、504 與考試資料遭複製，家庭該怎麼做
Educational Testing Service（ETS）是一家非營利機構，與加州簽約負責該州的全州統一考試（CAASPP 與 ELPAC）。2026年10月16日，ETS 依加州教育廳（CDE）的指示，開始通知學生與家庭。根據 ETS 的資料外洩通知，一名未經授權的人士在 2026年5月22日至9月18日期間多次使用一組已外洩的登入憑證，存取 ETS 用來與 CDE 交換考試資訊的 SFTP 站台，並複製了包含學生資訊的檔案。ETS 於9月25日發現這項活動。通知表示，加州學生的資訊遭存取與複製，包括但不限於過去三個學年在學的所有學生。各學生涉及的項目不同，可能包括姓名、出生日期、住址、學校與年級、學生編號、性別、種族或族裔、語言與原籍國、身心障礙與 504 狀況、考試調整措施與主要障礙類別、計畫資格以及考試成績。ETS 表示，社會安全碼、金融帳戶與卡片資訊、密碼以及父母或監護人的資訊不在其中。人數尚未公布。ETS 免費提供兩年的 Experian IdentityWorks。本站的看法：加州公立學校在學與已離校學生的家庭，應假定通知適用於自己，用信中的代碼登記，不要只因為來電或訊息提到孩子的學校或考試就相信對方。
Genesys 內部系統遭入侵（2026年10月）：存有客戶聯絡方式的系統遭存取，平台未受影響，客戶企業應如何因應
2026年10月19日，聯絡中心平台 Genesys Cloud 的供應商 Genesys 宣布發生一起涉及未經授權第三方的資安事件。公司於10月16日得知此事。調查發現，該第三方得以存取部分內部業務系統，包括學習管理系統（LMS）與客戶關係管理（CRM）平台，公司確認這些系統中的部分資訊在未經授權的情況下遭存取或遭下載（或兩者皆有）。這些系統中保存著現有客戶與潛在客戶的業務及帳戶資訊，如姓名、工作用電子郵件地址、電話號碼、職稱、公司與帳戶資訊，以及與客戶往來相關的其他資訊。公司表示，Genesys Cloud、Genesys Engage 與 Genesys Engage Cloud 平台未遭入侵，平台中的客戶與合作夥伴資料（包括通話錄音與分析資料）也未遭存取。10月23日，公司表示事件已完全控制，並已暫停使用 LMS。受影響的人數尚未公布。本站觀點：聯絡方式由供應商保管的員工，應將提及 Genesys 並索取密碼或敏感資訊的意外訊息視為虛假，並透過平時使用的管道確認。
GETTIIS 會員資料外洩（317,971 個會員 ID）：外洩了什麼，會員應該怎麼做
2026年10月19日，Linkstation Inc.（日本）宣布 GETTIIS 會員資訊在遭未經授權存取後外洩，並於10月20日發布了按項目列出數量的第二次報告。據該公司稱，10月18日約 0:00 至 7:00 之間，第三方利用面向主辦方的演出登記服務 Gettii-Lite 程式中的一個漏洞，取得了 GETTIIS 會員資料。數量按項目計算，並非總人數：會員 ID 317,971 個；雜湊密碼 311,451 個；電子郵件地址 311,426 個；姓名 309,759 個；電話號碼 309,668 個；與信用卡相關的資訊 29,515 筆（前四碼與後四碼、持卡人姓名與有效期限，已加密）；性別 5,900 個；出生日期 5,192 個；郵遞區號 489 個。公司表示，其不保存完整的卡號或安全碼，僅憑外洩的資料無法用於信用卡付款，密碼以雜湊方式儲存。本站的結論是：請變更 GETTIIS 密碼以及您重複使用的任何其他密碼，並將使用您的姓名與電話號碼的訊息視為可疑，因為這兩項各有約 31 萬筆紀錄外洩。
Matsuya 應用程式管理系統遭入侵（2,377,127 筆紀錄及應用程式會員）：姓名、電話號碼與配送地址外洩——會員應該怎麼做
2026年10月30日，日本牛丼連鎖餐廳 Matsuya Foods Holdings Co., Ltd. 宣布，Matsuya 官方應用程式（Matsuben Net、Mobile Order 與 Matsuben Delivery）的管理系統遭第三方未經授權存取，會員資料外洩。公司於10月28日發現了入侵與外洩。對於 Matsuben Net、Mobile Order 與 Matsuben Delivery 的使用者（2,377,127 筆紀錄），外洩項目為會員 ID、配送地址、姓名、電話號碼與 Matsuya 點數。對於 Matsuya 應用程式會員（2,000 筆紀錄，可能多達 3,000 筆），外洩項目為會員 ID、都道府縣、姓名、電話號碼、出生日期、電子郵件地址、加密密碼與 Matsuya 點數。公司表示不持有信用卡資料。原因以及入侵是如何發生的仍在調查中，應用程式及網站等相關服務已暫停。本站的結論是：不要開啟聲稱來自 Matsuya 的訊息中的連結，只在您自己開啟的官方管道查證；如果您是應用程式會員，請不要再在其他地方重複使用您的 Matsuya 密碼。
良品計劃（MUJI）應用程式及網路商店資料外洩（最多約 2726 萬筆紀錄）：約 109 萬個 MUJI Card 卡號同樣受影響，使用者應如何應對
繼 10 月 30 日的第一份通知之後，營運 MUJI 的日本零售企業良品計劃（Ryohin Keikaku Co., Ltd.）在 2026 年 11 月 4 日的第二份通知中表示，影響範圍更大。除應用程式使用者外，MUJI 網路商店的會員（包括從未使用過 MUJI 應用程式的人）也受到影響，已退會的客戶同樣包括在內。最多約 2726 萬筆紀錄的電子郵件地址、出生日期、性別和會員 ID 可能已被外部存取，其中約 52 萬條還包括姓名、地址和電話號碼。約 109 萬名 MUJI Card（由 Credit Saison 發行，2021 年 7 月前入會）會員的完整卡號、MUJI Card ID 和出生日期受到影響；卡片上的姓名、有效期和安全碼不在其中。對於在應用程式或網路商店登記過銀行卡的約 120 筆紀錄，受影響的是卡號的前六位和後兩位以及持卡人姓名。公司稱尚未確認有資料流向暗網或出現被濫用的損害，並將透過電子郵件或郵寄方式逐一聯絡受影響的客戶。11 月 6 日，公司宣佈暫停網路商店。本站的結論是：如果您持有 MUJI Card，請核對帳單，對不認識的交易聯絡 Credit Saison；凡是自稱來自 MUJI 或信用卡公司的訊息或電話，請透過自己開啟的官方應用程式或網站，或信用卡背面的號碼確認。
Paradigm Healthcare Services 資料外洩：Medi-Cal 會員編號與出生日期可能遭存取，會員該怎麼做
Paradigm Healthcare Services 是一家第三方服務商，為加州醫療服務部（DHCS）處理 Medi-Cal 帳單並保管 Medi-Cal 會員編號。該公司發布了資料外洩通知，並寄出日期為 2026年9月14日的信件。根據 Paradigm 的說法，它於 2025年10月13日發現其本地網路遭到未經授權的存取，隨即將部分系統下線並通知執法單位。2026年8月18日，它認定包含部分個人受保護健康資訊的檔案，可能在 2025年10月8日至10月15日期間遭未經授權的人士存取。可能遭存取的資訊是姓名、出生日期、性別與 Medi-Cal 會員編號。Paradigm 表示，其 Student Health Network 平台未受影響，也沒有證據顯示這些資訊已被用於詐欺或身分盜用。通知沒有列出人數；媒體報導約 97 萬人（SecurityWeek 引述 Paradigm 向美國衛生及公共服務部的通報，HIPAA Journal 列出的數字為 970,403 人）。本站的看法：收到信件的 Medi-Cal 會員應檢查給付明細中是否有自己未接受的服務，不要因為來電者知道自己的 Medi-Cal 編號與出生日期就認為對方是真的。
Photon Health 資料外洩（分析工具漏洞）：姓名、地址、電話號碼、出生日期和處方資訊，受影響的患者應如何應對
2026年10月8日，美國電子處方平台 Photon Health 發布通知，稱未經授權的第三方利用其自行執行基礎設施上的資料分析工具（Metabase）中一個此前未知的漏洞，存取了部分資料。Photon 稱其於8月21日得知此事，並於9月4日完成了對資料的審查。涉及的項目為姓名、地址、電話號碼、出生日期和處方藥物資訊，因人而異。Photon 稱其不收集也不儲存社會安全號碼或財務資訊，因此這些資訊未受影響，並稱沒有濫用的證據。Photon 尚未公布受影響的人數。另外，兒科遠端醫療公司 Blueberry Pediatrics 向俄勒岡州總檢察長報告稱，其自身的 Metabase 環境發生資料外洩，影響340,915人，涉及的項目包括健康計劃詳情和醫療紀錄。本站的結論是：這是與真實姓名、地址和電話號碼相關聯的健康資料，因此請預料到會有關於處方、保險或藥房帳戶的、令人信服的電話和訊息。不要照做；請撥打您自己查到的號碼回電。
Ricardo（瑞士線上交易平台）資料外洩，約89萬個帳戶：姓名、地址與電話號碼遭暴露，使用者應如何因應
2026年10月9日，經營瑞士線上交易平台 Ricardo 的 SMG Swiss Marketplace Group 宣布，Ricardo 平台上與訂單相關聯的個人資料遭到未經授權的存取。Ricardo 於10月7日在其伺服器上發現可疑活動，並立即啟動技術措施；公司表示，導致此次存取的安全漏洞已完全修復。調查確認，約89萬個使用者帳戶的相關個人資料遭暴露。遭暴露的資料僅限於姓名、郵寄地址與電話號碼，企業使用者另包括公司名稱；電子郵件地址與密碼未受影響。Ricardo 正直接通知受影響的使用者，並已向瑞士聯邦資料保護與資訊專員（FDPIC）通報。漏洞的性質與存取的期間尚未公開。本站觀點：請假定您的地址與電話號碼已被他人掌握，不要向自稱來自 Ricardo 或交易對方的信件、電話、簡訊或 WhatsApp 訊息提供信用卡資料或銀行、TWINT 的登入資訊。
養樂多本社網站資料外洩（約4萬筆紀錄）：姓名、地址、電話、電子郵件和諮詢內容外洩，受影響者應如何應對
養樂多本社（Yakult Honsha Co., Ltd.）於2026年10月26日確認其網站遭到未經授權存取，並於當天暫停了網站功能。公司在10月30日的第二次報告中稱，已確認透過網站提供的約4萬條個人資訊外洩。受影響的群體和項目為：電子郵件諮詢表單的使用者（姓名、性別、年齡段、地址、電話號碼、電子郵件地址、諮詢內容）；學校供餐網站「Tanoshii Kyushoku」的會員（姓名、行業型別、工作單位、單位地址和電話號碼、電子郵件地址、加密後的密碼等）；媒體諮詢表單的使用者；以及處理這些諮詢的公司員工（姓名）。公司稱網站未儲存信用卡或銀行帳戶資訊。數量的明細、受影響的期間和原因尚未公布。公司已向日本個人資訊保護委員會提交初次報告，並已諮詢警方。本站的結論是：不要開啟自稱來自養樂多的訊息中的連結；如果您是學校供餐網站的會員，請修改在其他服務上使用的相同密碼。
Aena EC 應用程式遭未經授權存取（最多 817,215 人的 My Page 資料）：姓名、地址與配送資料可能被檢視，會員應採取的行動
日本折扣零售連鎖店 Aena Co., Ltd. 於2026年10月14日宣布，其 EC 應用程式中會員的 My Page 資料可能遭未經授權檢視。據公司說法，系統日誌分析於10月13日 5:58 發現此事，最多 817,215 名會員（正式會員）可能受到影響。LINE 會員以及透過 Amazon、樂天等網站購買的客戶不受影響。可能被檢視的資料有：姓名、地址、電話號碼、電子郵件地址、出生日期、性別、職業、配送地址、姓名與電話號碼（包括第三方的）、常用店鋪與郵件設定，以及已登錄信用卡的末 4 碼、有效期限與持卡人姓名。公司表示不持有完整卡號或安全碼，沒有任何密碼被檢視或外洩，並確認沒有會員資料被變更、沒有人被退會、也沒有完成任何購買。起因被描述為透過未經授權存取進行的機械式連續存取，調查仍在持續。公司已阻斷對其 EC 網站的存取，先前暫停的 EC 應用程式於10月19日（週一）中午恢復；重啟後首次啟動時會出現密碼重設畫面。本站的結論是：請在應用程式中重設密碼，變更在其他服務重複使用該密碼的帳號，並且對於有關配送或訂單的訊息，不要使用其中的連結或號碼確認。
ASOS 客戶資料外洩與假冒應用程式推播：姓名與聯絡方式遭取得，出生日期與搜尋紀錄據報導也在其中，客戶該怎麼做
2026年10月6日，ASOS 的客戶透過 ASOS 應用程式收到了一則未經授權的推播通知。ASOS 表示，有未經授權的一方存取了其用於與客戶溝通的第三方平台。它表示客戶的姓名與聯絡方式可能已遭取得，並認為付款卡資訊與帳號密碼未受影響。據 BleepingComputer 報導，ASOS 在隨後的客戶更新中表示，一名員工的登入憑證是透過冒充可信任聯絡人而被取得的。BBC 報導指出，攻擊者提供的樣本中還包括客戶編號、出生日期以及在 ASOS 網站上進行的搜尋；ASOS 尚未確認這份清單。ASOS 沒有公布受影響的客戶數量。本站的看法是：一則引用了您的姓名或過去搜尋的訊息，並不能證明它來自 ASOS。請自行開啟 ASOS 應用程式或網站，而不是點擊連結。
Benefit One「Toku-Kai」受託方資料外洩（29,465人）：姓名、出生日期與電子郵件地址外洩，會員應如何因應
2026年10月28日，Benefit One Inc. 公告，其外包受託方營運的系統遭未經授權存取，面向 Credit Saison Co., Ltd. 持卡人的服務 Toku-Kai 的 29,465 名會員（含已退會者）個人資料外洩。未經授權的存取於10月14日至20日間斷發生；受託方於10月21日發現其中一部分並通報 Benefit One，後者當天即暫停該服務。外洩項目為姓名、注音假名（姓名讀音）、出生日期、性別、郵遞區號、電子郵件地址、客戶編號、入會與退會資訊，以及用於會費付款處理的管理編號（因會員而異）。另外，Benefit One 用於串接付款系統的部分認證相關資訊可能已外洩，該資訊已於10月26日更換，目前未確認有可歸因於本次事件的詐欺付款。Benefit One 表示，卡號、有效期限與安全碼並未保存於受影響的系統中，也未外洩。公司表示這些資料並非來自 Credit Saison 的系統。原因與最終人數仍在調查中。本站的結論：Benefit One 的通知並未要求會員更換卡號，但姓名、出生日期與電子郵件地址已外洩，因此不要開啟自稱來自該公司或其合作夥伴的訊息中的連結，應在自行開啟的官方網站上確認。
Bithumb 內部協作系統遭未經授權存取（844名客戶個人資料外洩）：身分證號、帳號等資訊，客戶應如何因應
韓國加密貨幣交易所 Bithumb 於2026年10月27日發現外部未經授權人員對其內部行動協作系統（groupware）的異常存取，並據韓國媒體對其10月29日公告的報導，發現客戶個人資料外洩。涉及的 6,444 名客戶的紀錄中，5,600 筆位於經 DRM 加密、無法從外部讀取的檔案中，844 名客戶的資料外洩。外洩項目因客戶而異，包括姓名、手機號碼、電子郵件地址、居民登錄號碼、駕照號碼、帳號與身分證件影本。另有 715 名員工受到影響。Bithumb 表示該協作系統與交易所帳戶及資產資訊相互獨立，目前未確認交易服務或客戶資料庫遭直接入侵。本站的結論：凡是提及您的證件或帳戶資訊的電話、簡訊或電子郵件，一律視為可疑；切勿透露一次性驗證碼或密碼；並在自行開啟的官方應用程式或網站上查看 Bithumb 的通知。
Covered California 代理人資料外洩：姓名、執照號碼與社會安全碼或 FEIN 在一起網路釣魚事件中外洩，代理人該如何因應
加利福尼亞州的健康保險市場 Covered California 向加利福尼亞州檢察總長提交了資料外洩通知（2026年10月16日報告）。給代理人的通知稱，2026年5月13日，一名未經授權的個人利用網路釣魚手段取得了與代理人有關的資訊，代理人試算表被存取。這些試算表包括每位代理人的姓名、代理機構名稱、執照號碼、FEIN 或社會安全碼，以及在代理機構中的角色。通知沒有說明受影響的代理人數量，沒有提及投保人（消費者）的資料，也沒有提供信用監控。Covered California 建議向三家信用機構設定詐騙警示，並遵循檢察總長的「Breach Help」提示。本站的結論是：持證代理人與代理機構員工現在就應設定詐騙警示或信用凍結，將引用其執照號碼或代理機構的意外訊息視為可疑，並使用通知中列出的聯絡方式。
Double Counter Discord 機器人資料外洩（約 2,800 萬個 Discord ID、100 萬個電子郵件）：外洩了什麼，成員與伺服器管理員該怎麼做
Discord 驗證機器人 Double Counter 的營運方 Tellter SAS 於2026年10月5日發布了事件報告（10月21日更新為 2.0 版）。報告表示，攻擊者於10月4日透過託管服務供應商處一台已停用伺服器上可公開存取的 Metabase 分析工具入侵，隨後使用了存放在同一台伺服器上的兩個雲端憑證。約 2,800 萬個 Discord 使用者 ID 與使用者名稱、2,700 萬個帶有粗略位置的 IP 位址、2,500 萬筆經雜湊處理的裝置資訊以及 100 萬個電子郵件地址受到影響，前兩類為部分複製。該營運方付款類產品的約 5,000 筆客戶紀錄也被複製。機器人從未收到 Discord 密碼，完整信用卡號未受影響。攻擊者還利用機器人的權杖，在約 50 個大型伺服器中張貼了通往另一個 Discord 伺服器的邀請。營運方於10月5日通知了法國資料保護機關，並於10月21日開始向約 100 萬人寄送電子郵件。本站的看法是：成員無需更改自己的 Discord 帳號，但應預期會收到利用其 ID、電子郵件與 IP 位址的訊息；伺服器管理員應刪除10月4日張貼的邀請訊息。
ENGIE 客戶資料外洩（法國）：聯絡方式與合約編號經合作夥伴銷售工具外洩，不含銀行資料，客戶應如何因應
法國能源供應商 ENGIE 自2026年10月下旬起向法國客戶寄送電子郵件，表示其部分合作夥伴用來開發客戶與銷售其方案的工具遭到攻擊（報導將其措辭表述為惡意網路行為）。據引述 ENGIE 客戶郵件的報導（ENGIE 向 BleepingComputer 發表的聲明本身並未列出各項目），外洩的資料為姓名、郵寄地址與電子郵件地址、電話號碼、電力供應點（PDL）或燃氣計量點（PCE）參考號、客戶 ID 與合約編號。ENGIE 表示不涉及銀行資料，其自身 IT 系統未遭入侵，已切斷攻擊者對該平台的存取，並已告知有關當局。受影響客戶的數量與涉事合作夥伴均未揭露。我們在 ENGIE 自己的網站上未找到關於此事的通知，因此本文依據多家媒體報導的 ENGIE 聲明。本站的結論：對於引用您的合約編號或電表編號來電或來信的人，不要向其提供 IBAN、卡號或驗證碼，掛斷後撥打帳單上的號碼。
佛羅里達州教育部助學金網站資料外洩（約 490 萬人）：社會安全碼可能外洩，該如何因應
2026年10月29日，佛羅里達州教育部宣布，其工作人員於10月19日得知，佛羅里達州學生助學金網站（FloridaStudentFinancialAidSG.org）遭犯罪者未經授權存取。教育部認為事件僅限於該網站，可能影響約 490 萬人。可能外洩的資訊包括社會安全碼、姓名、出生日期、住家地址、電話號碼（含手機號碼）、電子郵件地址，以及性別識別代碼（M 或 F）。並非所有人都一定受到影響。教育部表示，凡是以前曾在佛羅里達州申請助學金的人，都可能受到影響。教育部稱已啟動網路安全應變程序，已通知佛羅里達州檢察總長辦公室，並與佛羅里達數位服務局及佛羅里達州執法局合作。教育部表示，目前的助學金、學費繳納，以及獎學金、補助金與貸款的資格均不受影響。原因尚未公布。本站的結論是：社會安全碼不會改變，因此請查看信用報告，考慮設定詐騙警示或信用凍結，並將任何使用您的姓名、電子郵件或電話號碼且提及此事件的訊息視為可疑。
Frontline Education 資料外洩（學校軟體供應商）：據印第安納州檢察總長列表共 309 萬人，社會安全碼、醫療補助 ID 和學生 ID 受影響，教職員工和家長應如何因應
為美國 K-12 學區提供管理軟體的 Frontline Education 發布了日期為 2026年10月26日的資料外洩公告。公告稱，其安全團隊於 2026年8月14日發現其所用的一款第三方軟體產品存在漏洞，該漏洞自當天起使其環境的一部分遭到未經授權存取，未經授權活動的最後一天是 8月15日。受影響的資料與 Frontline Central 和 School Health Management 兩款產品有關。公司表示，受影響的資料項目包括社會安全碼、出生日期、駕駛執照號碼、護照號碼、其他政府身分證件、醫療補助 ID 與學生 ID，具體適用哪些因人而異。Frontline 表示不知道資料有被濫用的情況，並向美國成年人提供兩年的 TransUnion 信用監控，向未成年人提供網路監控（其事件頁面稱在可用的情況下提供暗網監控）。印第安納州檢察總長的資料外洩列表（2026年11月版）顯示共 3,085,266人（印第安納州居民 66,157人；通知日期10月26日，外洩日期8月14日），而其他五個州（MA、NH、SC、TX、VT）的通報合計曾約 130 萬人（1,298,917人），據 SecurityWeek 報導。學區數量尚未公布。本站的觀點是：如果您在使用 Frontline 的美國學區工作，或孩子就讀於這樣的學區，請假設收到的通知適用於您，設定免費的信用凍結，並將任何引用您的醫療補助 ID 或學生 ID 的電話或電子郵件視為未經證實。
Hana-cupid 會員資料外洩（最多 4,238,242 筆）：使用者 ID、加密密碼與電子郵件地址外洩，會員應採取的行動
2026年10月28日，Hana-cupid Co., Ltd. 宣布，第三方未經授權存取其網路花店服務「Internet Hana-cupid」與「Business Hana-cupid」，導致部分會員資料外洩。根據公司說法，第三方於10月14日（週三）至10月15日（週四）期間未經授權存取其管理系統，公司在調查中於10月19日（週一）確認會員資料外洩。數量為 4,238,242（可能受影響的客戶）。外洩項目為：使用者 ID（登入 ID）、密碼（無法直接使用的加密形式；FAQ 稱之為雜湊）、電腦電子郵件地址與手機電子郵件地址。公司表示，姓名、性別、出生日期、地址、電話號碼、信用卡號、公司名稱、部門名稱與配送地資料並未外洩。範圍僅限於在公司官方線上商店（i879.com、i879.com/biz/）登錄電子郵件地址的會員；透過外部購物商城的訂單、未登錄電子郵件地址的電話訂單，以及在 Hana-cupid 會員花店的購買不在其內。公司表示不持有信用卡資料，無需停卡或重新發卡。公司尚未確認任何二次損害，已於10月28日起逐一寄送電子郵件給受影響會員，並已向個人資料保護委員會與警方通報。起因未說明，公司正與外部專業機構調查。公司表示不打算進行金錢賠償或退款。本站的結論是：若您可能受到影響，請變更密碼，並變更在其他服務重複使用相同 ID 與密碼的帳號。凡是自稱來自 Hana-cupid 或金融機構的訊息，請自行開啟官方網站確認，不要透過其中的連結。
iRhythm 資料外洩（HHS 列示 8,179,772 人）：Zio 患者姓名、保險號碼與裝置序號遭取得，患者該如何因應
美國 Zio 穿戴式心臟監測器製造商 iRhythm Technologies 於 2026年6月15日向美國證券交易委員會（SEC）表示，偵測到對部分託管於第三方的業務應用程式的未經授權存取，資料遭取得。公司在 2026年10月2日的公告中稱，調查發現資料於 2026年6月3日至6月8日間被存取與下載，並於 10月2日開始通知受影響人員。資料包括患者姓名、聯絡資訊（地址、電子郵件地址、電話號碼）、患者帳號、裝置序號、保險號碼、服務日期與出生日期，公司表示這屬於 HIPAA 規定的受保護健康資訊。iRhythm 本身未公布總人數。該事件在美國衛生及公共服務部（HHS）的外洩事件入口網站上列示為 8,179,772 人，SecurityWeek 與 CyberInsider 於 2026年10月29日報導了這一點。先前的州級申報列示德州 298,647 人、南卡羅來納州 69,526 人。公司表示未發現對其產品、臨床或醫療器材系統的影響，且不儲存支付卡或金融帳戶資訊。本站的結論是：如果您是 Zio 患者，請預期會收到使用您的姓名與保險資訊、看起來很真實的訊息，請查看保險公司的對帳單，並考慮設定免費的信用凍結。
JAL、JTA、ANA、大韓航空與韓亞航空的訂位系統供應商遭未經授權存取（JAL/JTA 約 92,000 名、ANA 約 37,800 名客戶）：訂位代號、姓名等，旅客應採取的行動
2026年10月28日，日本航空（JAL）與日本越洋航空（JTA）宣布，10月23日，其旅客服務系統的供應商（一家海外公司）通知兩家航空公司，該供應商的系統遭未經授權存取，部分訂位資料留有被外部檢視的痕跡。涉及期間為2023年8月10日至2026年9月23日。約 90,000 人涉及訂位代號、姓名、搭機日期、航線與艙等；約 2,000 人還有電子郵件地址、電話號碼、護照號碼、國籍、哩程編號、機票號碼、座位號碼等也被檢視。合計約 92,000 人。10月30日，JAL 與 JTA 更新公告，表示已依訂位時登記的電子郵件地址聯絡這些客戶。全日空（ANA）於10月30日公布，在同一期間訂位的約 37,800 人的部分訂位資料留有被檢視的痕跡（其中約 1,700 人包括護照號碼、哩程編號等）。在韓國，大韓航空與韓亞航空於10月23日公告，有跡象顯示部分客戶的訂位代號從同一家公司的訂位系統外洩；兩家公司表示，起因是利用登入認證資訊的未經授權存取，推定發生在2023年8月至2026年9月之間（兩家均未公布人數）。JAL、JTA 與 ANA 表示，不包含信用卡資料與密碼。本站的結論是：即使自稱來自航空公司的訊息準確說出了您的訂位代號、姓名與航班，也不要使用其中的連結或號碼；請在官方應用程式或網站上確認。若您的護照號碼或哩程編號可能涉及其中，請變更哩程帳號密碼，並檢查其兌換紀錄。
Navigate360 資料外洩與 Crime Stoppers 檢舉平台（P3）：檢舉人、檢舉內容涉及的人以及美國通知收件人該怎麼辦
Navigate360 發布了資料外洩通知（該頁面未顯示日期；路透社報導指其於2026年10月23日承認了此次外洩），表示未經授權的一方在2025年11月21日至2026年3月5日期間複製了其一個系統中的資料，可能涉及姓名、地址、出生日期、社會安全號碼及其他資訊。Toronto Crime Stoppers 表示，Navigate360 告知其遭竊資料包含2022年1月至2025年11月的 176,859 則多倫多檢舉，以及這些檢舉中出現的 14,973 個姓名，並於10月22日暫停了受理檢舉。加拿大隱私專員於10月27日對 Navigate360 展開調查。Navigate360 的通知沒有提及 P3 檢舉平台或 Crime Stoppers，也未找到關於人數或檢舉總數的官方數字，Toronto Crime Stoppers 表示其尚未收到遭竊檢舉的文字內容。本站的看法是：若您曾提交過檢舉，請假設其內容可能與您產生關聯，對任何提及該檢舉的訊息保持警覺；若感到有風險，請聯絡警方或律師。
Sony Life 遭未經授權存取，保單資料外洩（Sony Life 自家約 290 萬筆、Medicare Life 約 38.5 萬筆紀錄）：姓名、地址、保單號碼等，要保人該怎麼做
2026 年 11 月 9 日，Sony Life Insurance Co., Ltd. 在第二報中公布，因其系統遭未經授權存取，新確認了資料外洩：自家保險契約的個人資料（保單號碼、姓名、地址、電話號碼等），約 290 萬筆紀錄，包括已終止契約的紀錄；銷售代理的電子郵件地址與代理編號，約 780 筆紀錄；以及自家員工的電子郵件地址與員工編號，約 12,500 筆紀錄。健康狀況與病史等敏感個人資料、My Number、信用卡資訊、帳戶資訊與要保人的電子郵件地址據稱不在其中。這是繼 10 月 28 日第一報（Sony Life 以保險代理身分辦理的 Medicare Life 要保人與被保險人的資料，約 38.5 萬筆紀錄）之後的消息，因此 Sony Life 自家的要保人現在也受到影響。該存取於 10 月 27 日被發現。截至 11 月 9 日尚未確認客戶資料被濫用，但公司提醒提防冒充公司的電子郵件、簡訊與電話。原因尚未公布。本站的結論是：如果你持有或曾持有 Sony Life 的保單，或透過 Sony Life 投保了 Medicare Life 的保單，請假定自己可能受到影響，並透過官方網站上的聯絡方式確認任何訊息，不要使用訊息中的連結或號碼。
哥本哈根大學資料外洩（約52.5萬人）：姓名、CPR 號碼、電話號碼與電子郵件——應如何因應
哥本哈根大學（Københavns Universitet，KU）於2026年10月23日公告，駭客已侵入其一個測試環境。引述該校的一致報導指出，約52.5萬人的資料遭取得：全名、CPR 號碼（丹麥的公民登記號碼）、工作與私人電話號碼以及私人電子郵件地址。在10月25日的更新中，該校表示約2萬名教職員工與學生的身分證 PIN 碼也已外洩，並已發放新的 PIN 碼。報導指出，入侵於10月20日（週二）被發現並獲得控制。該校已告知丹麥資料保護局。10月30日，本站無法開啟該校自己的頁面，因此本文依據上述報導。本站的結論：凡是使用了您的姓名與 CPR 號碼的訊息，都不要視為已獲證實；請透過您自行開啟的管道確認；絕不要應要求提供 CPR 號碼、密碼或 PIN 碼。
White Essence 遭未經授權存取致個人資料外洩（約 105 萬個帳號）：姓名、地址、電話號碼與加密密碼，使用者應採取的行動
White Essence Co., Ltd. 於2026年8月12日宣布，其預約網站與核心系統遭未經授權存取，已暫停系統；10月5日，公司發布題為《關於因未經授權存取導致個人資料外洩的致歉及通知》的公告，公布調查結果。據公司說法，8月5日確認存在來自外部的未經授權存取，8月12日暫停了系統，後續調查發現個人資料已被取走。截至2026年8月5日已登錄的資料中，受影響人數約為 105 萬個帳號（包括客戶、加盟診所人員與總公司員工的合計數）。外洩項目的全部或部分為：姓名、地址、電話號碼、電子郵件地址、出生日期、性別、工作單位、登入 ID 與密碼（加密形式）、服務使用及回應資料，以及公司管理編號。公司表示不持有金融機構帳戶資料，也未確認客戶影像外洩。公司稱起因是預約網站程式中的一項漏洞被利用，並以此為起點未經授權存取了核心系統；公司表示已處理完該漏洞。截至10月5日，尚未確認二次損害，但公司表示可能收到冒充公司或其他企業的可疑電子郵件、電話或郵件。我們的結論是：若您在其他服務使用相同的登入 ID 與密碼，請在那裡變更。即使您的姓名、地址與出生日期都對，也應將自稱來自公司或牙科診所的任何訊息視為未經查證，並透過您自己查到的官方管道確認。
Beauty Garage 與 Eyelash Garage 遭未經授權存取（775,725 筆）：沙龍名稱、電話、電子郵件與密碼雜湊值外洩，如何防範冒充
10月15日，Beauty Garage Co., Ltd. 宣布，其電商網站伺服器以及 Eyelash Garage 的電商網站伺服器在10月10日至12日遭未經授權存取，部分客戶資訊外洩。公司於10月13日發現此事，並在當天查明並封鎖了入侵途徑。根據公司說明，範圍為截至2026年10月10日 23:55，Beauty Garage 與 Eyelash Garage 電商系統中保存的 775,725 筆客戶資料（未提供各品牌的明細）；Eyelash Garage 自己的公告提供的數字是 49,191（與 775,725 的關係未說明）。已確認外洩的主要項目有公司名稱、沙龍名稱、客戶姓名、業務類型、沙龍網址、電話號碼、電子郵件地址、密碼雜湊值，以及密碼重設問題與答案的雜湊值。到目前為止，尚未確認地址與配送資訊、購買紀錄，以及包括信用卡在內的付款資訊發生外洩。公司表示，尚未確認資料被公開或被濫用。兩家公司10月20日的第二次公告表示，電商網站運作正常，並已向個人資料保護委員會通報。原因尚未公開。本站的結論是：據稱來自任一公司或業務夥伴的訊息，不會因為能正確說出您的沙龍名稱或姓名就是真的。任何變更銀行匯款帳戶或追加付款的要求，都請透過官方聯絡方式確認。
So-net 會員資料庫遭未經授權存取（So-net 214 萬筆、plala S-Course 44.3 萬筆）：姓名、電話與出生日期外洩，用戶應採取的行動
2026年10月27日，Sony Network Communications Inc. 宣布，其網路服務 So-net 的會員資料庫遭未經授權存取，已確認發生資訊外洩。根據公司說明，該資料庫於10月19日遭外部存取，公司於10月23日確認並停止受影響的伺服器，10月24日查明外洩的項目與筆數。外洩資訊為：So-net 會員資訊 2,141,986 筆（現會員 1,869,771 筆，2026年3月及之後退會的前會員 272,215 筆），以及 plala（S-Course）會員資訊 443,495 筆（現會員 422,365 筆，2026年3月及之後退會的前會員 21,130 筆）。兩者皆包含姓名、電話號碼、電子郵件地址、用戶 ID、出生日期、性別與網路連線 ID。公司表示，會員資訊中沒有密碼外洩。針對四項郵件服務（Mail Service G、A-Box、Sonnet VAIO Mail 與 PostPet Mail Account Service），郵件密碼也已外洩，合計 54,401 個郵件地址，公司已於10月27日重設這些密碼。另有 16 筆銀行帳戶資訊與 7 筆密碼重設通知資訊外洩，公司表示將個別聯絡相關人員。信用卡資訊未包含在內，公司尚未確認包括 NURO 在內的其他服務發生外洩。原因被表述為第三方的未經授權存取（調查中），入侵途徑尚未公布。本站的結論是：若您使用過這四項郵件服務，請重設郵件密碼，並變更重複使用該密碼的其他服務。即使對方能正確說出您的姓名與出生日期，對於據稱來自 So-net 的訊息，也請透過官方網站或專線電話確認，而不要使用其中的連結或號碼。
Toypo App 遭未經授權存取（據 Toypo 表示，受影響使用者 697,209 人）：手機號碼、姓名與地址外洩，門市 App 使用者該怎麼做
Toypo Inc. 確認，其客戶管理 App「Toypo App」於2026年10月4日遭第三方未經授權存取，並在10月14日的公告中表示，涉及使用者為 697,209 人，其資訊可能已外洩。另一份沒有日期、也沒有人數的 Toypo 公告頁面則稱資訊已外洩。自10月13日起，公司已逐一聯絡相關使用者，包括透過 App 內推播通知。據公司表示，其系統的一部分存在存取控制缺陷，使已通過驗證的使用者能夠取得無權查看的其他使用者資訊，日誌顯示有第三方利用它取得了使用者資訊。該缺陷已修復。可能外洩的資訊為手機號碼與使用者 ID 等識別碼，以及（如已登錄）姓名、姓名假名讀音、電子郵件地址、出生日期、性別與地址。公司稱，密碼等登入憑證、信用卡號等付款資料、點數、到店紀錄以及購買或使用紀錄不在其中，使用者無須更改密碼或在 App 內採取其他措施。目前尚未確認有具體的次生損害。公司已向個人情報保護委員會通報，並正在安排第三方資安評估。在使用該 App 的門市所發布的公告中，JR Kyushu Food Service 稱約 61,500 名註冊會員中約 26,900 人受影響，Mannoya 稱其 Kineya Mannoya 官方 App 的 212 名會員中有 12 人受影響。Toypo 的聯絡電話為 0120-546-030（平日日本時間 9:00 至 18:00；客服中心受理電話至10月30日 18:00，此後請使用 App 內聯絡方式）。本站的結論是：能正確說出您的手機號碼與姓名的訊息，未必是真的。請勿使用其中的連結或號碼，而應透過 App 內聯絡方式或公告中列出的聯絡方式確認。
一番賞ONLINE 的配送資料可能外洩（Bandai Logipal 遭未經授權存取）：姓名、地址與電話號碼，以及會員該怎麼做
2026 年 10 月 26 日，萬代南夢宮控股股份有限公司（BANDAI NAMCO Holdings Inc.）、BANDAI SPIRITS 股份有限公司與 Bandai Logipal 股份有限公司公布（第一報），由萬代南夢宮控股旗下物流子公司 Bandai Logipal 管理的系統遭第三方未經授權存取，此事於 10 月 21 日發現。根據三家公司說法，可能外洩的個人資料是一番賞ONLINE（Ichiban Kuji ONLINE）的配送資料（姓名、地址與電話號碼）；該服務由 BANDAI SPIRITS 將商品配送業務委託給 Bandai Logipal。受影響人數等細節仍在調查中；不含信用卡資料，目前尚未確認有不當使用。10 月 21 日，公司在其物流系統的一台伺服器上發現疑似未經授權存取的痕跡並關閉該伺服器，同日確認有人冒用 Bandai Logipal 的帳戶進行操作。公司於 10 月 24 日停止相關物流系統，並於 10 月 26 日向警方及日本個人資料保護委員會通報。公告表示，相關出貨系統自 10 月 26 日起暫停。未經授權存取是如何發生的，尚未公布。各公司提醒，可能會有與此事件相關的可疑電話與郵寄信件。本站的結論：曾透過一番賞ONLINE 收貨的人，不要回應自稱來自一番賞或萬代的意外電話或信件，如需確認，請使用自行開啟的官方網站上的洽詢表單。
Joshin（原上新電機）遭未經授權存取（最多約 600 萬筆）：會員姓名、地址與電話可能外洩，使用者應採取的行動
Joshin 株式會社於2026年4月1日由上新電機株式會社更名而來。該公司於10月17日宣布，已於10月16日發現未經授權存取，並在採取限制外部存取等措施後，部分服務無法提供（10月19日向東京證券交易所申報）。其10月26日的第二份公告指出，10月16日在其網路中偵測到異常，並採取了將出現未經授權存取跡象的伺服器與網路斷開等措施。根據第二份公告，可能外洩的資訊為：會員資料庫伺服器上最多約 600 萬筆（姓名、地址、電話號碼、會員編號）；Joshin 訂閱服務最多約 23 萬筆（會員編號、電話號碼＋手寫簽名（二進位資料）、登入 ID 與初始密碼、帳單紀錄、合約編號與裝置 ID、啟用碼）；以及裝修照片上傳系統最多約 800 筆（2 張駕照影像、1 張個人編號卡、5 個銀行帳號，以及裝修施工中的照片）。公司表示，這些是可能外洩的資料總筆數，並非確定的外洩筆數。公司不持有包括信用卡資訊在內的付款資料。公司已向日本個人資訊保護委員會及警方諮詢並通報。原因、入侵途徑以及暫停服務何時恢復均未公布。本站的結論是：據稱來自 Joshin 的訊息即使正確說出您的姓名、地址或會員編號，也不代表它是真的。請勿使用其中的連結或電話號碼；請透過公告中列出的聯絡方式或您自行開啟的官方網站確認。
Qzoo 問卷網站資料外洩（約 40 萬筆）：包含銀行帳戶資料在內的會員資料可能外洩，會員該怎麼做
2026 年 10 月 21 日，Monitas 股份有限公司宣布，其問卷網站 Qzoo 遭第三方未經授權存取，會員（受訪者）的個人資料可能外洩。依時間軸，未經授權存取始於 10 月 17 日 8:30；12:22 資料庫透過 SQL 注入遭查閱與更新；18:44 發現並阻斷存取；19:02 服務進入緊急維護；10 月 20 日向日本個人資料保護委員會提出速報。範圍約為 40 萬筆（截至 10 月 17 日 Qzoo 系統中持有的全部筆數）。可能受影響的資料庫存有基本資料（姓名、出生年月日、地址、電話號碼、電子郵件地址等）、會員認證資料（會員 ID、密碼等）、金融資料（帳號、分行名稱、帳戶戶名等）以及問卷回答（年收入、職業等）。具體項目仍在調查中。公司並未持有信用卡資料或 My Number（日本的個人編號）。公司表示，入侵者利用了其系統的漏洞。其他系統未發現遭未經授權存取。本站的看法：今天就更改與 Qzoo 共用的密碼，不要開啟聲稱來自 Qzoo 或銀行之訊息中的連結，也絕對不要把密碼（PIN）或登入資料告訴任何人。同時請檢查你的銀行帳戶交易紀錄。
M3「MR-kun」資料外洩（m3.com 會員等25,775人、製藥企業人員2,260人）：外洩了什麼，以及醫師與製藥企業人員應採取的行動
2026年10月15日及10月23日（第二次報告），M3, Inc. 公告，第三方未經授權存取其為製藥企業營運的服務 MR-kun 的系統，個人資料已外洩。根據該公司說明，其於10月14日確認未經授權存取，並於當天切斷已查明的存取途徑。第二次報告確認的外洩對象為：m3.com 會員等25,775人（姓名、工作單位、部分人員的電子郵件地址、部分與使用 M3 服務相關的資訊，以及客戶製藥企業在該服務中登錄的資訊（負責關係等）；其中6人含電子郵件地址），以及製藥企業人員2,260人（姓名、工作單位、部分人員的電子郵件地址及其他項目；其中264人含電子郵件地址）。其中也包含部分非 m3.com 會員、由製藥企業委託給 M3 的醫師資料。登入密碼與 m3 點數並未包含在內，M3 也不持有信用卡號碼。原因尚未公布。該公司表示尚未發現資料遭公開或濫用。自10月22日起，該公司正透過登錄的電子郵件地址逐一聯絡受影響會員。本站的結論：使用 m3.com 的醫師等人員，不應開啟自稱來自 M3 或製藥企業負責人之訊息中的連結，也不要提供密碼或銀行帳戶資料。
Pizza Hut Japan 線上訂餐資料外洩：電子郵件地址、電話號碼與登入工作階段權杖外洩，顧客該怎麼做
2026年10月23日，在日本經營必勝客的 Pizza Hut Japan Ltd. 宣布，第三方未經授權存取與日本必勝客線上訂餐服務相關的系統，部分顧客資訊外洩。根據公司的說法，10月19日公司確認第三方未經授權存取與線上訂餐服務相關的付款 API（在系統之間交換付款相關資訊的機制），並從含有顧客資訊的資料庫取得部分資訊。已確認外洩的資訊為顧客 ID、電子郵件地址、電話號碼、與已刪除顧客資訊相關的紀錄、工作階段登入權杖與交易紀錄。信用卡資料不在其中。受影響人數未公布。公司表示，原因與完整影響範圍仍在調查中。公司已封鎖攻擊所用的 IP 位址、處理了漏洞，並向日本個人資訊保護委員會提交初步報告。目前尚未確認二次損害，但公司提醒注意冒充公司或必勝客的可疑電子郵件、簡訊與電話。本站的結論：凡使用過 Pizza Hut Japan 線上訂餐的人，都不應開啟自稱必勝客的訊息中的連結，並應在自己開啟的官方 App 或官方網站查看訂單紀錄。
樂天旅遊（Rakuten Travel）遭未經授權存取（最多約 260 萬筆）：海外飯店訂房的姓名、聯絡資料與部分信用卡資料受影響，使用者該怎麼做
2026年10月26日，樂天集團（Rakuten Group, Inc.）宣布，已確認外部第三方對其子公司 Rakuten Travel Xchange 管理營運的樂天旅遊海外飯店訂房網站部分頁面，以及樂天集團營運的多語言訂房網站進行未經授權存取。在海外飯店訂房頁面（事件1）中，異常於9月10日被偵測到，系統修正於9月16日完成。遭未經授權存取的資訊包括：最多約 260 萬筆已登入顧客紀錄的姓名、電子郵件地址、電話號碼與內部 ID 編號；以及最多約 4 萬筆已訂房顧客紀錄的姓名、聯絡資料、居住國家/地區、訂房內容與同行者姓名；其中最多約 3.6 萬筆還涉及付款資訊（發卡機構識別碼與卡號末四碼、持卡人姓名、有效期限與卡片品牌）。完整卡號、安全碼、密碼、身分證件與地址不在其內（依訂房者項目的註記）。在多語言訂房網站（事件2）中，異常於10月20日被偵測到、10月21日修正，最多約 86 萬筆已登入顧客紀錄的電子郵件地址與內部 ID，以及最多約 4 萬筆在管理畫面登錄的住宿設施人員紀錄的帳號名稱與電子郵件地址受影響。原因、涵蓋期間與是否補償均未公布。本站的結論：要求您重新輸入卡號或付款的訊息，即使正確說出您的訂房或卡號末四碼，也不代表是真的。請勿使用電子郵件或簡訊中的連結，請在樂天旅遊 App 或已加入書籤的官方網站確認訂房。
FortiBleed（FortiGate 憑證外洩，約 74,000 台裝置）：並非新漏洞，管理員與 VPN 密碼必須更換
FortiBleed 是 FortiGate 管理員與 SSL VPN 憑證的大規模外洩與濫用事件。FortiGate 是 Fortinet 的防火牆與 VPN 設備。2026 年 6 月 18 日，CISA 警告與約 74,000 台裝置相關的憑證已經外洩。6 月 19 日，Fortinet 表示這並非新漏洞，活動可能涉及重複使用先前事件的憑證，以及對採用弱密碼且未啟用多因素驗證之裝置進行暴力破解。6 月 23 日，JPCERT/CC 發布通報，表示已確認外洩資料包含與日本企業相關的資訊。10 月 6 日，FBI 與美國特勤局警告活動仍在持續，部分管理員已被鎖在設備之外，且此入侵途徑已被用作勒索軟體的切入點。升級至修補後的韌體並不會使已外洩的密碼失效。本站結論：若您使用 FortiGate，請更換管理員與 VPN 密碼、強制啟用多因素驗證、將管理介面移出網際網路，並移除管理員密碼的舊版 SHA-256 副本。
Fujicco 活動報名資料可能外洩（約 15,500 筆）：姓名、地址、家庭資訊，以及報名者應該怎麼做
2026 年 10 月 22 日，日本食品製造商 Fujicco Co., Ltd.（以卡斯比海優格與昆布產品聞名）宣布，其委外處理活動報名的廠商伺服器遭外部人士未經授權存取，報名者的個人資料可能已外洩。該存取於 10 月 21 日被發現，伺服器隨即關閉。資料範圍涵蓋 2026 年 5 月起舉辦的兩項活動於非會員報名表單中輸入的個人資訊：卡斯比海優格系列「もっと！とろぉ～もっちキャンペーン 第2弾」，以及「Fujicco 大感謝祭活動」。報名筆數總計約 15,500 筆，包含同一人重複報名的情況。資料項目為姓名、年齡、性別、職業、婚姻狀況、家庭組成、電話號碼、電子郵件信箱、地址與問卷回答。駕照、信用卡與銀行帳號不在其中。以 Fujicoin 會員身分、明信片或 X 報名者不受影響。目前未確認資料已被公開或遭濫用，但公司將這些資料視為已被第三方取得。本站的結論是：透過受影響表單報名的人，不應支付運費或手續費，也不應在被要求時重新提交收據或重新輸入個人資料，如有疑問，請依官方通知上的電話向活動窗口確認。
Green Monster 旗下 FX Navi 應用程式可能外洩資料（約 619 萬筆紀錄）：電子郵件與問卷回答在列，使用者應該怎麼做
2026 年 10 月 23 日，Green Monster Inc.（東京證券交易所 Growth，157A）宣布，其 FX 模擬交易應用程式 FX Navi（FXなび）的使用者資訊可能遭外部人士取得（第一報）。10 月 17 日，該公司發現有外部人士未經授權存取該應用程式，隨即展開調查。在調查中，公司發現自 4 月 27 日約 20:26 至 4 月 30 日約 14:26，一名使用不同 IP 位址的外部人士可能持續取得該應用程式的使用者資訊。公司表示，尚未確認 10 月 17 日的存取本身造成外洩。約 619 萬筆紀錄可能遭取得，其中包括非個人資訊的資料。取得的項目可能包括電子郵件地址（66,003 筆）、暱稱、性別、年齡層、職業類別、X（前 Twitter）ID（6,434 筆）、自我介紹文字、圖示影像 URL、首次啟動問卷回答（4,809,631 筆）、裝置 ID、登入憑證、帳號移轉代碼（5,120 筆）、推播通知識別碼、廣告 ID、來源 IP 位址，以及交易結果等使用資料。姓名、地址、電話號碼、出生日期、信用卡、銀行帳戶與 My Number（日本國民編號）不是使用者可登錄的項目。公司表示，原因是應用程式 API 的某項功能；公司已修正該 API 功能與登入憑證，並使修正前發出的所有登入憑證失效。尚未確認有二次損害。本站的結論是：FX Navi 使用者不應開啟自稱來自公司或相關公司之電子郵件或 X 訊息中的連結或附件，並應將所有投資邀約視為詐騙。
Lindt Japan 線上商店與官方應用程式會員資料外洩（3,147,469 筆）：姓名、地址、電話、出生日期與雜湊密碼外洩，會員應採取的行動
2026年10月23日，瑞士巧克力製造商 Lindt & Sprüngli 的日本分公司 Lindt & Sprüngli Japan 宣布，為其提供線上商店平台並管理會員資料的外部公司系統遭未經授權存取，線上商店與 Lindt 官方應用程式的 3,147,469 筆會員資料外洩。根據承包商的報告，承包商伺服器上所用軟體的一項漏洞於 2026年10月17日 23:02 至 10月18日 0:16（日本時間）遭利用。外洩項目包括會員編號、姓名、電子郵件地址、郵寄地址、電話號碼、出生日期、性別、電子報設定、登錄店鋪、登入密碼（以雜湊方式儲存），以及姓名讀音、註冊日期與最後登入時間等其他會員資料。信用卡等付款資料未包含在內。截至10月23日 11:00，尚未確認有任何濫用情形。線上商店自10月21日 16:00 起暫停營運，重新開放時會要求會員變更密碼。受影響會員將從10月26日起收到電子郵件。本站的結論是：會員不應依照據稱來自 Lindt 的電子郵件、簡訊、電話或信件中的指示行事，若在其他服務使用相同密碼，應立即變更。
Piccoma電子報電子郵件地址外洩（1,002,404筆紀錄）：僅電子郵件地址曝光，以及使用者應採取的行動
2026年10月24日，運營日本漫畫應用程式 Piccoma 的 Kakao piccoma Corp. 公告，其用於發送電子報的電子郵件發送系統 blastmail（由 RAKUS Lite Cloud Corporation 提供）遭第三方未經授權存取，曾收到一次電子報發送的 1,002,404 個客戶電子郵件地址外洩。Piccoma 於10月24日從發送服務的通報中得知此事。外洩的僅為登記以接收電子報的電子郵件地址；公司表示已確認客戶管理編號與最近購買日期並未包含在內。密碼從未提供給 blastmail，因此不可能外洩；Piccoma 也不持有姓名或信用卡資料。Piccoma 應用程式、網站及公司自有系統未遭存取，帳號、密碼與購買資料未受影響。目前尚未確認 Piccoma Novels 電子報有外洩情形。公司已停止電子報，變更設定使 blastmail 發出的電子郵件不被視為 Piccoma 的正當郵件，並已向日本個人資料保護委員會通報。公司表示將逐一聯絡受影響的客戶。本站的結論：收到 Piccoma 電子報的人，不應開啟自稱來自 Piccoma 或出版社之電子郵件或簡訊中的連結，應在應用程式中自行確認，且絕不應在電子郵件中輸入密碼或卡號。
Value Card 預付卡平台資料外洩（142 萬筆紀錄，MOS Card 紀錄 113 萬筆）：卡號、PIN 與餘額外洩，持卡人應如何處理
2026 年 10 月 23 日，於東京證券交易所成長市場上市的 PayCloud Holdings 宣布，其子公司 Value Design Inc. 向卡片發行商提供的內部電子貨幣（店家預付卡）發行服務 Value Card 伺服器遭第三方未經授權存取，導致 1,424,748 筆 ID 號碼、PIN 與餘額資訊外洩（其中 569,224 筆為已發行 ID，855,524 筆為未發行 ID，即尚未由使用者購買的 ID）。該存取已於 10 月 19 日確認，原因是第三方利用子公司系統環境部分區域的網頁伺服器弱點。未涉及個人資訊；已發行 ID 遭誤用的風險已獲處理，目前沒有因誤用而產生的實際損害。同日，經營 MOS Burger 連鎖店及其 MOS Card 預付卡的 MOS Food Services, Inc. 宣布，其簽約營運及維護 MOS Card 伺服器的 Value Design 系統遭未經授權存取，導致 1,133,070 筆 MOS Card 紀錄外洩（16 位卡號、6 位 PIN 與餘額；流通中約 57 萬張，尚未流通約 56 萬張），並已強制重設與外洩卡號相關的 PIN。姓名、地址、電話號碼與信用卡資料未包含在內。其他哪些發行商的卡片受影響，尚未揭露。本站結論：MOS Card 持卡人應檢查使用紀錄中是否有不認識的扣款；若線上查詢餘額等功能失效，請聯絡專用客服專線；且絕不要把 PIN 或卡號提供給任何索取者。
FANCL與Attenir線上商店資料外洩（368,184與417,312名會員）：姓名、地址、電話與生日曝光，會員應如何因應
2026年10月16日，日本化妝品與健康食品公司FANCL Corporation與Attenir Corporation宣布，兩家公司的線上商店於10月3日至10日間遭外部人士未經授權存取，部分會員資料已外洩。內部調查於10月15日發現此次存取，兩家公司已找出並停止造成問題的功能。外洩資料涵蓋FANCL會員368,184人的393,785筆紀錄，以及Attenir會員417,312人的441,162筆紀錄。項目包括電子郵件地址、姓名、地址、電話號碼、出生日期、性別、客戶編號、副電子郵件地址及其密碼（部分會員設定的二次密碼，以雜湊形式儲存；主密碼未包含）、安全問題項目（答案未包含），以及點數與會員等級等其他註冊資料。信用卡等付款資料未包含。目前未確認任何遭濫用或次生危害。FANCL的常見問題表示，受影響的客戶已於10月17日透過註冊電子郵件聯絡。本站的結論是：兩家公司的會員應假設其姓名、地址、電話與生日已被掌握，不應依照自稱來自兩家公司的電子郵件、簡訊、電話或信件指示行事，並應透過官方網站或共同客服專線查證。
Trustbank 旗下「故鄉選擇」（Furusato Choice）遭入侵，4,454,097 筆會員紀錄外洩：姓名、地址與雜湊密碼——捐款人應採取的行動
2026年10月20日，經營日本「故鄉納稅」（furusato nozei）捐款制度主要網站「Furusato Choice」的 Trustbank, Inc. 宣布，外部人士未經授權存取了會員資料，捐款人的個人資料已外洩。公司於10月19日注意到異常存取情形後，發現未經授權存取發生於10月17日，並於10月19日15:50關閉相關服務。公司確認的外洩範圍涵蓋 4,454,097 筆會員紀錄：姓名、電子郵件地址、郵寄地址、電話號碼、雜湊密碼及估計的捐款稅額扣除金額。在10月23日的第二次報告中，公司表示其中五位捐款人另有資料外洩，包括點數紀錄、捐款紀錄、出生日期及配送地址。其中兩人的「我的頁面」畫面（顯示已儲存的信用卡資訊：末四碼、持卡人姓名、有效期限）遭外部人士存取。公司表示，卡片資訊每次顯示該畫面時都會向付款處理商調取，並未儲存於其系統中，且單靠這些資訊無法完成信用卡付款。自10月21日起，公司已逐一以電子郵件通知會員其資料是否外洩及外洩項目。在10月26日的第三次報告中，公司表示已於當天開始逐步恢復供市政府與回禮廠商使用的捐款管理系統（同日的常見問題則稱自10月25日起）。目前不受理新的捐款，面向捐款人的網站尚未設定恢復日期。所有會員的密碼均已失效，服務恢復後須設定新密碼。本站的結論：如果會員在其他服務上使用相同的電子郵件與密碼組合，應更改該服務的密碼；對於聲稱來自 Furusato Choice 或市政府的訊息，不應開啟其中的連結。
and ST HD 個資外洩（約 250 萬筆客戶資料）：可能外洩的內容與會員該怎麼做
2026 年 10 月 23 日，and ST HD Co., Ltd. 發布公告，表示第三方未經授權存取其業務伺服器，部分客戶、交易對象與員工的資料可能外洩。據該公司說明，自 10 月 22 日上午 7 點 30 分左右（日本時間）起，其數台伺服器陸續遭到登入嘗試、入侵與資料取出；公司於上午 10 點左右發現異常活動，隔離了伺服器，並在下午 5 點前切斷了存取路徑。可能外洩的資料包括約 250 萬筆客戶資料（姓名、出生日期、性別、地址、電話號碼、電子郵件地址與會員 ID），以及約 1 萬筆交易對象資料（公司名稱、訂購與退貨地址、聯絡人姓名、電話號碼與電子郵件地址）；員工資料的範圍仍在確認中。公司表示，信用卡資料等付款資料，以及客戶自行設定的密碼，並不包含在內。and ST 網路商店未受此次未經授權存取影響，但會員點數目前無法在店面或網路商店使用。公司表示將陸續聯絡受影響的客戶與交易對象，並設立諮詢窗口。本站看法：既然公司表示不含密碼，今天的重點不是更改密碼，而是對以該公司或其品牌名義、並附上您真實地址或出生日期的訊息保持懷疑。請透過官方 App 或自己開啟的網站確認。
blastmail 電子郵件發送服務遭未經授權存取（全部客戶的帳號資料，以及 345 份契約的寄送名單等資料）：電子報收件人與委託組織該怎麼做
RAKUS Co., Ltd. 子公司 RAKUS Lite Cloud Co., Ltd. 提供的電子郵件發送服務 blastmail 遭外部第三方存取，資料被取出。該公司於 2026 年 10 月 21 日上午 0:30 緊急停止服務，母公司 RAKUS 於同日發布第一報與第二報。根據公告，第三方入侵兩台 API 伺服器並執行指令，再連線至業務管理系統與服務資料庫，取出資料。從業務管理系統取出的是全部客戶的公司名稱、聯絡人姓名、電話號碼、電子郵件地址、帳單用電子郵件地址，以及契約與付款紀錄。該公司表示未持有信用卡號。另已確認部分客戶的收件人名單等寄送資料外洩。該公司在 10 月 26 日 17:00 的更新中表示，又發現一件，此情形涉及的契約增至 345 份，並已逐一個別聯絡所有相關客戶。入侵途徑調查中，該公司在 10 月 30 日 12:00 的更新中表示數字仍為 345 份，目標於 11 月 11 日前後恢復服務（可能變動）。在委託組織的公告方面，新潟日報表示，其「新潟日報 Passport」服務全體會員最多約 253,000 人的資料外洩，包含姓名（片假名）、電子郵件地址、性別與年齡層；JR 四國表示約 30,000 筆資料可能外洩；橫濱市公布三項相關的郵件服務；環境省公布六份電子報，日本石油勘探（JAPEX）公布其電子報與投資人活動邀請郵件的收件人可能受影響。giftee 表示已確認其契約不在截至 10 月 23 日統計的 288 份之內。本站結論：收到這些組織電子報的人，即使寄件人名稱無誤，也不要開啟連結，應透過官方網站確認。使用 blastmail 的組織應確認是否已收到聯絡，決定是否向個人資訊保護委員會報告（與該公司的聯合報告：第二輪申請至 11 月 5 日）以及是否通知本人，並提醒自家員工留意自稱來自 blastmail 或 RAKUS 的請款或重新登入郵件，因為全部客戶的聯絡資料已被取出。
Medley 診所系統 @link（at-link）遭未經授權存取：患者姓名、出生月日、登入 ID 與密碼外洩——患者與診所該怎麼做
2026年10月15日，Medley, Inc. 公布第三方未經授權存取其醫療機構管理系統 @link（at-link）、面向患者的 at-link App 及相關服務，並表示已從10月14日深夜起暫停這些服務。據該公司表示，10月11日外部專業機構通報可能有未經授權存取，公司隨即展開調查，並確認有此存取。10月23日該公司表示，已確認第三方在2026年9月下旬至10月中旬，透過擅自植入的程式存取公司資料庫並取得資訊，個人資料已外洩。對於使用 at-link App 或網路預約的患者，外洩項目為姓名、姓名讀音（furigana）、出生月日、電子郵件地址（僅限有登錄者）、App 與網路預約的登入 ID 與密碼、就診診所名稱、登錄日、最後就診日，以及信用卡付款紀錄（僅付款日與金額；僅限透過 App 線上付款者）。對於未使用 App 或網路預約的患者，外洩項目為姓名、furigana、出生月日、就診診所名稱、登錄日、最後就診日，以及 App 與網路預約的登入 ID 與初始密碼。該公司表示未持有信用卡號。受影響的診所數與人數仍在調查中；該公司將與診所合作，依序通知受影響者。該公司未公開具體手法，稱公開可能招致同類攻擊。已封堵路徑並使所有相關認證資訊失效，並已向個人情報保護委員會與厚生勞動省報告。App 與網路預約的密碼不會沿用，服務重啟時使用者需設定新密碼。在10月28日12:30更新的公告中，該公司表示，面向診所的「@link Cloud beta」已於10月28日起在部分診所開始試用（試用功能：預約的查看與登錄、患者資訊與看診日曆），面向患者的 App、網路預約網站及其他服務仍處於暫停狀態，並預定在11月內退還暫停期間的費用。對原因與範圍的調查仍在持續。本站看法：使用過 at-link App 或網路預約的人，應在重複使用該密碼的服務上更改密碼，且不要點開提及診所或就診的訊息中的連結。診所應將患者詢問引導至該公司的專用窗口。
日本經濟新聞（Nikkei）遭未經授權存取（約 183 萬筆）：約 15 萬筆含姓名、電子郵件地址等個資外洩——使用者該怎麼做
日本報社 Nikkei Inc. 於 2026 年 10 月 16 日公告，其用於系統開發的雲端服務遭未經授權存取，截至 16 日，約 183 萬筆個人資料外洩。其中約 15 萬筆至少含有姓名、電子郵件地址、郵寄地址、電話號碼或出生日期之一，這些資料中約 12 萬筆含電子郵件地址。其餘約 168 萬筆僅為單獨無法識別個人的識別碼。信用卡資訊未包含在內。據該公司表示，存取雲端服務所用的憑證以某種方式遭竊，未經授權的存取發生在 10 月 7 日凌晨至上午。該公司已停用被使用的憑證，並於 10 月 11 日向日本個人情報保護委員會通報。截至 16 日，尚未確認資料遭濫用等二次傷害，也未確認系統中斷或資料遭竄改。該公司表示，將個別通知已確認個資外洩的人。集團公司 Nikkei National Geographic 於 10 月 22 日表示，部分其服務使用者的資訊也在其中。哪些服務的使用者受影響、各資料項目的筆數，以及憑證如何被竊，皆未公開。本站看法：對於自稱 Nikkei 的郵件或電話，不要使用其中的連結或電話號碼，請至官方網站確認。
Treasure Factory（Trefac）資料外洩（746,277 筆電子郵件紀錄）：到府收購與 Trefac Moving 的客戶該怎麼做
2026 年 10 月 23 日，日本二手商品零售業者 Treasure Factory Co., Ltd. 公告，外部人士未經授權存取該公司用於受理與處理到府收購服務（出張買取）及 Trefac Moving 服務申請的案件管理系統，並取得其中部分客戶等資料。根據該公司的適時揭露，已確認的資料為 746,277 筆客戶紀錄（電子郵件地址，其中 11 筆另含姓名與地址）、750 筆往來廠商、員工等人的姓名與電子郵件地址紀錄，以及 1,000 筆往來廠商、員工等人所用裝置的姓名與裝置識別碼紀錄。信用卡號等付款資訊未包含在內，門市與該公司 App 的客戶資料由其他系統管理，未受影響。該公司於 10 月 20 日透過存取紀錄檢查確認此次存取，並於當天切斷外部存取及申請表單。該公司認為是與資料庫存取有關的漏洞遭到利用，並表示此事件與近期公開的 PHP 漏洞無關。目前尚未確認有二次損害。系統與申請表單預定於 10 月 28 日前後重新啟用。本站結論：只要曾申請過到府收購或 Trefac Moving，就應假設自己的電子郵件地址已被他人得知，不要點開自稱來自 Trefac 的郵件中的連結，改到官方網站確認。
Capcom CAPCOM ID 外洩（11,774,247 筆）：電子郵件地址與登入相關資料外洩——帳號持有人該怎麼做
2026 年 10 月 22 日，Capcom Co., Ltd. 公布，其線上會員服務 CAPCOM ID（用於 Capcom 網路服務及部分線上遊戲的共用帳號）遭第三方未經授權存取，部分客戶資訊外洩。外洩的資料為電子郵件地址與系統專用識別資訊（帳號建立日期時間、最後登入日期時間、登入次數、最後登入時使用的用戶端 IP 位址），全球共 11,774,247 筆。其中 43 筆另外洩漏出生日期、性別、國家／地區與暱稱。196 個帳號的登入密碼遭未經授權變更，公司已重設這些密碼。依 10 月 23 日的第二次公告，在這 196 個帳號中，有 19 個（位於日本）的 e-Capcom（該公司在日本的線上商店）帳號頁面遭未經授權的第三方存取，下列資料外洩：姓名、姓名的日文假名、電話號碼、郵遞區號、地址、性別、出生日期、購買紀錄、e-Capcom 洽詢紀錄及已儲存的通訊錄資訊。其餘 196 個帳號中的 177 個，公司未發現因密碼變更而有資訊遭洩漏。公司表示，未確認客戶自行設定的密碼外洩，信用卡資訊也不在受影響的資料之內。據公司表示，10 月 19 日發現疑似未經授權存取的痕跡，立即開始封鎖存取並調查原因與範圍，當天確認有未經授權存取；10 月 20 日確認資料外洩與密碼遭變更；10 月 21 日向警方及日本個人資料保護委員會通報。公司表示已查明並處理攻擊手法，但未公開原因的細節。第二次公告表示，影響範圍的調查已完成，並將持續監控 CAPCOM ID 及相關服務。使用 CAPCOM ID 的服務及所有遊戲仍可使用。公司表示將個別聯絡受影響的客戶，並為各地區設立專屬客服窗口。本站看法：CAPCOM ID 持有人不要點開自稱來自 Capcom 的電子郵件或簡訊中的連結，不要在電話中透露個人資料，應更改在其他地方重複使用的密碼，並開啟雙重驗證。
Comic Cmoa 會員資料外洩（日誌檔最多約420萬筆）：電子郵件與出生日期遭洩漏，使用者應如何處理
經營日本電子書商店 Comic Cmoa（コミックシーモア）的 NTT Solmare 股份有限公司，自2026年10月15日首次公告至10月21日第四次報告，共發布四則有關服務遭未經授權存取的公告。根據該公司表示，10月15日它判斷外部很可能已對其伺服器進行未經授權的存取，並於11:35暫停服務。在10月16日的第二次報告中，公司表示已確認會員資訊管理系統中的會員資料已外洩給第三方（筆數仍在檢視中）。在10月18日的第三次報告中，公司表示已找出入侵途徑與攻擊手法並正在處理，且部分系統日誌檔也曾被檢視並取走。在10月21日的第四次報告中，公司將已確認外洩的資料描述為會員資料庫中的319筆註冊資料（電子郵件、雜湊密碼、暱稱、出生日期、性別），以及系統日誌檔中最多約420萬筆紀錄（電子郵件、暱稱、出生日期、性別；不含密碼；可能包含同一人的重複紀錄）。公司表示受影響系統中不保存信用卡資料，且未外洩；並表示尚未確認購買紀錄外洩，以及 MY Bookshelf（使用者書架）有外洩、遺失或損害。公司表示已完成找出並阻斷入侵途徑與攻擊手法，但未揭露其內容。受影響者將透過電子郵件聯繫。服務目前暫停中，將分階段恢復，首先恢復已購作品的網頁閱讀；恢復時所有使用者都將被要求重設密碼。本站的看法：若您在其他服務上使用與 Comic Cmoa 相同的電子郵件與密碼，今天就應更改該密碼；不應開啟聲稱來自該公司的電子郵件中的連結；並應自行開啟 NTT Solmare 的新聞稿頁面進行查證。
岩井コスモ證券外包廠商資安事件（4,975名客戶）：外洩了什麼、非預期下單與客戶應採取的行動
2026年10月16日，日本證券商岩井コスモ證券股份有限公司透過母公司岩井コスモホールディングス的即時揭露（適時開示）宣布，其用於營運與維護線上交易系統的外包廠商系統遭第三方存取，4,611名線上交易客戶的姓名、電子郵件地址及其他資料（氏名、メールアドレス他）已外洩。公司於10月14日偵測到該存取。在10月20日的第二次通知中，公司表示經重新檢視存取與通訊紀錄，另有364人，總數增至4,975人；公司稱這並非後續存取所致。外洩資料不包括交易密碼（PIN），公司表示無法用於登入帳戶或進行交易。第二次通知也揭露，10月14日交易管理系統同時遭到攻擊，7個帳戶出現客戶並未意圖的下單（其中5筆已成交）。這些交易已被撤銷，客戶不需負擔任何費用。公司表示外洩的個人資料未被用於這些交易。公司說已找出並修補允許存取的漏洞，外包廠商也增加了管理功能的存取限制等措施。具體方式尚未揭露。本站的看法：對於聲稱來自岩井コスモ的訊息，請勿點擊其中的連結或撥打其中的電話；請從自己開啟的登入頁面查看下單與成交紀錄，如有疑慮，請撥打官方專線（0120-405-546）。
Ymirlink Cuenote FC 電子郵件發送服務遭未經授權存取（累計資料增至約 5,163 萬筆）：Express 預約與 smartEX 會員資料也包含在內，電子報收件人與客戶企業應採取的行動
2026 年 10 月 26 日，Ymirlink, Inc.（東證成長市場，4372）針對其電子郵件發送服務 Cuenote FC 遭未經授權存取一事發布第二份報告，表示 49 個系統發生資料外洩，累計共 51,628,280 筆資料。公司在 10 月 19 日的第一份報告中估計受影響的是五個系統、累計約 900 萬筆；在檢視所有系統的紀錄後，公司於 10 月 25 日在另外 42 個系統上發現了未經授權存取與資料匯出的紀錄。仍有 16 個系統的外洩筆數在調查中，累計總數可能再增加。公司將事件歸因於某個函式庫的漏洞，並表示已確認其支援與品質管理人員的憑證遭取得、惡意程式遭安裝，以及攻擊者利用登入時擷取的工作階段資訊進行了未經授權的登入。在其客戶管理系統 Cuenote BASE 中，有 190 筆客戶合約資訊（公司名稱、姓名、電話、電子郵件地址）可被檢視。公司表示，尚未發現外洩的個人資料遭公開或濫用的跡象。在客戶企業中，JR 東海、JR 西日本與 JR 九州於 10 月 26 日公告，雖然起初被告知其 Express 預約與 smartEX 服務未受影響，但透過該服務收到郵件之會員的電子郵件地址、會員 ID、姓名（片假名）與會員類別已經外洩。三家公司在 11 月 5 日的第二份報告中表示受影響人數為 172,735。AsMarq 同日表示，已被告知其使用環境中登錄的部分資料很可能已遭未經授權取得。10 月 27 日 21:00，Bandai Namco Entertainment Inc. 與 BANDAI SPIRITS Co., Ltd. 宣布，Bandai Namco ID 郵件服務的 THE GUNDAM BASE MEMBERS 環境中有 346,247 筆紀錄（電子郵件地址及用於管理 Bandai Namco ID 的內部識別碼）外洩；兩家公司表示其中不包含姓名、地址、購買紀錄、登入密碼與信用卡資料，其他環境仍在檢查中。兩家公司表示，就此發出的郵件中不會包含 URL。DCM Holdings（其會員計畫「Maibo」的電子郵件發送）在 10 月 30 日的第二份報告中表示，已確認影響 753,272 名會員的外洩（截至 10 月 29 日），涉及電子郵件地址、會員 ID、姓名、性別、出生年月和居住的都道府縣；不含密碼、信用卡資訊以及點數餘額或歷史。本站的結論是：Express 預約與 smartEX 會員即使收到顯示自己片假名姓名或會員 ID 的郵件或簡訊，也不要開啟其中的連結，應透過官方應用程式或已加入書籤的官方網站確認。電子報收件人不應開啟聲稱來自寄件者的郵件中的連結。客戶企業應向 Ymirlink 確認其環境是否受影響，並決定是否須向個人資訊保護委員會通報及通知當事人。
Recruit 旗下 Carsensor.net 與 C-MATCH 遭未經授權存取（最多 3,709,551 筆）：曾聯絡車商的人之姓名與地址可能外洩，使用者與車商應採取的行動
2026 年 10 月 21 日，Recruit 股份有限公司宣布，其中古車刊登網站 Carsensor.net（含應用程式）及為中古車商提供業務支援服務的 C-MATCH，其使用者與業務合作對象的資訊，可能因未經授權存取而外洩。根據該公司說明，其於 10 月 17 日偵測到外部對 Carsensor.net 相關系統的可疑存取，並於當日約 17:00 起暫停所有相關服務。10 月 20 日，該公司確認了可能外洩的個人資料項目與筆數（最多）。總筆數最多為 3,709,551 筆：其中透過網站聯絡車商者 3,210,421 筆（多為姓名與地址；地址原則上僅到市或區），曾發表評論者 5,289 筆，註冊於 C-MATCH 的車商 483,168 筆（業務人員姓名與電話、二手車商許可證字號、登入 ID 等；個人事業主另含自動扣款銀行帳戶資訊），以及公司員工與承包商、銷售代理的職員 10,673 筆。上述資料均不包括信用卡等支付資料，也不包括登入密碼。原因為第三方未經授權存取，詳情仍在調查中。該公司已向日本個人資料保護委員會提出初步報告，並將依序個別聯絡受影響者。截至 10 月 21 日，尚未確認有二次損害。服務自 10 月 22 日約 13:00 起分階段恢復，先從已確認安全的服務開始。本站的看法是：曾透過 Carsensor 聯絡車商的人，應假設來信、電子郵件與電話可能來自知道其姓名與地址的人，不應開啟意外聯絡中的連結或附件，並應透過 Recruit 的公告頁面進行確認。
H2O ID個資外洩事件（約126萬筆）：阪急百貨、阪神百貨預約網站遭未授權存取，住址、電話與出生日期外洩，會員應如何處理
2026年10月19日，H2O Retailing株式會社與株式會社阪急阪神百貨聯合發布公告，表示阪急阪神百貨經營的阪急阪神百貨預約網站、HANKYU HANSHIN E-STORES與Remo Order遭第三方未授權存取，部分顧客個人資料外洩。10月16日，兩家公司確認預約網站顧客管理系統遭未授權存取，並停止該網站整體系統；10月17日，確認E-STORES與Remo Order也遭未授權存取，並停止兩者。10月19日確認，顧客管理系統中管理的約126萬個H2O ID，其部分個人資料已外洩。公告表示，幾乎所有H2O ID會員的部分個人資料都已外洩。已外洩項目包括H2O ID、姓名（漢字與片假名）、性別、電子郵件地址、郵遞區號、住址、手機號碼、電話號碼、年齡、出生日期，以及使用H2O ID的服務。至於E-STORES與Remo Order是否有資料外洩，仍在調查中；兩公司列出這些服務持有的資料為訂單紀錄、部分信用卡資訊（卡別、末四碼、持卡人姓名、有效期限）、部分點數卡資訊，以及收件人通訊錄資訊。兩公司未持有完整卡號與安全碼。尚未確認登入密碼外洩，也未確認有遭濫用或二次傷害。原因仍在調查中。E-STORES已於10月19日14:00恢復營業。本站的看法：預期會出現知道你的姓名、住址、電話、出生日期與所用服務的可信訊息；請勿點開連結，並透過你自行開啟的官方網站或公告中的聯絡方式確認。
NIFTY 線路申請系統遭入侵（最多 542,513 筆紀錄）：會員編號、姓名、地址與電話號碼可能外洩——光纖用戶應該怎麼做
2026 年 10 月 19 日，日本網路服務供應商 NIFTY Corporation 公布（第一次報告），確認有來自外部的未經授權存取，針對其線路申請與受理管理系統。根據該公司，它於 10 月 19 日約 10:20 確認該未經授權存取，並立即阻斷來源的存取。該系統是公司用來登錄資訊的內部管理工具，與客戶直接申請所使用的網站（申請表單等）是分開的。最多 542,513 筆紀錄可能受影響。涵蓋 2019 年以來申請線路的客戶（不含公司網站），適用服務為 @nifty Hikari、@nifty MAX Hikari 與 @nifty au Hikari Plus。可能外洩的項目包括會員編號、姓名、性別、出生日期、地址、電話號碼與電子郵件地址；這是可能外洩的完整項目清單，實際外洩了什麼仍在調查中。該系統不持有銀行帳戶或信用卡資料，不在範圍內。公告未提及密碼。原因尚未公布；公司正與外部專家共同調查，並正在向日本個人資訊保護委員會通報。本站的看法是：2019 年以來申請過上述任一服務的人，應假設可能會有知道您姓名、地址、電話號碼與出生日期的人與您聯絡，並且不要點擊自稱來自 NIFTY 的電子郵件、簡訊或來電中的連結或照做其指示。請透過您自行查找的官方聯絡方式確認。
網站建置服務 Studio 遭未經授權存取:全體使用者資料與表單送出內容可能外洩——表單填寫者與網站管理者該怎麼做
2026年10月16日,Studio Inc. 公布,第三方對其使用的雲端環境進行未經授權存取,網站建置服務 Studio 所有註冊客戶的資料可能外洩。該第三方利用 Studio 部分功能的弱點進入該環境,並使其資料可從外部取得。目前確認的未經授權存取期間為2026年9月30日至10月1日(日本時間);該公司於10月13日在內部調查中發現,並於10月13日至14日完成弱點修補與路徑封閉。可能外洩的資料包括帳號資料(使用者名稱、電子郵件地址、雜湊後的密碼等)、設計編輯器與 CMS 的內容、以 Studio 建置之網站所送出的表單內容、即時預覽 URL、API 整合中登錄的外部服務 API 金鑰與權杖、密碼保護頁面的密碼,以及 Webhook 通知 URL。部分加密儲存的資料也可能被讀取,因為解密所需的金鑰在同一次存取中被讀取。該公司尚未確認第三方是否實際取走資料,但視同已被取走處理。受影響人數與是否發生濫用仍在調查中。以 Studio 建置網站的企業與組織也表示,經由其表單送出的個人資料可能外洩:Luup 為 21,368 筆、Link-U Group 為 7,663 筆、TRUSTART 約 1,440 筆、埼玉縣的埼玉綠森博物館為 162 筆。日本數位廳於10月22日表示(Studio Inc. 於10月16日向其通報),該廳網站聯絡表單在2021年5月至2023年3月間填入的洽詢內容(五個類別,最多的類別達 8,833 筆;合計最多 13,323 筆,為本站加總)以及 35 筆 Studio 帳號資料可能外洩。關於向日本個人資料保護委員會(PPC)通報,Studio Inc. 於10月17日先請表單使用者暫緩個別通報,10月20日表示與 PPC 協商後,客戶可選擇個別通報,或與 Studio 共同通報(無論何者,是否通知當事人仍由客戶自行決定)。10月19日,該公司在說明頁面補充:即使是業務推銷、垃圾訊息或令人擔憂安全的回覆,只要含有可識別個人的資訊,原則上仍須通知當事人。本站結論:若您曾在以 Studio 建置的網站送出表單,請查看該網站管理者的公告,並且不要點開提及您所送內容的訊息中的連結。網站管理者請依 Studio Inc. 所示順序更改密碼並更換整合金鑰。
Burger King Japan App 資料外洩（約 1,118 萬筆）：姓名、出生日期與電話號碼外洩——會員該怎麼做
2026 年 10 月 15 日，經營日本 Burger King 的 BK Japan Co., Ltd. 宣布，其營運的官方 Burger King App 遭第三方未經授權存取，且已確認 App 會員資訊外洩。存取時間為 2026 年 10 月 2 日至 10 月 7 日，外洩於 10 月 13 日確認。約 1,118 萬筆 App 會員資料受影響。外洩項目包括會員 ID、電子郵件地址、註冊類型、都道府縣、性別、出生日期、姓名（漢字與片假名）、電話號碼、是否有行動點餐紀錄，以及電子郵件地址是否已驗證。公司表示未持有信用卡號碼，因此未外洩；截至目前尚未確認登入密碼資訊外洩。詳細原因正與外部專業機構調查中，發布通知時尚未確認盜用等二次損害。截至 10 月 17 日尚無後續公告。本站的看法：預期會有能說出你的姓名、出生日期與電話號碼的可信訊息；不要點擊其中的連結，改在你自己打開的官方 App 中確認。若你把出生日期當作 PIN 碼或密碼，請更換。
SourceNext 會員資料外洩（22,519,960 筆紀錄）：電子郵件、密碼與地址可能曝光，會員應該怎麼做
2026 年 10 月 15 日，SOURCENEXT CORPORATION 公布，有第三方未經授權存取其管理的會員資料，已註冊會員的個人資料已外流至公司之外。據公司表示，約自 10 月 9 日 10:00 起，第三方濫用會員資料擷取 API 取得會員資訊；公司於 10 月 13 日約 9:00 確認未經授權存取，並於同日 13:36 完成遏止。可能外洩的紀錄為 22,519,960 筆。項目包括電子郵件地址、密碼、姓名、片假名姓名、地址、性別、電話號碼、傳真號碼、出生日期、公司名稱、職稱、部門及系統識別資料（訂閱服務、註冊日期、登入日期等）；各會員的項目因註冊方式而異。公司表示，受影響系統未儲存信用卡資料，因此不在外洩範圍內。在 10 月 16 日的更新中，公司表示所有會員的密碼已被停用，舊密碼無法再使用，並請會員設定新密碼。一則 10 月 19 日的報導將加密儲存及已確認的解密後曝光，歸於公司發言人的說法。公司的常見問題表示，已於 10 月 16 日請獨立的外部資安專家展開第三方調查；其 Super Security 與 Virus Security 產品可照常使用；存放於 1Password 的資料不由公司持有，也不屬於此次外洩範圍。本網站的看法：曾在 SourceNext 註冊的人，應先更改其他使用相同電子郵件與密碼之服務的密碼，再透過自行開啟的官方網站設定新的 SourceNext 密碼；對於自稱來自 SourceNext 的電子郵件、簡訊、電話或信件中的連結與號碼，請勿點選或撥打。另外，公司於 10 月 27 日與 11 月 5 日公布，第三方未經授權存取了其所用電子郵件發送服務的提供方（委託方），因此用於發送的電子郵件地址與訂單資訊可能已外洩（11 月 5 日第二報為 142,669 筆紀錄，以不重複的電子郵件地址計算；密碼、姓名、地址、電話號碼與信用卡資訊不在其中）。公司表示這是與 10 月 15 日事件無關的另一起事件。
IDARE 資料外洩（129,659 人）：餘額、交易紀錄與部分證件號碼外洩——使用者該怎麼做
2026 年 10 月 13 日，Fivot Inc. 宣布其無現金應用程式 IDARE 遭未經授權的第三方存取，導致個人資料外洩。公司用於客服等工作的外部軟體存在漏洞，遭到利用，公司資料庫中的資料於 8 月 10 日至 9 月 27 日間多次被取得。受影響者為截至 9 月 27 日已註冊的 129,659 人，包括已關閉帳戶的人。對所有人而言，外洩資料包括電話號碼、電子郵件地址、出生日期、使用者 ID、顯示名稱、帳戶設定與狀態、餘額、交易紀錄，以及 IDARE 卡上的姓名與有效期限。對部分人而言，還包括為身分驗證提交的姓名、地址、性別、使用目的與證件號碼、IDARE 卡號後 4 碼、儲值用信用卡的前 6 碼與後 4 碼、儲值用銀行帳戶後 3 碼、實體卡的啟用碼，以及為 LADDER（已於 2021 年 10 月結束的借貸服務）輸入的年收入與雇主資訊。登入密碼、證件與臉部影像、My Number、完整卡號、安全碼、PIN 與完整帳號均未涉及。公司表示尚未確認有任何盜刷交易，且登入需要多重驗證。在 10 月 21 日的第二份報告中，公司表示截至該日仍未確認盜刷交易，並列出附有期限（10 月 30 日與 11 月 30 日）的防範措施。由外部專業機構進行的第三方調查預計於 11 月下旬至 12 月初完成，公司表示完成後將公布報告。本網站的結論是：單憑外洩的資料無法用來登入或付款，但正確說出你餘額或近期消費的訊息，並不能證明它是真的。請勿透過訊息送達的管道處理自稱 IDARE、卡公司或銀行的訊息，也絕不要把密碼、PIN、安全碼或驗證碼交給任何人。
SpeeCAN RAIDEN 外洩事件（2026）：災害通知電子郵件使用者與詐騙風險
2026 年 10 月 13 日，Arcadia Inc. 公告，其電子郵件等訊息的大量發送服務 SpeeCAN RAIDEN 遭第三方未經授權存取，聯絡人姓名、電子郵件地址、電話與傳真號碼、承辦人員與合約資訊，以及以歷程形式保存的已發送訊息內文，可能已外洩。最大數量為電子郵件地址約 313.6 萬個、電話號碼約 10.5 萬個、傳真號碼約 1.5 萬個（皆為推估，仍在調查中）。Arcadia 於 10 月 11 日 16:30 發現可疑活動，於 10 月 12 日 3:00 前後實施暫時性封鎖，並於 10 月 13 日 11:00 關閉作為入侵途徑的服務（raiden3，以及 Raiden School 的 s2）。10 月 14 日，公司將 NET119 與 119RAIDEN 加入可能外洩的範圍；10 月 16 日的第 11 次更新依服務列出數字：NET119 為與 9,020 個電子郵件地址相關聯的姓名、出生日期、住址等個人資料（公司確認需特別留意的敏感個資未外洩）；119RAIDEN 為約 97,000 個電子郵件地址及其他資料。暫停的服務已於 10 月 15 日 15:00 前後恢復。公司不處理付款資料。各地方政府已發布各自的公告；靜岡市表示，已確定 34,336 名登記居民的電子郵件地址等資料外洩，並已發現冒充信用卡公司的假郵件，其寄件網域與真實警報相同，皆為 @raiden.ktaiwork.jp。10 月 21 日的第 17 次更新中，Arcadia 表示，惡意程式於 10 月 13 日 1:17 至 7:16 之間從其系統發送了 1,423,428 封網路釣魚郵件，其中至少 869,575 封寄往公司未持有的地址，並將由外部機構進行暗網調查。公司也已以電子郵件通知客戶與經銷商，說明將代為向個人資料保護委員會及總務省提出報告。10 月 22 日的第 20 次更新中，公司告知客戶登入時必須使用兩步驟驗證以防止再發，10 月 23 日的第 22 次更新中則要求 Raiden School 的客戶比照辦理。公司隨第 21 次更新於 10 月 23 日發布的報告指出，原因包括：透過發布附件的媒體伺服器之弱點取得設定檔，導致服務間登入所用的祕密金鑰外洩；所有服務皆在可能外洩的範圍內；數量仍在調查中（其中 NET119 為 9,020 個）。公司已委託第三方資安機構進行詳細調查。在 11 月 2 日 17:00 的第 25 次更新中，公司表示除 10 月 13 日的發送之外，10 月 22 日與 23 日也有疑似網路釣魚郵件從其系統向外部發送。它給出兩個原因：10 月 11 日至 13 日入侵期間外洩的郵件發送 API 帳號，其密碼被暴力破解並從外部被使用；在 API 串接被停止後，又有人利用 URL 解析混淆弱點再次濫用該 API。公司表示，10 月 22 日約 6:30 停止了 API 串接，10 月 23 日約 10:30 修補了該弱點，未經授權的郵件隨之停止。11 月 6 日 16:15 的第 26 次更新表示，正在恢復在第 19 次更新中停止的對外部系統的 API 串接功能；恢復時客戶需要進行設定，公司正逐一通知相關客戶。本站結論：無法從寄件者分辨真偽，因此請勿封鎖災害通知的寄件者，也不要點開要求確認信用卡或個人資料的郵件中的連結。
Commune 未經授權存取事件（依社群計算為 166,505 名會員）：企業社群會員資料外洩——會員與營運者應採取的行動
2026年10月9日，Commune Inc. 宣布，其面向企業的社群服務 Commune 與 Commune for Work 遭外部第三方未經授權存取，部分社群的會員資料外洩。外洩時段約為10月5日18:00至10月6日21:00，以及10月7日13:17至14:36（日本時間）。該公司首次通知時表示，最多可能受影響約 307,000 人（以不重複的人數估計）。10月21日的後續說明中，該公司在詳細調查後確認，166,505 名會員受影響（依各社群的會員 ID 加總計算，因此同時參加多個社群者會被重複計算；此數字包括該公司經營的社群與測試／示範社群，並排除攻擊者建立的帳號），其中 125,601 名會員的資料包括電子郵件地址遭外洩。其他會員外洩的資料包括顯示名稱、個人檔案與私人群組成員資格。另有 144 名會員在未經其操作下，密碼被改為臨時密碼。該公司確認未有密碼本身或私訊外洩，且公司未持有支付資料。公司認為事件起因於不當取得的私人社群邀請連結，以及假冒管理員。使用本服務經營社群的客戶公司也已發布通知；JMAM 表示，其 Toki Labo 社群的會員檔案中的姓名、地址、年齡與電話號碼亦已外洩。為防止外洩的電子郵件地址遭濫用，Commune Inc. 於10月10日00:50起緊急維護並暫停所有社群，並採取措施，例如強制管理員帳號使用雙重驗證。10月16日，該公司宣布將分階段重新開放社群，優先開放提出要求的客戶，且僅限網頁瀏覽器版本，部分功能受限（App、以電子郵件新註冊，以及「忘記密碼」重設功能仍無法使用）。該公司表示，在維護與測試期間未發現新的未經授權存取或外洩。10月21日的後續說明也指出，公司已於10月9日向總務省（關東總合通信局）提交初步報告，已開始諮詢警方，在分析所有紀錄後，未發現攻擊者遺留的程式、帳號或設定，並正在籌備由第三方機構進行的鑑識調查。本網站的看法：請查閱經營您所屬社群之公司的通知，以確認您是否受影響，並且不要點擊聲稱來自該社群的電子郵件中的連結。
Baitoru 外洩事件（最多約 389 萬筆電子郵件地址）：僅電子郵件外洩，會員如何辨識假面試通知與求職詐騙
2026 年 10 月 9 日，dip Corporation 宣布其在日本經營的 Baitoru 與 Baitoru NEXT 求職網站，於 10 月 6 日確認遭第三方未授權存取，部分會員電子郵件地址外洩。可能外洩的地址數量最多為 3,885,771 筆。該公司表示，外洩的只有電子郵件地址，姓名、電話號碼、密碼與信用卡資訊並未包含在內。公司將原因歸於來自海外的未授權存取，該存取利用了其部分系統功能規格上的缺陷。公司已封鎖所有來自海外的存取，並修改了程式。目前尚未確認資料已在網路上公開，也未確認遭到濫用。受影響會員已於 10 月 6 日在服務內收到通知，並正以電子郵件及其他方式逐一聯絡。截至 10 月 10 日，尚無後續公告。本站的看法：即使只有電子郵件地址外洩，這些地址仍已知屬於求職網站會員。對於面試時間或應徵確認的訊息，請不要點開連結，應改在自己打開的官方應用程式中確認。也不要轉到其他通訊軟體，也不要回應「高薪、當天領薪」之類的提議。
Bookoff 會員資料外洩（6,383,279 人）：姓名、地址、電子郵件與密碼雜湊值可能外洩——會員該怎麼做
2026 年 10 月 9 日，BOOKOFF GROUP HOLDINGS LIMITED 公布，第三方未經授權存取了由其子公司 BOOKOFF CORPORATION LIMITED 提供的日本 Bookoff 會員管理系統，會員資料已外洩至公司外部。根據 10 月 13 日的第二次通報，會員資料於 10 月 4 日至 6 日間遭從外部取走。依會員編號計算為 6,427,735 筆；若將以同一電子郵件地址登錄的會員紀錄視為同一人，則為 6,383,279 人（其中 212,371 人為已退會會員）。受影響者為 App 會員、線上商店會員與網站會員；僅使用會員卡、未透過 App 或網站註冊者不在其內。可能外洩的資料為姓名、出生日期、性別、職業、暱稱、電子郵件地址、電話號碼、郵遞區號與地址、密碼雜湊值、點數卡號與會員編號（職業與暱稱於 10 月 16 日更正時新增），但並非每位會員的所有項目都外洩。信用卡資料等付款資料、銀行帳戶資料、門市收購時從身分證件讀取的文字，以及郵寄收購的身分證件影像，均不在其內。公司自 10 月 15 日起分批以電子郵件通知受影響會員（寄送至所有確認可送達的地址，已於 10 月 22 日完成），並請會員變更官方線上商店與 App 的密碼。10 月 23 日，公司公布於 Bookoff 會員網站新增網頁查詢功能，會員可登入確認自己是否受影響，並表示已於 10 月 22 日開設專用免付費專線。公司在 11 月 6 日的第三次通報中表示，與外部專家進行的調查發現，第三方利用了處理會員資料的系統中部分功能的存取控制問題（系統架構、設定等技術細節不予公開）。根據第三次通報，影響範圍（服務、人數、項目）與第二次通報相同；10 月 26 日至 29 日，公司也透過官方 App 的通知向受影響會員個別說明。目前尚未確認會員資料遭公開、點數遭濫用或會員資料遭竄改；公司表示，若確認點數因本事件遭濫用，將全額補償。公司預計於 12 月初向個人資訊保護委員會提交正式報告。本站看法：凡是透過 App 或線上商店註冊的人，應透過官方 App 或自己開啟的網站變更密碼，並變更其他共用同一密碼的服務，也不要點開自稱來自 Bookoff 的電子郵件或簡訊中的連結。
Daiichikosho 承包商電腦感染惡意程式（約 872 萬筆資料）：Big Echo 等會員的姓名、生日與電話可能外洩，該怎麼辦
2026 年 10 月 8 日，第一興商股份有限公司（Daiichikosho Co., Ltd.）宣布，一家受其委託處理個人資料的公司通報，其中一名員工使用的一台電腦感染惡意程式，第一興商的顧客資訊可能已外洩。與委外業務相關的個人資料曾暫存於該台電腦。相關紀錄涵蓋約 8,631,000 名以會員身分登記或在店內預約的顧客（Big Echo、Mega Big、卡拉OK CLUB DAM、Banana Club、B-GARAGE 與 DK Dining，已扣除重複資料），以及約 93,000 名員工，合計約 8,724,000 筆。項目包括姓名（登記姓名）、性別、出生日期、電子郵件地址與電話號碼。密碼未包含在內，公司表示僅憑這些資料無法使用點數。目前尚未確認實際有資料流出到外部、遭濫用，或對公司自身系統造成影響。免付費諮詢專線已於 10 月 9 日開通。公司在 10 月 26 日的補充說明中表示，正透過簡訊等方式依序個別聯絡可能受影響的顧客，並公布了發送號碼（NTT Docomo、au 與 Rakuten Mobile：05036052572，可能顯示為 +815036052572；SoftBank：247473）。公司表示，此次聯絡並不代表發現了新的外洩，也尚未確認本事件導致實際的外部洩露或濫用。公司也表示，僅憑發送號碼並不能保證簡訊是真的。11 月 6 日，公司公布了外部專業機構的鑑識調查結果：在委外廠商使用的終端上確認了惡意程式感染及與外部伺服器的未經授權通訊，該惡意程式具有將終端內資訊傳送到外部的功能，但無法確定實際傳送到外部的資訊內容與範圍。目前尚未確認本事件導致個人資料外流或遭濫用。未發現遭遠端操控的痕跡，且在調查開始時該惡意程式的功能已被無害化。公司仍持續逐一通知可能受影響的顧客。本站觀點：對於自稱 Big Echo 或 DAM、內容涉及優惠券、會員續約或點數的訊息，或自稱第一興商的簡訊，不要點開連結；請透過官方 App 或自行開啟的官方網站確認，並停止把生日當成 PIN 碼或密碼。
JR東日本、VIEW Card與JR九州可能發生電子郵件外洩（2026）：應採取的行動
2026年10月9日，東日本旅客鐵道株式會社（JR東日本）、VIEW Card股份有限公司與九州旅客鐵道株式會社（JR九州）各自公布，其用來寄送會員電子郵件的外部服務，因雲端服務供應商發生未經授權存取而受到影響，無法排除會員電子郵件地址及其他資料已被閱覽或取得。受影響人數分別為：JR東日本的eki-net會員上限約167萬人與大人的休假俱樂部會員上限約39萬人；VIEW Card的VIEW's NET使用者約403萬個電子郵件地址；JR九州的JR九州Web會員上限約130萬人。eki-net、VIEW's NET與JR九州Web會員僅涉及電子郵件地址；大人的休假俱樂部會員則另包括會員編號、信用卡有效期限與出生日期。姓名、地址、電話號碼與卡號不在範圍內。雲端服務供應商表示，自10月7日凌晨開始的障礙是第三方勒索軟體攻擊所致。供應商於10月14日的第5份報告中表示，在受影響區域的虛擬伺服器中，未發現資料遭查閱或帶離的跡象，並判定沒有資料對外洩漏。JR九州於10月15日接獲上述調查結果後公布，未確認JR九州Web會員電子郵件地址外洩。JR東日本的eki-net網站也表示，電子郵件發送服務公司於10月15日報告，已判定eki-net會員的個人資料未外洩（10月19日查核）。至於大人的休假俱樂部會員與VIEW Card，截至10月19日，本站在各公司網站上未找到後續說明。雲端服務供應商於10月27日的第7份報告中表示調查已完成，並指出原因是其客戶管理入口網站的認證系統所使用的開源軟體存在漏洞。其關於虛擬伺服器內資料未對外洩漏的判定並未改變。本站的看法：JR九州表示未確認外洩，eki-net表示已接獲通知，未發生eki-net會員個人資料外洩。即便如此，以本事件為藉口的偽造郵件仍可能寄來。請勿從郵件中的連結登入，應透過官方應用程式或您自行儲存的書籤確認。
NewsPicks 資料外洩（持卡人姓名與卡號末幾碼，最多 362,000 筆）：內部管理工具遭入侵的經過與使用者應採取的行動
2026 年 10 月 8 日，Uzabase, Inc. 宣布，用於營運新聞服務 NewsPicks 的一個管理工具遭第三方未經授權存取，部分使用者的個人資料可能已外洩。該公司 10 月 9 日的第二次通知表示，入侵利用了該管理工具的一項漏洞，並提供各項目的最大估計筆數：用於網路付款的部分卡片資料（持卡人姓名及卡號末 3 或 4 碼等）362,000 筆；電子郵件地址 323,000 筆；職級類別 273,000 筆；所屬單位 65,000 筆；姓名 59,000 筆；其他。該公司表示，完整卡號與安全碼從未儲存於其系統中，也未外洩，且尚未確認有密碼外洩。目前未確認有二次損害。本站看法：訊息中引用你的卡號末幾碼或你的任職單位，並不代表它是真實的。請不要開啟連結，透過官方 App 或你自行開啟的官方網站確認，並留意你的信用卡帳單。
skyticket（Adventure Inc.）資料外洩事件（約 1,464 萬筆紀錄）：密碼、退款銀行帳戶資料與部分用戶信用卡資料遭洩漏——用戶今天應該做什麼
2026 年 10 月 9 日，Adventure Inc. 宣布旗下旅遊比價與訂票網站 skyticket 發生三起各自不同途徑的未經授權存取事件。第一起中，某管理功能遭到濫用，並以此為起點進入其他伺服器與雲端資料；約 1,464 萬筆紀錄外洩，包括姓名（含護照上的拼法）、出生日期、電子郵件地址、電話號碼、地址，以及銀行轉帳所用的匯款人姓名，其中約 413 萬筆含有雜湊過的會員密碼。第二起中，某業務管理系統的漏洞遭到利用，17,780 筆紀錄（含重複，仍在統計中）外洩或可能外洩，內容包括退款用銀行帳戶資料。第三起中，巴士訂位完成頁面在未登入的情況下可以顯示，約 12,000 筆訂位已被或可能已被檢視。公司起初表示信用卡號未在外洩資料之列，但在 10 月 16 日的第二次公告中更正：2017 年 2 月至 2018 年 6 月間，為支付「skyticket Premium」會員費而登錄或使用信用卡的最多 6,140 人，其信用卡號、持卡人姓名與有效期限（部分人僅卡號）在第一起事件中外洩，另包括作為 Premium 福利提供之福利服務的會員 ID、姓名與密碼。護照影像未外洩；截至 10 月 9 日的公告，已確認的次生損害僅有一次會員帳戶遭未經授權登入（第二次公告並未說明外洩的信用卡資料是否已遭濫用）。本站的看法：會員應今天透過官方網站或應用程式變更密碼；若在其他服務重複使用同一密碼，也應一併變更；若在該期間登錄或使用信用卡支付 Premium 會費，請檢查 10 月起的帳單；忽略關於退款、賠償或訂位變更的訊息；絕不向任何人提供銀行提款密碼或一次性驗證碼。
PhotoGoods（大光印刷）付款頁面遭植入竊卡程式：2026年8月6日至9月11日期間付款者應如何處理
2026年9月16日，大光印刷股份有限公司宣布其經營的服務 PhotoGoods（photo-goods.com）遭未經授權的第三方存取，並表示付款頁面上已被安裝可非法擷取信用卡資料的程式。該程式自8月6日起運作，至9月11日移除。在此期間於付款頁面輸入卡片資料的人（包括未完成購買者），其卡號、有效期限與安全碼可能外洩，連同姓名、地址、電話號碼、電子郵件地址，以及由會員密碼衍生的資訊（以轉換後的形式保存）。公司表示已確認未經授權的存取是透過系統漏洞及濫用檔案上傳功能所致。受影響人數與實際範圍仍在調查中，截至10月7日尚無後續通知。本站的看法：在此期間輸入過卡片的人，應請發卡機構更換卡號，並更改與 PhotoGoods 共用同一密碼的其他服務密碼，同時不要點擊「致歉」或「退款」訊息中的連結。
如何確認密碼是否外洩：安全使用 Have I Been Pwned，以及瀏覽器和手機內建的檢查
確認密碼是否外洩的指南。Have I Been Pwned（HIBP）會告訴你某個電子郵件地址是否出現在已知的外洩資料中、來自哪個服務、外洩了哪些種類的資料。它的密碼檢查（Pwned Passwords）會在你的裝置上把密碼雜湊化，只送出雜湊值的前五個字元，因此密碼本身不會被送出（HIBP API 文件）。本站的看法：目前使用中的密碼，請在已經保存它們的地方檢查（Google 密碼管理工具、iPhone 的「密碼」App、Edge 的 Password Monitor 或你的密碼管理器），而不是輸入到網站上；HIBP 則用來檢查電子郵件地址。「查無結果」並不能證明什麼都沒外洩。
大和證券委外廠商遭入侵（約11萬名客戶、22萬筆紀錄）：可能外洩的內容與客戶應採取的行動
2026年10月5日，日本主要證券商之一的大和證券股份有限公司宣布，該公司用於管理客戶線上詢問的服務委外廠商伺服器遭到未經授權存取。詢問紀錄中，約11萬名客戶的姓名、電子郵件地址、帳號及其他資訊可能已外洩；若加上無法識別個人的詢問，共涉及約22萬筆紀錄。存取時間約為10月2日晚上8時33分至10月3日上午8時01分，公司表示未發現大和自身系統遭未經授權存取。公司表示，這些資料無法用於存取帳戶或進行交易（包括線上交易），截至10月5日，未發現因此產生的不法交易，也未發現資料遭公開或擴散。10月6日，委外廠商方面發布了自己的通知：同一伺服器上最多五家客戶公司環境中的詢問資料，依每筆詢問計算最多713,126筆，可能已遭取走。同樣由該委外廠商提供服務的Citizen Watch（約10萬人）、Sompo Japan（依每筆詢問計算約6萬筆）與ORIX Life Insurance（約26,500筆）也宣布，其客戶資料可能已外洩。本網站的看法：請預期會出現知道你的帳號與過去詢問內容的假訊息。切勿從電子郵件或簡訊中的連結登入；請從書籤或官方應用程式登入，並在該處檢查訊息匣與操作紀錄。
丹麥 CPR 居民登記資料遭不當查詢（約 880 萬人）：外洩了什麼，居民與授予查詢權限的機構該怎麼做
2026 年 10 月 5 日，丹麥研究、教育與數位化部宣布，未獲授權的人士濫用一家丹麥民營公司在民事登記系統（CPR）中查詢資料的合法權限，取得約 880 萬名登記人士的姓名、地址、CPR 號碼等資料，其中包括在世、已移居國外及已故的人士。CPR 登記的人數約為 1,100 萬。CPR 管理單位於 10 月 2 日晚間注意到 9 月期間有異常活動，並停止了該公司的權限。已登記姓名與地址保護的人士，其姓名與地址未被納入。據丹麥媒體報導，10 月 9 日 CPR 管理單位提醒 1,039 家擁有查詢權限的公司遵守其安全規則，部長承認安全措施不夠好。媒體另報導，查詢帳戶曾使用密碼 123456；此說法尚未獲官方證實。本站的觀點：知道你的姓名、地址和 CPR 號碼的來電者，仍可能是詐騙者。居民絕不應分享 MitID 資料或一次性驗證碼，企業也應停止把這三項資料當作身分證明。
infoQ 問卷網站資料外洩（894,082 筆）：外洩了什麼，會員該怎麼做
2026 年 10 月 5 日，GMO Research & AI 股份有限公司宣布，其問卷網站 infoQ 遭第三方未經授權存取，會員個人資料遭取出。公司於 10 月 14 日的第二次通報中，確認取出的筆數為 894,082 筆（第一次通報稱最多為 948,498 筆）。取出的項目包括姓名、姓名讀音（furigana）、性別、出生年月日、電子郵件地址、住家地址、電話號碼、加密後的密碼、會員編號，以及暱稱與點數餘額等其他登錄資料。公司表示未持有信用卡資料或個人編號（My Number，日本國民編號）。此外，價值 2,869,500 日圓的 611 筆點數，在未經會員同意的情況下被兌換為 Amazon 禮品碼，公司表示將全額補償（服務恢復後入帳至會員帳戶）。公司於 10 月 7 日使所有會員的密碼失效。公司表示，入侵者利用了網站所使用軟體的一項漏洞。本站的看法是：外洩資料包含出生年月日與地址，製作看似真實的假訊息相當容易。請更改與 infoQ 共用相同密碼的其他服務的密碼；為電子郵件帳號開啟兩步驟驗證；並且不要開啟聲稱來自 infoQ 的訊息中的連結。
MrMax app 與網路商店遭入侵（最多約 174 萬人）：姓名、電子郵件與電話號碼外洩，會員應該怎麼做
2026 年 10 月 6 日，日本折扣商店連鎖業者 MrMax Co., Ltd. 宣布，其營運的 MrMax app 與網路商店伺服器遭第三方未經授權存取，部分會員個人資料外洩。截至 2026 年 10 月 3 日登記為會員的最多 1,735,154 人受影響。外洩項目為會員編號、姓名、電子郵件地址與電話號碼（依各會員登記的內容而異）。公司表示，已確認地址、出生日期、信用卡資料、密碼與購買紀錄未外洩。公司於 10 月 3 日晚間注意到可疑存取，立即暫停服務，並於當日阻斷外部存取。公司表示，第三方濫用了構成服務之軟體的某項功能，藉此進入伺服器。截至通知發布時，尚未確認外洩資料遭濫用造成任何損害。本站的觀點：預期會出現使用你姓名的逼真電子郵件、簡訊與電話。不要點開其中的連結，請自行開啟官方 app 或網站確認，並且絕對不要提供密碼或卡號。
樂天雲端硬碟遭入侵（15,382 個帳號的儲存資料）：哪些內容被存取，使用者該怎麼做
2026年10月6日，雲端儲存服務樂天雲端硬碟宣布，第三方非法取得該服務所用部分系統之管理帳號的認證資訊，並存取系統、取得及檢視資訊。受影響者包括：2026年1月29日至9月17日間，15,382 個帳號的儲存資料（包括照片與文件）；8月27日，687 個帳號的帳號名稱、顯示名稱及大頭照網址；同日，313 個帳號的帳號名稱、顯示名稱、加密後的密碼、密碼加密時附加的字串及大頭照網址。該服務表示，目前未確認有任何二次損害，並將以電子郵件或其他方式個別通知受影響的使用者。在 8月13日的更新中，該服務曾就7月30日出現的可疑推播通知表示，當時尚未確認有未經授權的第三方存取儲存資料。本站的看法是：與密碼不同，檔案內容一旦被看過就無法收回。請確認是否收到通知、把你儲存過的身分證件或合約視為已被看過、更改密碼，並且不要回應自稱樂天雲端硬碟的訊息、付款要求或威脅。
Abahouse 個資外洩：訂單內容可能外流，以及如何應對假退款郵件
2026年10月2日，Abahouse International Co., Ltd. 宣布，其內部系統遭未經授權存取，據信為海外第三方所為，可能外洩會員ID、姓名、地址、電話號碼、電子郵件地址、出生日期、性別，以及訂單內容（下單日期與時間、商品名稱、金額和配送地址）。由於公司無法完全掌握遭取走的資料範圍，公司於10月2日根據購買紀錄等資料，寄信給其判斷可能受影響的顧客。會員資料在會員離會一個月後刪除，但基於法律與會計理由，過去的訂單紀錄會保存一段時間；公司表示無法排除這些訂單曾遭存取，已離會會員也收到同一封郵件。目前尚未公布受影響人數。信用卡號與安全碼由支付處理業者管理，目前未確認外洩。此事件是在數名顧客回報收到與其真實訂單相符的可疑退款郵件後曝光。在10月9日的後續說明中，公司表示入侵途徑已遭切斷，未確認進一步擴散，已向警方提出損害報告，且尚未接獲財務損失的回報。遭取走的資料範圍與原因細節仍與外部專家共同調查中。本站的看法：郵件內容正確，並不代表它是真的。請勿點擊「退款」或「缺貨」郵件中的連結，也不要轉至LINE；請改在My Page查看您的訂單紀錄。
Lashinbang 個資外洩：身分證件號碼與收款銀行帳戶資料可能外洩（未外洩證件影像）——賣家應該怎麼做
2026年10月1日，Lashinbang Co., Ltd.宣布，2026年9月14日至16日間，其營運的某項服務遭到未經授權存取，可能外洩姓名、地址、電話號碼、電子郵件地址、出生日期與職業，以及申請收購（客戶將物品賣給店家）時所輸入的身分證件種類與號碼、銀行名稱、分行、帳號與戶名、收購同意書影像，以及收購與訂單明細。該公司表示，信用卡資訊與密碼未外洩，且其不收集日本個人編號（My Number）。10月9日的補充說明中，該公司補充表示，包括駕照在內的身分證件影像未外洩。通知中另新增一段說明，指出受影響者為收到公司個別電子郵件的人。截至2026年10月10日，件數與原因尚未公布。本站的看法：僅憑帳號與戶名無法提領款項，但若有人以您的帳戶資料、身分證號碼或真實的收購細節來讓聯繫看似可信，請勿回應。切勿向任何人提供密碼（PIN）、登入資訊或驗證碼；若您的身分證件號碼外洩，可考慮向日本的信用資訊機構進行本人申報。
Seicomart應用程式資料外洩（約57.5萬名會員）：姓名、地址與出生日期遭檢視，會員應該怎麼做
2026年9月29日，經營日本Seicomart便利商店連鎖的Seicomart股份有限公司宣布，第三方透過Seicomart智慧型手機應用程式背後的伺服器，未經授權存取了存放會員資料的伺服器。公司於10月5日發布的第四份通知表示，受影響的帳號為透過應用程式註冊的Club會員中的574,647人，而在9月24日前已退出Club Card計畫的人不在其中。遭檢視的項目包括姓氏與名字、性別、出生日期、地址、電話號碼、電子郵件地址，以及加入與退出Club Card計畫的日期。密碼資料與購買紀錄未外洩，公司也不持有信用卡資料。自10月5日起，公司透過應用程式通知，告知每位應用程式會員是否受影響。公司已停止新會員註冊、檢視與變更會員資料，以及變更登錄卡片的應用程式與網頁功能；相關申請現改由門市或表單處理。原因尚未公開。本站的看法是：外洩的是一組無法更改的個人資料，最可能的下一步是冒充公司的詐騙郵件、簡訊與電話。請查看應用程式的通知以確認自己是否受影響，不要點擊此類訊息中的連結或照做其指示，並停止將出生日期用作PIN碼或身分驗證的答案。
E-store ShopServe 資料外洩（最終報告：約 2,336 萬人）：買家、店主與聯盟會員應採取的行動
E-store Co., Ltd. 在2026年10月16日的最終報告中表示，第三方利用其網路商店建置服務 ShopServe 伺服器上某個應用程式的漏洞，於2026年5月21日至8月1日期間將資料庫內容傳送到外部。受影響者約為 23,356,000 人（買家與會員、店主以及聯盟會員合計；為去除重複後的近似數字），其中約 2,096,900 人的部分卡片資料被包含在內。受影響的商店為 7,858 家（包括現有與過去的 ShopServe 商店）。外洩內容包括買家的姓名、地址、電話號碼、電子郵件地址與工作單位；會員 ID 與加密密碼；持卡人姓名、卡號前 6 碼與後 4 碼以及有效期限；以及商店與聯盟會員的憑證。完整卡號與安全碼未被保存，也未受影響。最終報告更正了第二次報告的內容：商店的郵件系統與 FTP 的 ID 與密碼，以及 E-store 向其匯款的帳戶（付款帳戶）的銀行帳戶資料，經確認沒有外洩。尚未收到二次損害的通報。本站的看法是：大多數買家是在各商店自己的網站上購物的，從未聽說過 ShopServe 這個名字。即使無法判斷是哪家商店，也請對引用您真實訂單細節或卡號末四碼的訊息保持懷疑，檢查信用卡帳單，並變更重複使用的密碼。店主與聯盟會員應變更管理或聯盟密碼，並開啟兩步驟驗證。
TEMAIRAZU 不正存取事件（2026）：住宿旅客與飯店業者應變指南
2026 年 9 月 28 日，Temairazu, Inc. 公布其 TEMAIRAZU Series 遭到不正存取。這套系統供飯店與旅館集中管理來自多個管道的訂單。9 月 21 日深夜起，使用該系統的住宿設施之訂房者開始收到可疑訊息，管道包括 WhatsApp 等即時通訊軟體、電子郵件與簡訊。這些訊息看似掌握訂房細節，並以提前辦理入住、維持訂房有效等理由，要求收件人輸入信用卡資料或付款，並導向外部網站。該公司在 10 月 7 日的第二次報告（英文版為 10 月 8 日）中，列出可能已遭第三方閱覽或取得的資訊：旅客姓名、電話號碼、電子郵件地址、住宿設施名稱、入住日期、退房日期與住宿費用。該公司表示不保存信用卡資訊，也不保存訂房網站的登入憑證。在 10 月 9 日向投資人提出的適時揭露中，該公司將涉及訂房資訊的人數訂為最多約 445 萬人，並表示已委託外部資安機構進行調查。根據使用該系統的飯店公告，原因是該公司過去提供的一項安裝型產品部分功能存在資安問題，已於 9 月 26 日修復。本站的看法：透過旅遊網站訂房的人也可能受影響。若有訊息自稱是你預訂的飯店，要求重新輸入卡片資料或付款，即使資料無誤也請拒絕，並透過訂房網站的官方應用程式，或飯店官網上的電話號碼進行確認。
大和運輸與佐川急便資料外洩事件（2026）：受影響使用者與因應方式
大和運輸於2026年9月28日發現其「黑貓後付款」服務遭未經授權存取，佐川急便則於9月30日發現其包裹追蹤服務遭未經授權存取。10月1日至2日，兩家公司均表示個人資料可能已外洩。這是兩起獨立事件，兩家公司均未提及彼此有關聯。大和運輸在10月16日發布的第四次公告中表示資料已遭取走：約526萬筆後付款使用者資料（姓名、地址、電話號碼、電子郵件地址、商品明細等，涵蓋2018年10月1日至2026年9月28日）、約5萬筆部分使用者的配送地址資料，以及約4,100筆合作店家資料。經查，帳單金額、未付餘額與員工姓名並未遭取走。佐川急便在10月23日發布的第五次公告中表示，其處理的包裹（2026年6月21日至9月30日，約100天）之寄件人與收件人姓名、地址及電話號碼等資料可能外洩，並給出最多約5,323萬筆的數字（含重複，並非人數）。以手寫運單寄出的包裹不在範圍內。兩起事件均不包括信用卡資料或密碼。大和運輸於10月9日重新啟用後付款服務，並將付款期限延長17天；佐川急便於10月23日重新啟用包裹追蹤服務，但線上預約等其他八項網路服務仍然停用。本站的看法是：就佐川急便而言，即使您從未使用該公司服務，只要曾收過包裹，也可能受影響。請假設假的未送達通知與付款催繳訊息，現在可能帶有您的真實姓名與地址、您收過包裹的事實，或您購買的商品內容。請勿開啟此類訊息中的連結，請改在官方應用程式，或您購買商店的訂單紀錄中確認。
Booking.com 訂房資料外洩：如何辨別冒充住宿業者的詐騙訊息
2026年4月，Booking.com 通知旅客：未經授權的第三方可能存取了部分訂房資訊，公司已更新受影響訂單的 PIN 碼，並表示已控制住問題。根據通知內容及媒體報導的公司發言人說法，相關資訊包括訂房內容、姓名、電子郵件地址、電話號碼及與住宿業者往來的訊息；財務資訊未遭存取。受影響人數與原因均未公布。本站的看法：飯店名稱、日期、金額都正確，已經不能證明訊息是真的。判斷的標準是：對方的要求是否符合你自己在官方 App 中打開的訂單所寫的付款政策。凡是要求重新輸入信用卡資料、透過連結付款，或付款政策以外的轉帳，一律拒絕。
信興集團資料外洩（約92萬人）：如何應對冒充維修、保養的詐騙
個人資料私隱專員公署於2026年3月23日接獲信興集團的資料外洩事故通報，並已展開調查。據公署2026年7月2日引述該機構提供的最新資料，可能有超過921,000人的個人資料遭外洩，當中包括約920,000名顧客的姓名／稱謂、地址、電話號碼及電郵地址，以及約1,000名員工、服務／產品／供應商人員的身分證明文件號碼、銀行戶口號碼及薪金等；另有約1,050,000人的個人資料可能被惡意加密。信興集團於7月9日表示，目前沒有證據顯示資料已被盜用，PanaClub系統已暫停運作。本站的結論＝這次涉及的是『買電器時留下的地址和電話』。自稱『維修』『保養到期』『會員帳戶驗證』的來電和短訊，就算說得出你的住址，也不能證明是真的。PanaClub既已停運，任何要求你『重設PanaClub密碼』的訊息都應視為可疑。
Times Car 資料外洩事件（6,628,007 筆含姓名與地址資料，約 146 萬張證件影像疑似遭外流）：查看 My Page 與會員、前會員應採取的行動
Times Mobility 股份有限公司於 2026 年 10 月 23 日發出第五次通知，表示外部鑑識調查已經結束，並公布最終數字。在 Times Car 網路系統中，有 6,628,007 筆資料（包括姓名、地址、出生日期、電話號碼、電子郵件地址與駕照資訊）發現遭入侵者存取及對外傳輸的痕跡。在以加密方式保存的身分證明文件影像中，1,464,800 張顯示有外流痕跡（公司先前曾表示可能有約 160 萬張外洩），891,602 張遭存取但沒有外流痕跡。4 筆雜湊密碼顯示有外流痕跡。在同樣發現未經授權存取的相關 Times Club 網路系統中，19,510 筆 Times Club 卡號、135,436 筆關聯服務 ID 與 28 筆信用卡末四碼等資料顯示有外流痕跡（公司未持有完整卡號或安全碼）。原因是網路系統的一項漏洞遭到利用。公司將對證件影像外流者給付價值 3,000 日圓的款項（細節與方式仍在決定中），並自 10 月 23 日 17:00 起在 My Page 顯示每位會員的外洩項目。本站的看法：請先在 My Page 查看自己的項目。若您的證件影像外流，請向三家信用資訊機構申請詐騙警示，並查詢信用報告；所有人都應忽略假冒公司的聯絡。前會員可透過專用表單詢問。
MOVEit 大規模資料外洩（2023）—— SQL 注入零時差漏洞波及 2,700 多家組織的原因與防禦
入口是面向網際網路公開的檔案傳輸產品 MOVEit Transfer 的 SQL 注入零時差漏洞（CVE-2023-34362）。攻擊者植入 Web shell（LEMURLOOT），從後端資料庫批量竊取資料，致 2,700 多家組織、約 9,330 萬人的資料外洩。許多受害者是因為委外廠商、合作方使用了 MOVEit 而被間接牽連。在你的環境中，可透過 KEV 即時修補、最小化暴露面、Web↔DB 的最小權限與隔離、委外廠商盤點與資料最小化來防範。
組織的資安底線：從 2026 年日本真實事故倒推的 6 個優先事項
組織的「底線」應該由真實事故被突破的位置來決定，而不是產品清單。把 2026 年日本的事故排在一起，入口各不相同——VPN 設備、第三方軟體、查詢功能、未公開——但讓損害擴大的原因歸結為 6 個：①依期限封堵面向網際網路的設備②收窄維護、委外、離職人員的帳號③監視數量與時間④日誌保留到能回溯的期限⑤不保留不再需要的資料⑥用 KEV 重新排定優先順序。本站結論＝底線就是決定「誰、看哪個數字、何時發現」。
Capital One 資料外洩事件（2019）— SSRF 如何導致 1 億人資訊外洩及防禦之道
入口只是一個 SSRF。攻擊由此連鎖：中繼資料服務端點 → 權限過大的 IAM 臨時憑證 → S3 整體複製，最終約 1 億 600 萬人資訊外洩。每一步都本可被攔下。在你的環境中，用 IMDSv2、IAM 最小權限和出站目標白名單來杜絕重演。
Codecov 竄改事件（2021）——CI 工具遭竄改、機密資訊外洩的原因與防禦
根源在於『在 CI 中信任並執行的工具（curl|bash 的 Bash Uploader）在上游被竄改』。由於自己的程式碼毫髮無損，約兩個月都沒能察覺，CI 的機密資訊因此外洩。偵測靠的是總和檢查碼比對。在你的 CI 中，可用取得物的完整性檢核、機密的最小權限、輪替、egress 監控來防止重演。
Equifax 資訊外洩事件（2017）——未修補的 Apache Struts 導致 1.47 億人外洩的原因與防禦
原因是『把已經發布修復修補程式的已知 CVE（CVSS 10.0）沒有套用到公開系統上』。監控設備因憑證失效導致長達 76 天都沒察覺資料外帶，使損失擴大。在你的環境裡，要用資產盤點、修補 SLA、機器監控、偵測健全性來防止重演。