日常服务中数以百万计的记录遭到泄露
安全公司Macnica统计显示，2026年日本因未授权访问而可能泄露的个人信息已超过1.65亿条，涉及铁路出行、购物、卡拉OK、软件、包裹配送和汽车共享等领域，其中包括已注销账户用户的信息。
目录
仅Sourcenext一家就于10月15日宣布，可能有22,519,960条客户记录泄露。运营Skyticket旅游预订网站的Adventure披露，约1,464万条记录可能受到影响。大和运输随后确认，其货到付款服务关联的531万条记录受到影响。
1.65亿这一数字是对各起事件中个人信息的累计统计。因此，同一个人的信息若出现在多个受影响服务中，可能被重复计数。总数还包括可能发生的泄露，以及企业已确认信息遭到泄露的事件。
Macnica对某类网站安全事件进行的详细调查发现，截至10月6日，公开披露的事件有119起，已超过2025年全年记录的84起。其中，81起是在7月及之后披露的。
日本信息技术促进机构（IPA）于10月9日发布紧急警告，呼吁企业负责人检查互联网服务、账户和存储的数据。该机构的建议聚焦于两项紧迫任务：发现入侵者，并减少他们可能窃取的个人信息数量。
对客户而言，事件造成的后果取决于各项服务保存了哪些信息。一些受影响的数据库包含联系方式；另一些则可能包括密码、信用卡信息或身份证件图像。这些披露还显示，针对承包商的攻击可能同时波及多家企业的客户。
Macnica的统计口径及事件增加的影响
Macnica的网站安全事件分析考察了2024年1月至2026年10月6日期间，日本国内机构公开披露的265起事件。年度统计从2024年的62起升至2025年的84起，2026年尚未结束，已达119起。
2026年的事件数已比上一完整年度多出35起，增幅约42%。7月及之后披露的81起约占当年总数的68%，占所考察的265起事件总数的约31%。
Macnica安全研究中心的世治山丰负责整理公开披露事件分析；伊藤忠网络与情报公司的佐藤元彦和Secure Sky Technology首席技术官长谷川洋介则参与了攻击分析。
研究人员筛选了他们认为具有相似特征的事件。数据集不包括勒索软件事件及某些其他攻击模式，例如利用从无关服务窃取的密码尝试登录客户账户。如果同一承包商发生一起事件，导致多家客户披露损失，研究人员会将承包商的事件计为一起。
下文提及的企业披露还包括勒索软件事件。因此，读者需要区分两个指标：可能遭到泄露的客户信息数量，以及Macnica技术调查追踪的特定网站事件数量。
哪些企业报告了最大规模的信息泄露？
Sourcenext表示，可能受影响的信息包括姓名、地址、电话号码、工作单位、电子邮件地址和密码。这家软件公司于10月13日发现其会员信息系统遭到未授权访问，并于两天后宣布可能发生信息泄露。
Adventure报告称，其服务器和Skyticket业务管理系统遭到攻击，约1,464万条个人信息记录可能受到影响。该公司表示，信用卡号和护照号码未泄露。
运营Big Echo卡拉OK连锁店的Daiichikosho表示，由外部承包商管理的系统可能有约872万条个人信息记录遭到泄露。事件涉及外包公司的恶意软件。
JR东日本表示，约609万名客户账户可能遭到入侵；JR九州估计可能有约130万个账户受到影响。两家公司均将事件归因于软银旗下云服务子公司IDC Frontier遭受的勒索软件攻击。两家公司披露的受影响账户总数约为739万个。
Bookoff Group Holdings最初披露，其管理会员数据的子公司遭到未授权访问，最多可能有643万名客户的信息受到影响。该公司随后称，约638万人的信息遭到泄露，其中包括约21万名前会员。
Lawson报告称，超过215万条客户记录遭到未授权访问，其中可能包括姓名、电子邮件地址和信用卡信息。NewsPicks运营商Uzabase表示，有些用户信息可能因管理工具遭到未授权访问而泄露。
Lawson、Daiichikosho和Uzabase表示，截至公告发布时，尚未确认信息被非法使用。铁路运营商、Bookoff和Adventure也表示，未发现第三方滥用信息的证据，并提醒客户留意可疑电子邮件和电话。
配送记录、开发工具和学校也受到影响
大和运输于10月16日表示，其货到付款服务部分用户的531万条个人信息记录遭到泄露。该公司最初于9月29日宣布发生安全事件。
受影响信息包括姓名、地址和电话号码，收集时间从2018年10月1日起，跨度约八年。如此漫长的收集周期表明，一次入侵就可能暴露多年客户活动中积累的信息。
日本经济新闻社披露，其用于系统开发的云服务遭到未授权访问，约183万条记录受到影响，包括姓名、地址和电子邮件地址。开发服务用于构建或维护软件，因此企业技术环境中的这一环节也可能成为攻击者的突破口。
日本教育部门也表示，从9月下旬至最新一轮披露前的周四，共有8所学校报告发生数据泄露，其中大多数是大学。Macnica调查发现，受影响的服务种类繁多，包括图书馆目录检索、观光列车预订、大学宿舍预订和票务退款管理。
事件披露的时间线
多起事件在数周内相继曝光，而调查仍在继续，以查明涉及的信息规模。Sourcenext提供了较为精确的入侵时间和应对时间。
- 9月29日：大和运输首次宣布发生数据泄露。Park24于9月下旬披露其汽车共享数据泄露事件。
- 10月6日：Macnica调查统计显示，2026年已公开披露119起符合筛选条件的网站安全事件。
- 10月8日：Macnica补充提及日本计算机应急响应协调中心（JPCERT/CC）发布的一项相关警告。
- 10月9日：IPA发布紧急检查建议。JR东日本、Bookoff、Daiichikosho和Adventure等公司的披露也在当天公开。Sourcenext后来确认，其系统约于10月9日上午10时开始遭到入侵。
- 10月13日：Sourcenext于上午9时左右发现未授权访问，并在当天下午采取紧急措施予以阻止。
- 10月15日：Sourcenext宣布可能有22,519,960条记录受到影响。
- 10月16日：大和运输公布其531万条受影响记录的详情；日本经济新闻社披露其数据泄露事件；Park24宣布计划在10月底前完成删除身份证件图像。
根据Sourcenext公布的时间线，未授权访问在被发现前已持续近四天。IPA要求先检查近期活动，再将排查范围向前延伸，正是为了还原警报响起前发生的情况。
攻击者会寻找整个服务体系中的薄弱环节
Macnica的技术分析描述了攻击者如何检查单个网站及其应用程序编程接口（API）。API是应用程序或网站向其他系统请求信息或指示其执行任务的通道。
调查人员发现了一些薄弱环节，例如API返回了超出必要范围的信息、功能权限过大，以及原本面向会员的功能可被匿名访客访问。其他问题还涉及登录会话、处理规则和访问设置。
一些攻击者检查移动应用以提取API密钥，也就是与服务通信时使用的凭证。随后，他们利用这些密钥发送看似普通流量的请求。研究人员还发现了管理员密码薄弱，以及已知软件漏洞遭到利用的情况。
实际面临的挑战不只是安装某个软件更新。服务可能需要单独检查，确保服务器能够验证请求者的身份，以及对方有权获取哪些记录。能够导出大量信息的管理工具也需要受到严格审查。
大多数披露未详细说明事件原因
在7月及之后披露的81起相关事件中，Macnica将9起归类为涉及软件产品或相关工具漏洞，4起涉及凭证滥用或密码攻击，3起涉及网站设置或访问控制失误。
其余65起披露的信息不足以判定原因，约占80.2%。这使其他机构难以了解应在自身系统中排查哪些薄弱环节。
一些公告描述了入侵者获得访问权限后的行为。11起事件涉及安装或运行未授权程序，9起涉及通过API或数据库调取或查看信息，6起涉及创建未授权账户或认证密钥。这些类别可能重叠，因为同一起事件可能包含多种行为。
Macnica还发现，7月及之后至少有25起披露涉及网站被篡改或遭到滥用，但未特别提及个人信息泄露风险。案例包括将访客重定向至外部网站、显示虚假警告、篡改注册信息以及滥用云服务。
研究人员讨论了利用人工智能在大量网站上重复搜索的可能性，但人工智能是否参与其中，以及攻击者的最终目的，目前仍未得到证实。他们观察到的活动主要集中在访问权限、设置、身份验证和已知漏洞上。研究人员提出的一种假设是，收集到的姓名、服务详情和预订信息可能被用于制作更具迷惑性的钓鱼信息或诈骗电话。
前客户也受到数据泄露波及
Park24的数据泄露事件涉及约660万条会员记录，包括前会员的信息；此外，约160万份身份验证文件也受到影响，例如驾驶证图像。Times Car在客户结束会员资格后，仍保留其身份证件长达七年。
Park24于10月16日表示，计划在当月底前完成删除身份证件图像。这一回应为一个具体问题设定了期限，而该问题也是IPA提出的重点：企业需要审查仍有必要保留手头数据的原因。
在后续披露的638万名信息泄露对象中，Bookoff约21万名前会员占约3.3%。宠物用品零售商Charm也表示，其约2.5万条泄露记录中，大多数属于前客户。
如果企业继续保留账户背后的记录，客户注销账户后仍可能多年面临风险。联系方式可能帮助犯罪分子冒充客户熟悉的服务机构，而密码和身份证件图像则会带来额外风险。Macnica建议审查不再需要的记录，包括意外累积在备注栏中的个人详情，并在服务关闭时停用API密钥。
IPA要求机构立即检查的事项
IPA于10月9日发布的公告要求紧急检查暴露于互联网的应用程序、外部服务和账户，以及存储的信息。该机构将责任落在企业负责人身上，尤其是处理大量个人或敏感数据的企业。
对于应用程序，IPA建议审查近期日志，也就是系统保留的活动记录，并检查是否遗漏安全补丁。调查人员应先检查约一个月内的记录，再将审查范围延长至三个月，留意异常的错误数量以及偏离正常活动的变化。
对于云服务和VPN服务等外部服务，企业应列出组织及各部门使用的服务，明确日志保留期限、哪些人可以查看日志，以及服务提供商是否持有客户无法直接查看的记录。
账户检查应留意陌生用户，以及此前已停用或删除、如今却重新活跃的账户。异常的登录时间和地点，以及反复登录失败的情况，也值得关注。IPA建议将异常日志或账户视为安全事件，并寻求专业调查。
Macnica提出的相关建议包括：检查API是否在服务器端强制执行权限控制，移除应用程序中嵌入的机密信息，通过多重身份验证保护管理员账户，并限制对管理功能的访问。监控还需要明确的人工响应机制：必须有人查看警报、联系相关人员并启动调查。
IPA正在筹备面向供应链的安全评估机制，即SCS评估机制，计划于2027年3月启动。其通用评估标准旨在帮助客户和承包商了解共享信息的企业之间的安全状况。
类似事件也发生在日本以外地区
Macnica在13个国家和地区发现了99起类似事件，主要发生在2026年7月至9月。韩国有30起，法国有11起，波兰有8起。
韩国案例涉及购物、预订、教育和财政支持等领域的网站和API。这与日本披露事件中涉及的服务范围相似。
各国的披露法律和做法会影响公开事件的数量。Macnica称，日本在其调查中较为突出，但尚不能确定攻击者是否专门将日本作为目标。
在日本发生的这些事件中，当务之急十分明确：发现未授权活动，保护客户信息的访问安全，并删除不再需要保留的记录。承包商相关事件以及前会员信息遭到泄露，都说明这项工作必须覆盖企业主网站之外的系统，也不能只关注当前客户名单。
要点
- Macnica统计显示，2026年因未授权访问而可能泄露的个人信息超过1.65亿条；同一信息可能因出现在多个服务中而被重复计数。
- 截至10月6日，其范围较窄的网站调查记录了119起披露事件，其中81起发生在7月及之后。
- Sourcenext披露，可能有22,519,960条记录受到影响；Adventure报告称约有1,464万条记录受影响。
- 承包商安全事件波及大型企业的客户；Park24、Bookoff和Charm保留的记录则使前会员和前客户受到影响。
- IPA呼吁紧急审查日志、安全补丁、账户、外部服务和存储数据。
- Park24计划在10月底前完成删除身份证件图像。IPA的供应链安全评估机制定于2027年3月启动。
