日常服務數以百萬筆資料外洩
資安公司 Macnica 統計，2026 年日本因未經授權存取而可能外洩的個人資料已超過 1.65 億筆。受影響服務涵蓋鐵道運輸、購物、卡拉 OK、軟體、包裹配送及汽車共享，當中也包括已經關閉帳戶的用戶資料。
目錄
Sourcenext 僅在 10 月 15 日就宣布，可能有 22,519,960 筆客戶資料外洩。營運 Skyticket 旅遊訂房網站的 Adventure，則揭露可能有約 1,464 萬筆資料遭到外洩。大和運輸之後確認，其貨到付款服務涉及 531 萬筆受影響資料。
1.65 億筆的數字是將各起事件中的個人資料累計計算，因此同一人的資料若出現在多項受影響服務中，可能會被重複計入。總數也包括可能外洩的資料，以及企業已確認遭到入侵的資料。
Macnica 針對特定類型網站遭入侵事件所做的深入調查顯示，截至 10 月 6 日，公開揭露的事件有 119 起，已高於 2025 年全年記錄的 84 起。其中 81 起是在 7 月起發生。
日本資訊處理推進機構（IPA）於 10 月 9 日發布緊急警告，呼籲企業負責人檢查網路服務、帳戶及儲存資料。該機構的建議聚焦於兩項當務之急：找出入侵者，並減少他們可能竊取的個人資料。
對客戶而言，事件造成的影響取決於各服務所持有的資料。部分受影響資料庫包含聯絡方式，其他資料則可能包括密碼、信用卡資訊或身分證件影像。這些揭露也顯示，攻擊承包商可能同時波及多家企業的客戶。
Macnica 的統計內容及事件增加的意義
Macnica 的網站遭入侵分析檢視了 2024 年 1 月至 2026 年 10 月 6 日期間，國內組織公開揭露的 265 起事件。每年事件數從 2024 年的 62 起，增至 2025 年的 84 起；2026 年統計期間尚未結束，目前已有 119 起。
2026 年的事件數已比前一個完整年度多出 35 起，增幅約 42%。7 月以來的 81 起揭露約占全年總數 68%，也約占受檢視 265 起事件的 31%。
Macnica 安全研究中心的瀨治山裕貴負責整理公開揭露分析；伊藤忠網路與情報公司的佐藤元彥，以及 Secure Sky Technology 技術長長谷川洋介則協助分析攻擊手法。
研究人員挑選了他們認為具有相似特徵的事件。資料集不包括勒索軟體事件及某些其他攻擊模式，例如利用從不相關服務竊取的密碼登入客戶帳戶。若同一事件發生在共同承包商，導致多家客戶揭露損害，研究人員只將承包商遭入侵事件計算一次。
下文提到的企業廣泛揭露事件也包括勒索軟體事件。因此，讀者需區分兩項指標：可能外洩的客戶資料量，以及 Macnica 技術調查追蹤的特定網站遭入侵事件數。
哪些企業通報的外洩規模最大？
Sourcenext 表示，可能受影響的資料包括姓名、地址、電話號碼、工作地點、電子郵件地址及密碼。這家軟體公司於 10 月 13 日發現會員資料系統遭未經授權存取，兩天後宣布資料可能外洩。
Adventure 通報其伺服器及 Skyticket 業務管理系統遭到攻擊，可能影響約 1,464 萬筆個人資料。該公司表示，信用卡號碼及護照號碼並未外洩。
連鎖卡拉 OK「Big Echo」營運商第一興商表示，約 872 萬筆個人資料可能透過外包廠商管理的系統外洩。這起事件涉及外包公司的惡意軟體。
JR 東日本表示，約 609 萬個客戶帳戶可能遭到入侵；JR 九州則稱，可能有約 130 萬個帳戶受影響。兩家公司都將資料外洩事件歸因於 SoftBank 旗下雲端服務子公司 IDC Frontier 遭到勒索軟體攻擊。兩家業者揭露的帳戶數合計約 739 萬個。
Bookoff 集團控股公司最初表示，旗下負責管理會員資料的子公司遭未經授權存取，最多可能影響 643 萬名客戶。後續說明指出，外洩資料涉及約 638 萬人，其中約 21 萬人已是前會員。
Lawson 通報有超過 215 萬筆客戶資料遭未經授權存取，可能包括姓名、電子郵件地址及信用卡資訊。NewsPicks 營運商 Uzabase 表示，管理工具遭未經授權存取，部分用戶資料可能外洩。
Lawson、第一興商及 Uzabase 表示，在發布公告時尚未確認有資料遭非法利用。鐵道業者、Bookoff 及 Adventure 也表示，沒有發現第三方濫用資料的證據，並呼籲客戶留意可疑電子郵件及電話。
配送紀錄、開發工具及學校也受影響
大和運輸於 10 月 16 日表示，其貨到付款服務部分用戶的 531 萬筆個人資料遭到入侵。該公司最初於 9 月 29 日公布資料外洩事件。
受影響資料包括姓名、地址及電話號碼，蒐集期間自 2018 年 10 月 1 日起，約歷時八年。如此長的蒐集期間顯示，單一入侵事件就可能暴露多年來累積的客戶活動資料。
日經公司通報，未經授權存取用於系統開發的雲端服務後，約 183 萬筆資料遭到入侵，包括姓名、地址及電子郵件地址。開發服務用於建置或維護軟體，也讓企業技術環境的另一部分暴露在攻擊者可觸及的範圍內。
日本文部科學省也表示，從 9 月下旬至最新一波揭露前的週四，共有八所學校通報資料外洩，多數為大學。Macnica 調查發現，受影響服務類型多元，涵蓋圖書館目錄查詢、觀光列車訂位、大學住宿預約及票券退費管理。
事件揭露時間軸
多起事件在數週內陸續曝光，各方也持續調查受影響資料的實際規模。Sourcenext 提供了相當精確的入侵及應對時間。
- 9 月 29 日：大和運輸首次公布資料外洩事件。Park24 於 9 月下旬揭露汽車共享資料外洩事件。
- 10 月 6 日：Macnica 的研究統計截至此日，2026 年已公開揭露 119 起特定網站遭入侵事件。
- 10 月 8 日：Macnica 補充提及日本網路安全事件應變組織 JPCERT/CC 發布的相關警告。
- 10 月 9 日：IPA 發布緊急檢查建議。JR 東日本、Bookoff、第一興商及 Adventure 等公司的事件也在當日公開。Sourcenext 後來追溯發現，其系統約於 10 月 9 日上午 10 時開始遭到入侵。
- 10 月 13 日：Sourcenext 約於上午 9 時發現未經授權存取，並在當天下午採取緊急措施加以阻擋。
- 10 月 15 日：Sourcenext 宣布可能有 22,519,960 筆資料外洩。
- 10 月 16 日：大和運輸詳述 531 萬筆受影響資料，日經公司揭露資料外洩事件，Park24 則宣布計畫於 10 月底前完成刪除身分證件影像。
Sourcenext 的時間軸顯示，從未經授權存取開始到發現為止，間隔近四天。IPA 要求企業檢查近期活動，並進一步回溯更早期間，正是為了重建警報響起前發生的情況。
攻擊者全面搜尋服務弱點
Macnica 的技術分析指出，攻擊者會逐一檢查網站及其應用程式介面（API）。API 是應用程式或網站向其他系統索取資訊或要求執行任務的管道。
調查人員觀察到的弱點包括 API 回傳超出必要範圍的資訊、功能權限過大，以及原本僅供會員使用的功能可被匿名訪客存取。其他問題則涉及登入工作階段、處理規則及存取設定。
部分攻擊者會檢查行動應用程式以擷取 API 金鑰，這類金鑰是與服務通訊時使用的憑證。接著，他們利用金鑰發出看似一般流量的請求。研究人員也發現管理員密碼強度不足，以及已知軟體漏洞遭到利用。
實務上的挑戰不只是安裝一項軟體更新。服務也必須自行檢查，確保伺服器能確認請求者身分，以及該使用者有權取得哪些資料。能匯出大量資訊的管理工具也需要特別留意。
多數揭露內容未詳述事件原因
在 7 月以來揭露的 81 起特定事件中，Macnica 將其中 9 起歸類為涉及軟體產品或相關工具漏洞，4 起涉及憑證遭濫用或密碼攻擊，另有 3 起涉及網站設定或存取控制失效。
其餘 65 起揭露提供的說明不足，無法判定原因，約占 80.2%。因此，其他組織也難以得知自家系統應優先檢查哪些弱點。
部分公告描述入侵者取得存取權後的行動。11 起事件涉及安裝或執行未經授權的程式，9 起涉及透過 API 或資料庫擷取或檢視資訊，6 起涉及建立未經授權的帳戶或驗證金鑰。這些類別可能重疊，因為單一事件可能涉及多種行動。
Macnica 也發現，7 月以來至少有 25 起揭露涉及網站遭竄改或服務遭濫用，但沒有特別提到個人資料外洩疑慮。案例包括將訪客重新導向外部網站、顯示假警告、變更註冊資料及濫用雲端服務。
研究人員討論了利用人工智慧在大量網站上反覆搜尋的可能性，但 AI 是否涉入及攻擊者最終目的都尚未獲得確認。他們觀察到的活動主要集中在存取權限、設定、驗證及已知漏洞。他們提出一種可能性：蒐集到的姓名、服務資料及預約資訊，可能讓犯罪者日後發送更具說服力的網路釣魚訊息或詐騙電話。
前客戶也受到資料外洩事件波及
Park24 的資料外洩涉及約 660 萬筆會員紀錄，包括前會員資料，以及約 160 萬份身分驗證文件，例如駕照影像。Times Car 在客戶終止會員資格後，仍保留其身分證件長達七年。
Park24 於 10 月 16 日表示，計畫在當月底前完成刪除身分證件影像。這項應對措施為一個問題訂下明確期限，而 IPA 也提出相同提醒：企業應檢視目前持有的資料是否仍有保留必要。
Bookoff 約 21 萬名前會員，約占後續說明所列 638 萬名外洩對象的 3.3%。寵物用品零售商 Charm 也表示，約 2.5 萬筆前客戶資料中，大部分已外洩。
因此，若企業持續保留帳戶背後的資料，即使帳戶已關閉，客戶仍可能多年暴露於風險之中。聯絡方式可能讓犯罪者冒充客戶熟悉的服務；密碼及身分證件影像則會帶來更多風險。Macnica 建議檢視並刪除不必要的紀錄，包括意外累積在備註欄位中的個人資料，並在服務關閉時撤銷 API 金鑰。
IPA 要求組織立即檢查的項目
IPA 於 10 月 9 日發布的公告呼籲，緊急檢查可透過網際網路存取的應用程式、外部服務與帳戶，以及儲存的資料。該機構將責任置於企業負責人身上，尤其是處理大量個人或敏感資料的企業。
在應用程式方面，IPA 建議檢視近期日誌，也就是系統留下的活動紀錄，並確認是否缺少安全性修補程式。調查應先從過去約一個月開始，再延伸至三個月，留意錯誤數量異常增加或活動偏離平常模式。
至於雲端及 VPN 等外部服務，企業應列出組織及各部門使用的服務，並確認日誌保留多久、哪些人可以查閱，以及服務供應商是否持有客戶無法直接查看的紀錄。
帳戶檢查應留意陌生使用者，以及先前已停用或刪除、卻又重新啟用的帳戶。異常的登入時間、地點及反覆登入失敗也值得注意。IPA 建議，若日誌或帳戶出現異常，應視為資安事件並尋求專業調查。
Macnica 另建議檢查 API 是否在伺服器端落實權限控管、移除內嵌於應用程式中的機密資訊、透過多重驗證保護管理員帳戶，並限制管理功能的存取權限。監控也需要明確的人工應變流程：必須有人檢視警報、聯絡相關人員並展開調查。
IPA 正在籌備供應鏈安全評估制度，稱為 SCS 評估制度，預計於 2027 年 3 月啟動。這套共同評估標準旨在協助客戶與承包商了解共享資訊的企業之間，各自的資安狀況。
類似事件也在日本以外地區發生
Macnica 在 13 個國家及地區發現 99 起類似事件，多數發生於 2026 年 7 月至 9 月。南韓占 30 起，法國 11 起，波蘭 8 起。
南韓案例涉及購物、預約、教育及財務支援等領域的網站與 API，與日本揭露事件所涉及的服務類型相似。
各國的揭露法規及慣例會影響公開事件的數量。Macnica 指出，日本在這項調查中相當突出，但尚未確定攻擊者是否特別將日本列為目標。
就日本的案例而言，當務之急很明確：找出未經授權的活動、保護客戶資料的存取安全，並刪除不再需要保留的紀錄。承包商遭入侵及前會員資料外洩事件顯示，這些工作不能只涵蓋企業主要網站及現有客戶名單。
重點整理
- Macnica 統計，2026 年日本因未經授權存取而可能外洩的個人資料超過 1.65 億筆；不同服務的資料可能重複計算。
- 其範圍較窄的網站調查截至 10 月 6 日記錄了 119 起揭露事件，其中 81 起發生於 7 月以來。
- Sourcenext 揭露可能有 22,519,960 筆資料受影響；Adventure 通報約 1,464 萬筆。
- 承包商遭入侵事件波及大型企業客戶；Park24、Bookoff 及 Charm 保留的紀錄也使前會員面臨風險。
- IPA 呼籲緊急檢查日誌、修補程式、帳戶、外部服務及儲存資料。
- Park24 計畫於 10 月底前完成刪除身分證件影像。IPA 的供應鏈安全評估制度預計於 2027 年 3 月啟動。
