日本一周内超 3900 万条用户信息外泄

你最近一次用 Lawson 自助结账扫会员码换 T 积分，是什么时候？你上次去 BIG ECHO 唱卡拉 OK、刷 BOOKOFF 卖旧书、或者办了一张 Viewcard 信用卡，又是哪一年？

你大概率从来没签过一份"我同意把姓名、性别、电话、地址、生日、邮箱、积分卡号全部交给第三方"的协议——

但你今天发现，你签过了。

2026 年 10 月 8 日到 10 日，短短三天，日本六家你叫得出名字的公司接连被曝出用户信息外泄：便利店巨头罗森 215.5 万条、KTV 连锁第一兴商 872 万条、JR 东日本 Viewcard 信用卡 609 万条、JR 九州 130 万条、二手书连锁 BOOKOFF 643 万条、机票预订平台 skyticket 1464 万条——

加起来，3933.5 万条。

数字摆在桌面上的那一刻，所有这些公司集体道歉的样子，都长得一模一样：「给用户带来巨大困扰，深表歉意」。

但你的名字、你的住址、你的电话号码、你的邮箱、你的生日，现在已经不在它们手里了。

一、这 3933 万条里，有没有你

先把这六家公司的清单摆清楚，免得你以为"那是日本的事"：

• 罗森（Lawson）：日本便利店三巨头之一，中国留日学生、华人出差客、日本常驻，几乎人手一张 Lawson ID。这次外泄的是邮箱、姓名、性别、电话、地址——也就是它能寄到你家的所有东西。
• 第一兴商（BIG ECHO / MEGA BIG 等 KTV）：日本卡拉 OK 行业第一。每逢年末聚会、欢迎会、送别会、社团集训，你会去的那种"全国 1300 家分店"的 KTV。外泄的是姓名、出生日期、邮件地址。
• JR 东日本 Viewcard：东日本旅客铁道的联名信用卡，6 个月免年费 + 积分换 JR 乘车券那种。外泄的是含邮箱在内的个人信息。
• JR 九州：九州地区铁路，外泄的是最多约 130 万条邮箱地址。
• BOOKOFF：日本二手书 / 二手游戏 / 二手碟连锁，家里买旧书的会去的那种；外泄的是姓名、出生日期、邮箱、电话、地址，还包含积分卡号和会员编号——也就是积分账户能直接被冒用。
• skyticket（ADVENTURE 公司运营）：日本常用机票比价 / 预订平台，外泄的是姓名、邮箱、住址，约 1464 万条——单一公司就吃掉了这波泄露总盘子的三分之一。

6 家。3 天。3933.5 万条。

按 2026 年日本总人口约 1.24 亿算——每 32 个日本人，就有 1 个人的名字、地址或邮箱，刚刚被丢进了某个看不见的网络里。

但对你来说，重点不是"32 分之 1"。重点是——

你上个月在 Lawson 买的那个三明治、在 BIG ECHO 唱的那首《津轻海峡·冬景色》、用 Viewcard 积分换的那张新干线票、BOOKOFF 卖的那本旧书、skyticket 上订的下一张回国机票——这些都绑在同一张会员卡上。

那张卡上的"我同意"，你已经点过了。

二、这 6 家公司是怎么被"挖出来"的

把这 6 件事放在一起看，路径其实并不复杂：

罗森：9 月 12 至 14 日三天系统被非法访问，整整一个月后（10 月 7 日调查中发现、10 月 8 日公开）才对外公布。

第一兴商：业务外包企业的员工终端感染恶意软件——注意这句话。是外包公司的人中了招，把客户数据拖走的。

JR 东日本 / JR 九州：信用卡系统与会员系统被第三方入侵，累计 609 万 + 130 万条邮箱等数据可能被拖。

BOOKOFF：子公司运营的会员管理系统被第三方非法访问，包含积分卡号和会员编号——意味着积分账户可以直接被冒用。

skyticket：10 月 9 日在官网挂出公告，承认被非法访问，1464 万条数据外泄——单一公司占这一波泄露量的 37%。

它们的特点，不是说日本公司"特别差"，而是说日本公司在过去十年里：把全国人民的姓名、地址、生日、邮箱、电话、消费记录、积分、信用卡，全部塞进了六个数字金库里——

然后每个金库都长着一样的门锁：登录页面、第三方外包、员工笔记本、积分系统、信用卡接口、过期不报废的旧系统。

一把万能钥匙，就够开 6 把锁。

三、这不是"日本的事"——这是你点过"我同意"的所有公司的事

你接下来要问自己的，是这个问题：

你今天扫过的会员码、办过的积分卡、点过的"我同意并阅读全部条款"、登录过的第三方账户——有多少家公司，你知道它们把你的数据存在哪里？有多少家，你知道它们的外包商是谁？有多少家，你知道它们的员工笔记本有没有装防病毒？

你大概率一个都不知道。

但这不是你懒——是你被设计成没法知道。

你上一次打开一个新 App / 一个新服务，第一件事永远是：

「为了给您提供更好的服务，我们需要获取您的：通讯录 / 位置 / 相机 / 麦克风…」

你点了"同意"。

因为你没点就不能用。

而那个「同意」没有告诉你：

• 你的数据存在哪里（自己服务器？AWS 日本？某个海外节点？）
• 你的数据谁有权访问（本公司员工？外包公司？第三方客服？算法？）
• 你的数据保留多久（一年？十年？永久？）
• 你的数据会不会被卖给合作伙伴（"用于改进服务"那个条款）
• 你的数据泄漏之后你怎么知道（你知道罗森被黑是一个月后吗？你知道 BOOKOFF 积分号外泄了吗？）

你以为你"拥有"你的数据。其实你只是"租"了一个名字进去——而这个名字，房东有 5 把备用钥匙。

四、为什么"日本这一周"特别值得你停下来看一眼

日本不是数据泄露最多的国家，也不是最少的——但这一周的样本足够密集、足够整齐：

• 行业横跨便利店、KTV、铁路、信用卡、二手书、机票预订——全是你生活里绕不开的那几家；
• 时间集中在 10 月 8 日—10 日 3 天——说明不是一个黑客事件，是某种系统性失守；
• 单家公司最大量skyticket 1464 万条——一个你不常听说的机票预订平台，就能吃掉一个中等省份的全部人口；
• 攻击路径从自家系统（罗森）、到外包公司（第一兴商）、到子公司会员系统（BOOKOFF）、到信用卡接口（JR 东日本）、到第三方平台（skyticket）——每一种企业 IT 架构最常见的入口，几乎都被打了一遍。

这种"系统性横截面"的事件，平时不多。它像是一次公开的全行业安全压力测试——而结果是：全不及格。

五、那么，你该怎么办

日本网络安全担当大臣古川俊治 10 月 9 日的内阁会议后记者会上，说了句官方话："将要求迅速采取对策应对漏洞，并强化举措防止外泄的信息被恶意利用。"

翻译成大白话就是：「这事我管不了，得你管。」

下面是今天就能做的 3 件事：

1. 去查你到底办过多少会员卡

打开你手机里的钱包 App、邮箱搜索"会员"、"积分"、"注册"、"欢迎"——把过去 3 年你点过"我同意"的每一个服务都列出来。

凡是没用过第二次的、已经不记得密码的、已经不存在的服务——今天就去它的"我的账户"页面，注销它。

你注销的不是账户。你注销的是它替你保管的那份"你的名字 + 你的住址 + 你的电话号码"。

2. 把所有用了同一密码的账号，今天就改

第一兴商的外包商员工笔记本中招——外包商用的密码很可能和它管理着的几十家公司的客户系统共用同一组。

你的邮箱、密码、手机号，大概率在某个泄露库里被反复出售。今天就去你最常用的 3 个账户（邮箱、网银、Apple ID / Google 账户）改密码 + 开启二步验证。

别用同一个密码。 这事 2010 年就有人说过。今天它还在说，是因为今天它还在发生。

3. 下一周，接到任何"您的账户异常""您的订单待付款""您的积分即将到期"的电话 / 短信，先挂掉

罗森 215.5 万条 + 第一兴商 872 万条 + BOOKOFF 643 万条——它们泄露的不是数据，是"可以精准针对你进行诈骗的工具包"。

你会接到"罗森客服"的电话，会收到"BIG ECHO 积分即将清零"的短信，会看到"Viewcard 账户需要重新验证"的链接——

但凡是让你"按 1、点击链接、扫码、转账、报验证码"的——挂掉。

写在最后

罗森 215.5 万、第一兴商 872 万、JR 东日本 609 万、JR 九州 130 万、BOOKOFF 643 万、skyticket 1464 万。

3933.5 万。

这是日本一周的数字。

但数字不会停在这里。

下一周是韩国的便利店，下一周是欧洲的电信公司，下一周是北美的医保数据库——它们的外包员工笔记本都会中招，它们的会员系统都会被第三方访问，它们的积分数据库都会泄露。

而你点过的那个"我同意"，将一次又一次在另一个公司、另一个国家、另一个时区替你签下名字。

你没有办法让这些公司不丢你的数据。

你唯一能做的，是让"丢了我数据"这件事，在你这一侧变得没用**——

密码不一样、二步验证开起来、不用的会员卡今天就注销、陌生链接不点、陌生验证码不报。

这不是个"日本这一周"的故事。

这是每个人每一周的故事。

只是这一次，数字大到 3933.5 万——大到你没法再假装它与你无关。