BOOKOFF 集團控股在 11 月 6 日第 3 報中重申，子公司 BOOKOFF CORPORATION 的會員管理系統在 10 月 4 日至 6 日遭第三方取得會員資料，10 月 6 日確認後已切斷入侵路徑；影響範圍較第 2 報（10 月 16 日訂正後）沒有變更 [1]。確定外洩對象為 6,427,735 筆會員編號資料、共 6,383,279 人（有效會員 6,170,908 人、已退會 212,371 人），含 App、線上商店與 Web 會員登錄的姓名、出生年月日、性別、職業、暱稱、電子郵件、電話、郵遞區號與地址、密碼雜湊值、點數卡號與會員號；官方稱支付與銀行帳戶資料、店頭買取證件、宅配買取證件圖像及另填的配送／取件地址不在此次範圍，僅持實體會員卡、未做 App 或網站註冊者也不在對象內 [1]。官方請對象會員在官方 App 或官方網站直接變更 BOOKOFF 正式線上商店與官方 App 的密碼，若其他服務使用相同或類似密碼也應一併更改；不要點官方說明郵件中不存在的密碼變更連結，也不要回應冒充集團的郵件、簡訊或電話，公司不會以這些管道索取密碼、信用卡或帳戶資料 [1]。
高監控中官方確認
日本 BOOKOFF 會員系統遭入侵，638 萬餘人個資外洩，官方請用戶自行改密碼
閱讀約 3 分鐘
- 揭露
- 2026年10月9日
- 發生
- 2026年10月4日
- 發布
- 2026年11月12日
- 最後更新
- 2026年11月12日
- 影響規模
- 6,383,279 人[1]
- CVSS 依據
- 本站評估
- 初始入侵方式
- 錯誤設定 / 存取控制缺失
- 攻擊者類型
- 未知
- 動機
- 未知
本頁內容
30 秒摘要
發生什麼事
誰受影響
BOOKOFF App、線上商店與 Web 會員，共 6,383,279 人、6,427,735 筆會員資料；不含僅使用實體會員卡、未註冊 App 或網站者 [1]
事件時間軸
技術細節
發生什麼
BOOKOFF 集團控股 11 月 6 日發布第 3 報指出，連結子公司 BOOKOFF CORPORATION 的會員管理系統在 2026 年 10 月 4 日至 6 日遭第三方取得會員資料，10 月 6 日確認後已切斷攻擊來源與路徑。官方稱已特定入侵路徑與原因，是會員系統部分功能的存取控制問題遭人利用，影響範圍與 10 月 16 日訂正後的第 2 報相同；截至當時未確認會員資料被公開、點數被盜用或會員資料被改寫，各項服務仍可正常使用 [1]。
影響範圍
外洩對象確定為會員編號 6,427,735 筆、人數 6,383,279 人（有效會員 6,170,908、已退會 212,371），對象為 App、線上商店與 Web 會員。可能外洩的資料包括姓名、出生年月日、性別、職業、暱稱、電子郵件、電話、會員登錄的郵遞區號與地址、密碼雜湊值、點數卡號與會員號。官方稱密碼雜湊值無法直接還原為原密碼；信用卡等支付資料、銀行帳戶、店頭買取時的證件文字或圖像、另指定的配送地址與宅配買取集貨地址及證件圖像，都不在此次會員管理系統的範圍內。僅持會員卡、未做 App 或網站註冊者不是對象 [1]。
建議措施
對象會員的個別郵件已在 10 月 15 日至 22 日寄出，並已在會員網站提供可否查詢功能、開設專線 0120-300-663。官方請對象變更正式線上商店與官方 App 密碼，且須直接進入官方 App 或網站辦理；不要開啟來路不明的網址或附件，公司不會以郵件、簡訊或電話索取密碼、信用卡或帳戶資料 [1]。
修復指引
廠商建議
- 1在官方 App 或網站變更密碼，並提防冒充聯絡 mitigate[1]
請直接到官方 App 或網站變更密碼，不要點來路不明的連結；公司不會以郵件、簡訊或電話索取密碼或支付資料。
參考來源
官方 / 一級來源2
- [1]ブックオフグループホールディングス株式会社2026-11-06擷取日 2026-11-12已存檔 2026-11-12 sha256 b51a884ff4d6
“BOOKOFF 公式オンラインストア及びブックオフ公式アプリでご利用のパスワードの変更をお願いいたします”
- [2]ブックオフグループホールディングス株式会社2026-10-09擷取日 2026-11-12已存檔 2026-11-12 sha256 bf59dff920a6
更正紀錄
- · confirmation_status: media_reported → official_confirmed補上同一事件的 TDnet 第 1 報（ssl4.eir-parts.net/doc/9278/），該主機現可列為 official_vendor，並將確認狀態改為 official_confirmed。
- · confirmation_status: media_reported → official_confirmedTDnet 第 3 報位於 ssl4.eir-parts.net/doc/9278/，依現行分類屬發行人官方 IR；重分類該來源為 official_vendor，並將已存檔的官方 TDnet 來源所對應之受害組織確認程度改為 official，確認狀態改為 official_confirmed。
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。