日本手办厂商良笑社数据泄露:2800名顾... - 新游预约
日本手办与游戏厂商良笑社(Good Smile Company)于10月29日发布第三份公告,确认其官方网上商店在遭未授权访问期间,约2800名顾客的信用卡全量信息存在外泄风险。据AUTOMATON WEST报道,这起良笑社数据泄露事件自10月19日下午持续至22日深夜,波及范围远超10月23日首次通报时的描述。良笑社已就事件向日本个人信息保护委员会报告,并开始逐一联系各信用卡发卡机构。
隐藏任务事件时间线:约80小时的未授权访问
根据良笑社官网支持页面发布的公告原文,网站首次出现异常访问是在2026年10月19日下午3时,未授权访问一直延续到10月22日深夜11时前,累计约80小时。公司于10月23日紧急关闭官方网上商店并发出第一份通报,此后六天内两度更新,直至10月29日的第三份公告才把风险明确到"完整卡号"这一层级。对部分顾客而言,从事件发生到获知详情,中间隔了将近一周。
隐藏关卡| 时间 | 事件 | 关键数字 |
|---|
| --- | --- | --- |
|---|
| 10月19日15:00 | 网站出现首次未授权访问 | 持续约80小时 |
|---|
| 10月22日22:20–23:00 | 订单集中时段,顾客资料或遭获取 | 7673人 |
|---|
| 10月22日23:00前 | 未授权访问结束 | — |
|---|
| 10月23日 | 网上商店关闭,首次发布通报 | — |
|---|
| 10月29日 | 第三份公告,确认信用卡风险 | 约2800人、逾40万张卡 |
|---|
时间线的密度说明一件事:公司对风险的认知是逐步扩大的,而非一次性披露完毕。
彩蛋合集信用卡全量信息:2800人为何被单独通知
良笑社已通过电子邮件逐一联系约2800名受影响顾客。公司列出的泄露字段包括持卡人姓名、完整信用卡号、有效期与安全码,即完成一笔无卡支付所需的全部要素。这类组合的风险不同于"邮箱被撞库",它足以支撑直接的盗刷行为。
剧情解析受影响人群的构成同样被披露:384人在事发时段使用信用卡完成了支付;185人在预订商品后更改过信用卡信息;其余则包含尝试信用卡支付但未能完成、以及登录后仅将商品放入购物车而未付款的账户。良笑社在公告中表示:"由于系统技术限制,难以区分'尝试信用卡支付但未完成'与'仅加入购物车未付款'两类账户,因此对两者一并发送了通知。"这一处理方式偏保守,但至少避免了遗漏。
剧情讲解逾40万张卡部分泄露,7673人姓名住址受波及
比全量泄露覆盖面更广的是"部分泄露"。良笑社警告,此次网络攻击中可能有超过40万张信用卡的部分信息外泄(已排除重复计数)。公司未逐项说明"部分"具体包含哪些字段,业界通常理解为卡号或有效期被遮蔽、仅暴露片段的情形,风险等级低于全量泄露,但并不等于无风险。
另一组具体数字是:在10月22日22时20分至23时整之间下单的7673名顾客,其姓名、住址与电话号码可能已被获取。这个40分钟窗口与攻击者持有管理员权限的活动时段高度重合,也解释了为何公司能精确到分钟地圈定人群。
攻击路径:管理员权限被夺,与PHP漏洞无关
良笑社认为,攻击者利用网站系统的一处漏洞取得管理员权限,继而访问后台数据。该公司明确指出,这起良笑社数据泄露与近期公开讨论的PHP漏洞问题无关——这一表态针对的是日本业界此前对PHP运行环境安全性的一轮争论。
同类事故在日本游戏行业并不新鲜。Capcom曾通报约1177万个"Capcom ID"账户受影响的大规模泄露,Visual Arts也发生过包含未公开作品信息在内的数据外泄。与前者相比,良笑社此次受影响账户数量小得多,但泄露字段更敏感,直接指向支付环节。良笑社进一步说明:"在确认网站安全之前,官方网上商店不会重新开放。"
监管与善后:个人信息保护委员会已收到报告
良笑社表示,事件已向日本个人信息保护委员会报告,目前正逐一联系各信用卡发卡机构。公司同时提醒收到通知的顾客核对账单、评估是否需要换卡。对"仅加入购物车"的账户,良笑社强调个人信息被泄露的可能性极低,通知属于技术限制下的兜底动作。
从合规角度看,向监管机构报告与向发卡机构通报是两条并行的义务线:前者约束企业对事件的处理流程,后者决定持卡人能否被及时保护。两条线是否跑得足够快,往往比公告措辞更能说明企业的应急能力。
良笑社网上商店什么时候恢复营业?用户该做什么
官方商店将在网站安全得到确认后重新开放,良笑社未给出具体日期,也未说明是否会引入额外的支付验证环节。对已收到通知的顾客,可行动作包括:逐笔核对事发前后的信用卡账单、向发卡行申请换卡、开启实时交易提醒,并对以"良笑社客服"名义索要验证码或卡号的邮件保持警惕。大规模泄露之后,二次钓鱼往往比原始泄露造成更实际的损失。
Q1: 良笑社数据泄露中,哪些信息被完整获取?
A1: 约2800名顾客的持卡人姓名、完整信用卡号、有效期与安全码可能被完整获取;另有逾40万张卡的部分信息、以及7673人的姓名、住址与电话号码存在泄露风险。
Q2: 收到邮件但只是把商品放进购物车,需要换卡吗?
A2: 良笑社称这类账户信息被泄露的可能性极低,发送通知源于系统难以区分两类账户。若该卡在事发时段有过实际支付记录,建议核对账单并联系发卡行确认是否需要换卡。
良笑社承诺在安全确认后重启网上商店,但未给出时间表。这起良笑社数据泄露事件的真正代价,不在公告的字数,而在40万张卡背后的信任修复。
深夜发文
日本手办与游戏厂商良笑社确认,其官方网上商店在10月19日至22日遭未授权访问,约2800名顾客的信用卡全量信息(卡号、有效期、安全码)可能外泄,逾40万张卡部分信息受波及,7673人的姓名住址电话或泄露。公司已上报个人信息保护委员会并联系各发卡机构,本文梳理事件时间线、受影响范围与用户应对建议。
