日本漢堡王營運商 10 月 15 日公布，官方 App 約 1,118 萬筆會員資料外洩，燒肉 King、BOOKOFF、外送壽司「銀のさら」與地方政府防災郵件系統也在 10 月接連公布外洩或可能外洩，各家規模都在 300 萬筆以上。日本 NICT 同時示警，攻擊者會拆解公開的 Android App 再攻擊後端伺服器。
（前情提要：韓國銀行業連續被駭，政府指出有「中文 AI 駭客工具」痕跡）
（背景補充：104 人力銀行宣布重大外洩：12 萬筆履歷遭未授權讀取）
重點摘要
- 漢堡王與燒肉 King 的 App 各有約 1,118 萬、1,079 萬筆會員資料外洩
- BOOKOFF 確認 638 萬人資料外傳，其中 21 萬人已經退會
- NICT 10 月 13 日示警，攻擊者先拆 Android App 再攻後端伺服器
日本漢堡王營運商 BK Japan（ビーケー・ジャパン）10 月 15 日公布，官方 App 的會員管理系統遭第三者未授權存取。約 1,118 萬筆會員資料外洩。日本 10 月以來，至少已有 5 家業者公布 300 萬筆以上的外洩或可能外洩。燒肉 King、BOOKOFF、外送壽司「銀のさら」與一套地方政府使用的防災郵件系統都在名單上。
據日本媒體報導，未授權存取發生在 10 月 2 日到 7 日，BK Japan 在 13 日確認資料外洩。外洩欄位共 10 項，包括會員 ID、信箱、姓名、電話、生日、性別與居住的都道府縣。公司表示不持有信用卡號，登入密碼目前沒有確認外洩，也還沒發現二次被害。原因仍在調查，BK Japan 正以電子郵件通知受影響的會員。
燒肉 King 幾乎全部 App 會員外洩
營運燒肉 King（焼肉きんぐ）的物語 Corporation 在 10 月 5 日公布，公司 10 月 2 日發現 App 會員管理系統遭未授權存取，3 日確認 1,078 萬 8,963 筆會員資料外洩。這套 App 的註冊數是 1,080 萬 8,784 筆，外洩比例約 99.8%，等於幾乎每個會員都在其中。外洩的是會員編號、App 註冊名稱、信箱與電話，登入密碼與生日沒有外洩。
外送壽司「銀のさら」母公司 Ride On Express Holdings 則在 10 月 13 日公布，最多約 650 萬筆資料可能外洩。對象是旗下三個品牌官網與 App 的註冊者，欄位包括姓名、地址、電話、信箱、生日與訂單紀錄。公司 10 月 5 日起偵測到未授權存取，7 日清晨部分伺服器故障。伺服器營運商隨後通報遭勒索軟體攻擊，受託保管的資料難以取出與復原。
Ride On Express 強調 650 萬筆是上限，截至 13 日還沒找到明確的外洩痕跡，也沒有公開伺服器營運商的名稱。官網與 App 點餐到 13 日仍暫停。
BOOKOFF 退會會員也在名單上
二手書連鎖 BOOKOFF 的母公司 BOOKOFF Group Holdings 10 月 9 日先發首份公告，13 日再發第二份公告。公告確認 642 萬 7,735 筆會員資料被傳送到外部，資料是在 10 月 4 日到 6 日被取走。以同一個信箱歸戶後是 638 萬 3,279 人，其中 21 萬 2,371 人已經退會，代表退會者的資料仍留在系統裡。
外洩欄位包括姓名、生日、性別、信箱、電話、地址、點數卡號，以及密碼的雜湊值（經過轉換、無法直接讀出原密碼）。信用卡與銀行帳戶資料不在範圍內。BOOKOFF 表示為避免誘發後續攻擊，不公開攻擊手法細節。公司 15 日起陸續寄信通知會員，並請會員更改密碼。
同樣在 13 日公布的，還有地方政府使用的防災郵件系統。大阪府 Arcadia 公司的防災訊息發送服務 SpeeCAN RAIDEN 遭未授權存取，最多約 313 萬 6,000 個信箱與 10 萬 5,000 個電話號碼可能外洩。過去發送的訊息內文也在範圍內。
埼玉市、橫須賀市、大分縣等地方政府同日各自公布受影響的登錄筆數。據 ITmedia 報導，部分地方政府登錄的信箱已收到冒充信用卡公司的可疑郵件。
五家業者的計算單位不同，同一個人也可能是好幾家的會員，以下數字不能直接相加。
- 漢堡王 App 約 1,118 萬筆，已確認外洩，10 月 15 日公布
- 燒肉 King App 1,078 萬 8,963 筆，已確認外洩，10 月 5 日公布
- 銀のさら等三品牌最多約 650 萬筆，可能外洩，10 月 13 日公布
- BOOKOFF 642 萬 7,735 筆（歸戶後 638 萬 3,279 人），已確認外洩，10 月 13 日第二次公告
- SpeeCAN RAIDEN 最多約 313 萬 6,000 個信箱，可能外洩，10 月 13 日公布
NICT 示警攻擊者先拆 App 再攻伺服器
日本情報通信研究機構（NICT）的分析團隊 LETTICE 10 月 13 日發布警示報告。報告指出，國內接連發生的外洩，原因之一是「A2B 攻擊」（App-to-Backend Attack）。攻擊者先下載 Google Play 日本區公開的 Android App，解析出背後的伺服器、API 與參數，再針對每台伺服器設計攻擊。
NICT 表示，就算 App 本身沒有漏洞，後端 API 的身分驗證或權限檢查有缺失，個資一樣可能被取走。報告也提到，AI 讓程式解析與找漏洞更有效率，這類攻擊可能擴及更多系統。報告沒有點名受害企業，五家業者也沒有一家表示與 A2B 有關。
常見問題
日本漢堡王 App 外洩了哪些個資？
營運商 BK Japan 表示，約 1,118 萬筆 App 會員資料外洩，包括姓名、電話、信箱、生日、性別與居住的都道府縣。公司不持有信用卡號，登入密碼目前沒有確認外洩。
BOOKOFF 個資外洩影響多少人？
BOOKOFF 10 月 13 日公布，642 萬 7,735 筆會員資料被傳到外部，以信箱歸戶後是 638 萬 3,279 人，其中 21 萬 2,371 人已退會。信用卡與銀行帳戶資料不在範圍內。
📍相關報導📍
德國外送 Flink 被駭拒付贖金，駭客竟轉向用戶「群募」100 ETH 否則拍賣個資
