2726万条信息外泄，姓名和密码都没丢：这种\"看着没事\"的泄露才最难防

原创

龙哥网络安全
龙哥网络安全

龙哥网络安全

2026年10月31日 12:00
湖南

去阅读

数 据 泄 露 观 察

MUJI APP · 2726 万条

丢掉的，是邮箱、出生日期、性别。
没丢的，是姓名、住址、电话、信用卡。
——比起\"丢了多少\"，更该问的是\"丢的是哪几样\"。

10 月 30 日，运营无印良品的日本良品计划发布了一则通报。

官方应用 MUJI APP 遭到未经授权的外部访问，最多可能有约 2726 万条会员信息外流。

通报里紧跟着一句像是安慰的话：可能外泄的只有电子邮箱地址、出生日期和性别，姓名、住址、电话号码、信用卡信息，都不在其中。

很多人看到这里就放心了。

恰恰是这句话，让这件事值得单独写一篇。

2726万

条会员信息可能已外泄，超过日本总人口的五分之一

一、先把事情说清楚

可能外泄的字段只有三个：电子邮箱地址、出生日期、性别。

通报特意说明了没有丢的部分——姓名、住址、电话号码、信用卡信息，都不在其中。但有一句容易被略过：这批数据里，还包含已经停止使用该应用、甚至已经退会的用户。

良品计划的处置是：切断异常访问、修复问题，之后逐一联系可能受影响的用户，并提醒警惕冒充官方的钓鱼邮件，不要点击可疑链接。

对中国用户来说，有一个关键信息：MUJI 中国回应媒体问询时表示，中国会员信息存储在独立服务器上，按本地法规管理、不传输至境外，本次事件不影响国内用户。

另外，中国台湾地区的无印良品官网也发了公告：其官网订单数据存放在第三方云端服务商 91APP 的数据库中，该数据库同样遭到入侵；可能受影响的是 2025 年 4 月 4 日至 2026 年 10 月 14 日期间的订单，涉及姓名、电话、配送地址、邮箱与订单记录，不含信用卡信息与会员密码。

二、真正的问题不是丢了多少，是丢的是哪三样

很多人看到\"只有邮箱、生日、性别\"，第一反应是：这不都是半公开的信息吗？朋友圈里天天有人晒生日蛋糕。

单独看，确实是。但把这三样放在一起，性质就变了。

· 邮箱，是你在网络世界的门牌号。它决定了钓鱼邮件能寄到哪、账号找回的验证码发到哪、你在多少平台用的是同一个身份。

· 生日，是很多平台核身时的\"标准答案\"。你应该遇到过：打客服电话，对方核对姓名和出生日期，无误就办业务。生日一旦和邮箱绑定在一起，\"我是本人\"这句话就变得容易伪造。

· 性别，看着最没用，其实是话术的燃料。它决定对方开口叫你\"先生\"还是\"女士\"，决定一个骗局是\"兄弟你账户有问题\"还是\"姐妹你的退款到账了吗\"。社交工程的第一步从来不是技术，是让对方觉得\"这人认识我\"。

这三样凑在一起，业内有个说法，叫\"可用于通过验证的最小数据集\"。每一项单独拿出去都拿不上台面，合起来刚好够用。

邮箱、生日、性别，三个字段拼成一把钥匙

三、为什么\"没丢密码\"反而是个坏消息

直接盗刷、直接登录，是\"响\"的攻击。钱少了你会看到，异地登录平台会提醒，损失边界清清楚楚。

而\"三件套\"泄露，换来的是\"哑\"的攻击。

攻击者拿到的不是你的账户，是你的\"可信度\"：用你的邮箱加你的生日，写一封主题为\"您的会员积分将于月底清零\"的邮件；用你的性别和年龄段，挑一套最顺口的话术；再把这个邮箱丢进撞库的字典里，去试那些你在别处用过、很可能重复的口令。

成本极低，而且不需要攻破任何系统——因为最后一步，是你自己把门打开的。

这也是为什么这类泄露的危害，常常要等半年后才显形：数据不是被卖了，是被\"用\"了。

还有一个细节，很多人没注意：
这次泄露的名单里，有已经退会的用户。

这条说明一件事——注销，不等于删除。

不少产品在用户点下\"注销\"之后，做的只是给这条记录打个标记，字段全都留着。对业务来说这叫保留历史数据，对安全来说这叫延长暴露窗口。一个三年没用过这个 App 的人，照样在这次泄露的名单里。

四、接下来最可能发生的三件事，和第四个坑

第一种，精准钓鱼邮件。开头不再是\"尊敬的客户\"，而是\"您的会员等级即将调整\"。破解办法很朴素：看发件人域名，不要看显示名称；不要点邮件里的按钮，要办业务就自己打开 App。

第二种，冒充客服。对方能报出你的生日，语气专业，说订单异常要退款，然后引导你开屏幕共享、报验证码。记住一条：任何要你报短信验证码的\"客服\"，都是假的。

第三种，撞库。拿这个邮箱配若干常用弱口令，去批量试其他网站。如果你在多个平台用同一个密码，这次泄露就等于一次\"钥匙串丢失\"。

还有第四个坑，是很多人真会踩的：泄露事件发生后的 48 小时里，网上一定会冒出各种\"查询你的信息是否泄露\"的网页、小程序、群二维码。

别去。你输入邮箱的那一刻，你不是在查询，你是在给一个新的数据库做补充。想确认，只看官方渠道的公告和通知。

能做的比想象中多，四步就够

五、现在就能做的四件事

1、邮箱分级。把钱相关的（银行、支付、政务）、工作相关的，和注册杂事用的，分成两个以上邮箱。泄露不可控，但泄露之后的损失可控。

2、把生日报废掉。别再用生日当密码、当找回密码的答案、当支付验证信息。这是投入产出比最高的一次改动。

3、开二次验证，优先验证器 App 或硬件密钥，短信排最后。不是短信本身不安全，是它依赖的那张 SIM 卡，比你想象中容易被接管。

4、定期翻一遍\"登录设备\"和\"授权应用\"。已经不用的小程序、第三方登录授权，能撤就撤。

六、如果你在做产品，这段写给你

这次事件里最有价值的技术线索，是业内对攻击路径的推测：攻击者可能先逆向公开的安卓应用，拿到 API 的调用特征，再回头去打后端服务的漏洞。这类手法在日本被称作\"A2B 攻击\"。需要说明，官方尚未公布确切路径，这仍是推测。

但推测本身已经够提醒人了：客户端的混淆和加固，从来不是安全边界。边界在服务端。

落到会员系统上，有四件事值得现在自查：

· 字段最小化：这个字段业务真的需要吗？生日能不能只存年份？

· 批量拉取限流：单账号高频翻页、深度遍历，有没有告警？

· 导出审计：谁导出过会员库、导了多少条，有没有留痕？

· 退会清理：注销用户的数据，是打了标记，还是真的删了？

七、最后

通报里有个细节我印象最深：他们会\"逐一联系\"可能受影响的用户。

2726 万个人，逐一联系。这个动作本身就在说明，数据一旦散出去，企业能做的补救其实很有限。

真正有效的防线，永远在数据离开服务器之前。