KuroCMS开发手记 Vol.6：近期黑客事件频发致大量个人信息泄露，我们已全面升级安全防御
近期利用AI的网络攻击引发海量信息泄露。在这个连俄罗斯或以色列等国家都会强夺土地与尊严的世道下，必须学会自卫。KuroCMS保持开源并大幅升级了防御安全。
自2026年9月前后爆发并持续至今的黑客攻击，其波及范围仍在不断扩大。尽管业界早已深知必须刻不容缓采取对策，但侵害事件依然层出不穷。为此，我们先将近期的主要受害事件汇总整理成了下表供大家参考。
2026年9月至当下发生的信息泄露事件一览#
因遭受非法访问等原因导致个人信息泄露，或已公开发布泄露风险警告的企业与团体（日期为公开披露日）。共计 64 起。※按披露时间倒序排列
| 日期 | 企业・团体 | 泄露内容 | 受害规模 | 诱发原因 |
|---|---|---|---|---|
| 10/17 （周六） | Skyticket（在线旅游预订平台） | 信用卡核心信息泄露 | 约6,000人 | 非法访问 |
| 10/16 （周五） | 大和运输（Yamato） | 个人信息外泄 | 约531万条 | 非法访问 |
| 日本经济新闻社（日经） | 个人信息泄露 | 183万条 | 非法访问 | |
| 三菱瓦斯化学 | 离职员工等人员个人信息泄露 | 2,000人 | 外包服务商 | |
| Studio（无代码网页设计平台） | 疑似客户数据泄露 | — | 非法访问 | |
| 芳珂（FANCL）旗下关联公司 | 个人信息泄露 | 83万条 | 非法访问 | |
| Comic Cmoa（电子漫画面向平台） | 会员信息泄露（邮箱及出生年月日等） | — | 非法访问 | |
| 日本邮政 | 客户敏感资料处于公开可访问暴露状态 | 600条 | 非法访问 | |
| 日立安斯泰莫（Hitachi Astemo） | 商业合作伙伴等相关个人信息泄露 | 350人 | 非法访问 | |
| Times Car 共享汽车（Park24旗下） | 定于10月23日正式公布受害应对与处置方针 | — | 后续进展 | |
| 岩井Cosmo证券 | 客户信息泄露 | 4,600人 | 外包服务商 | |
| 滨松市（静冈县） | 消防联动个人信息疑遭泄露（经由阿尔卡迪亚云服务） | — | 外包服务商 | |
| BASE旗下子公司 | 个人信息泄露，其中209万人附带部分信用卡敏感数据 | 2,335万人 | 未注明 | |
| 京王电铁 | 确认网络犯罪团伙“Qilin”宣称实施了勒索软件打击 | — | 勒索软件攻击 | |
| 10/15 （周四） | M3公司（医疗门户平台） | 制药行业专用服务平台发生个人信息泄露 | — | 非法访问 |
| SOURCENEXT（软件发行商） | 疑似客户数据泄露 | 2,252万条 | 非法访问 | |
| 汉堡王（Burger King日本） | 官方移动应用程序会员信息泄露 | 1,118万条 | 非法访问 | |
| Medley（医疗系统方案商） | 医疗管理系统疑遭黑客入侵泄露 | 最多涉及787家机构 | 非法访问 | |
| 10/14 （周三） | transcosmos（大宇宙商业服务） | 合同工应聘者个人档案信息泄露 | 约4,600人 | 未注明 |
| 马自达（Mazda） | 车主在线交流社区数据疑遭外泄 | 4,103人 | 外包服务商 | |
| Aena（美妆折扣零售商） | 会员个人数据疑似遭到外泄 | 81万人 | 非法访问 | |
| Izumi（大型连锁商超集团） | 存在数据严重外泄隐患风险 | 最多达40万条 | 软银关联公司 | |
| JR九州旗下餐饮子公司 | 疑似发生个人隐私信息泄露 | 26,900人 | 未注明 | |
| 10/13 （周二） | 日本邮政 | 存在客户档案数据外泄风险 | 最多达4,807条 | 系统故障 |
| 面向地方政府的防灾信息服务商 | 电子邮箱地址库疑遭泄露 | 313万条 | 非法访问 | |
| 银之盘（大型外送寿司连锁） | 疑似由外部承载服务器泄漏客户资料 | 最多达650万条 | 非法访问 | |
| JR东海 | 自营电商商城平台疑似外泄客户邮箱 | — | 软银关联公司 | |
| 静冈县御前崎市 | 外包防灾预警邮件服务商面临数据外泄风险 | — | 外包服务商 | |
| SKY Perfect JSAT（卫星通信集团） | 电子邮箱地址库疑遭泄露 | — | 软银关联公司 | |
| 雅马哈・雅马哈发动机 | 社交社群注册会员资料疑遭外泄 | 合计3,200人 | 未注明 | |
| 10/10 （周六） | DIP集团（Baitoru求职网） | 电子邮箱地址遭受泄露 | 最多达388万条 | 未注明 |
| Temairazu（酒店渠道管理系统） | 核心数据疑似遭到泄露 | 445万人 | 非法访问 | |
| 10/9 （周五） | JR九州 | 电子邮箱地址库疑遭泄露 | 最多达130万条 | 软银关联公司 |
| LINE雅虎（LY Corporation） | 内部数据检索分析工具致个人信息泄露 | — | 外包服务商 | |
| 万代南梦宫（Bandai Namco）关联公司 | 街机娱乐游艺设备联网会员信息泄露 | — | 非法访问 | |
| 味滋康集团（Mizkan） | 电子邮箱等各类关键信息泄露 | — | 外包服务商 | |
| Resorttrust（高端会员制度假酒店） | 经由官方网站入口遭会员信息泄露 | 26,000条 | 非法访问 | |
| Sansan（商务云端名片服务） | 托管外部云端存储空间疑似遭数据外泄 | 10,000人 | 非法访问 | |
| 铃木（Suzuki） | 电子邮箱等多项数据疑似外泄 | — | 外包服务商 | |
| JR东日本 | 电子邮箱地址库疑遭泄露 | — | 软银关联公司 | |
| BOOKOFF旗下子公司 | 疑似客户数据泄露 | 最多达643万条 | 非法访问 | |
| 10/8 （周四） | NewsPicks（商业新闻新媒体平台） | 存在个人敏感信息外泄可能性 | — | 非法访问 |
| 罗森（Lawson便利店） | 个人敏感信息泄露（包含姓名、居住地址等） | 约215万条 | 非法访问 | |
| 第一兴商（DAM卡拉OK运营巨头） | 存在个人信息泄露风险 | 872万条 | 外包服务商 | |
| 岩手银行 | 客户信息疑遭泄露（经由合作方大和证券的委托服务商） | — | 外包服务商 | |
| 10/7 （周三） | HIS旗下子公司 | 出入境护照核心身份资料疑似泄露 | 最多达627人 | 非法访问 |
| 损保日本（Sompo Japan保险） | 存在客户数据泄露可能性 | 60,000条 | 非法访问 | |
| 10/6 （周二） | 旭化成旗下关联公司 | 面向专业医务工作者的行业门户平台疑似泄密 | 最多约56万人 | 未注明 |
| 西铁城（Citizen时计） | 客户关键业务信息疑遭泄露 | 10万人 | 外包服务商 | |
| Nimoca（西日本铁道交通IC卡） | 客户核心资料确认外泄 | 约500条 | 非法访问 | |
| GMO互联网集团旗下关联公司 | 个人敏感信息外泄，积分系统遭未经授权非法盗刷 | 95万人 | 非法访问 | |
| MrMax（大型折扣综合商超） | 客户核心资料确认外泄 | 最多达173万人 | 非法访问 | |
| 10/5 （周一） | 大起水产（回转寿司及水产连锁） | 疑似发生数据泄露 | 17万人 | 非法访问 |
| 大阪公立大学 | 存在个人身份档案外泄严重隐患 | 13万人 | 勒索软件攻击 | |
| 烧肉King（大型连锁日式烤肉） | 客户信息泄露 | 逾1,000万条 | 非法访问 | |
| 大和证券 | 银行资金账户号码等关键客户档案疑似外泄 | 22万条 | 外包服务商 | |
| 10/4 （周日） | 日本经济新闻社（日经） | 系统遭黑客渗透外泄，冒名发送9000封钓鱼欺诈邮件 | — | 非法访问 |
| 日本经济新闻社（日经） | 系统遭受非法撞库登录致个人档案外泄 | 1,646人 | 非法访问 | |
| 10/3 （周六） | ABAHOUSE（日本知名时装品牌集团） | 全体客户资料疑遭完整泄漏（由多起‘可疑欺诈邮件’举报查实） | 全体客户数据 | 未注明 |
| 10/2 （周五） | 第一生命集团 | 企业在职及离退员工全部个人档案疑遭外泄 | 12万人 | 未注明 |
| 佐川急便（Sagawa） | 个人敏感信息疑遭外泄（包含实名姓名及联系住址等） | — | 非法访问 | |
| 9/30 （周三） | 大阪燃气旗下2家关联公司 | 存在客户数据泄露可能性 | 约8,260条 | 非法访问 |
| 9/29 （周二） | Secoma（Seicomart便利店运营方） | 移动应用程序后台后端服务器疑遭渗透外泄 | 57万条 | 非法访问 |
| 9/28 （周一） | Times Car 共享汽车 | 个人信息遭严重泄露（包含驾驶证扫描证件影像） | 最多达660万条 | 非法访问 |
| 合计（标注有明确规模的 44 起，含数据条数与人数的累加及重复计数） | 约1.24亿 | |||
触目惊心的受害规模：约1.24亿条/人。即便扣除部分模糊数字与潜在重复，泄露的信息体量也已基本与日本总人口相当。
本次受害事件与入侵手法的核心特征#
本次风波不仅造成的损失规模远超以往，更反常的是“几乎每天都在发生泄露”这一惊人现实。显而易见，攻击方已经全面运用了尖端AI技术。尽管许多受害企业未公布具体入侵途径，但仅从已公开的案例来看，绝大多数都是利用了“网站、应用程序或API的漏洞”进行渗透。
其次高发的入侵途径是“钓鱼邮件与恶意网站重定向”。由于现代生成式AI能够生成极其通顺自然的拟真文案，用户极易在毫无防备的情况下点击链接，跳转至与正规平台设计毫无二致的仿冒页面，从而在不知不觉中输入账号密码致使凭据失窃。
虽然业界常谈及VPN设备硬件漏洞，但在此期间明确指明VPN缺陷的仅有数字厅1起。绝大多数入侵均集中于上述两大入口，且入侵后往往暴露出管理员权限防护薄弱的通病——系统设计缺乏纵深防御，攻击者突破边界后即可在内网为所欲为。
那么KuroCMS采取了哪些安全防范措施？#
首先，因钓鱼邮件或伪造网站引发的账户失窃在KuroCMS中是绝对不可能发生的，因为我们自始至终全面采用通行密钥（Passkey）机制。这固然有开发者本人讨厌记密码的个人偏好，但根本原因在于：密码极易遗忘，迫使用户往往妥协选择简单弱密码，存在难以弥补的结构性安全隐患。
以下是KuroCMS此前在v1版本中已经具备的基石级安全防护措施：
| 版本 | 防护策略 | 具体实现机制 |
|---|---|---|
| v1 | 仅限通行密钥登录 | 系统完全不存储任何静态密码，因此不存在密码泄露或凭据碰撞风险。用户通过指纹或人脸生物识别登录，私钥永不出本地安全芯片。会话凭据受到严密隔离，外部网站与第三方脚本均无法盗用。 |
| v1 | AI修改全量版本回滚 | 在覆写或删除任何文章正文之前，系统均会自动将该时点的全文完整保存为不可变历史版本。正文作者身份（真人、AI或API）由底层认证鉴权严格签发记录，绝无法伪造。即便遭遇未授权篡改，亦可瞬间一键还原。 |
| v1 | API密钥仅存哈希摘要 | 供AI协同操作使用的个人访问令牌（PAT），数据库端仅保存单向密码学哈希值。服务器永不留存原始明文，纵使底层数据意外泄露，攻击者也绝无法作为密钥使用。 |
| v1 | 绝不代存Cloudflare主密钥 | 用户在部署到个人Cloudflare环境时，安装器中输入的API令牌仅在内存中用于初始部署，绝不持久化存储于任何服务器。后续自动更新则由仅具备Worker部署权限的专用最小权限令牌接管。 |
| v1 | 公开发布静态预构建HTML | 呈现在访客面前的纯粹是预先构建完成的静态HTML，每次页面浏览绝不实时查询动态数据库，将外部潜在攻击面缩减至极限。抓取外部URL的功能在执行前均严格校验目标网段（杜绝SSRF威胁），同时天然适配CDN边缘缓存，兼顾极致响应速度。 |
以下是本次v2版本全新引入的重磅安全防御改进：
| 版本 | 强化升级 | 具体实现机制 |
|---|---|---|
| v2 | 彻底清除正文恶意脚本 | 文章正文与站点文本在保存持久化与前端渲染展示时均执行两次严苛过滤，彻底剔除script标签、DOM事件属性、javascript:伪协议以及未授权的外部嵌入内容。无论由真人、AI、API还是批量导入生成，在读者与管理员浏览器中均绝对杜绝恶意脚本执行。 |
| v2 | 升级包数字签名与哈希双重校验 | 新版本程序统一自KuroCMS官方分发通道获取，在写入前必须通过数字签名与内容哈希完整性校验。部署后若新版本健康检查未通过，WorkerOps守护程序将自动平滑回退至上一稳定版本。 |
| v2 | 严格的多租户数据物理隔离 | 文章与媒体资产严格留存于客户自身的Cloudflare账户内。在委托代管模式下，基础设施与KuroCMS在账户层面彻底隔离，每个站点配置专用独立数据库，绝不与他人数据混用。上报故障时仅传输数值错误代号，绝不触碰任何文章正文数据。 |
| v2 | 管理后台仅限白名单网络访问 | 管理后台仅允许自通过通行密钥鉴权绑定的合法IP网络接入。IP注册全程静默自动化，在持续使用期间动态顺延。一旦检测到未登记网络尝试复用会话，系统立即拦截并向所有者推送验证告警，被盗会话凭证在异地彻底失效。 |
| v2 | 会话网络与硬件设备双重加密绑定 | 浏览器会话强制绑定至发起时的网络连接。用于维持登录状态的刷新令牌，与签发设备的物理安全密钥深度哈希绑定（Device Binding）。即便令牌中途遭到截获，在异地网络或其他设备上也完全无法伪造重放。 |
最终成效如何？未来展望与战略演进#
其中最具革命性的突破当属IP强校验限制。在步入IPv6的时代，每台联网终端均可拥有全球唯一的公网IP。登录KuroCMS管理后台必须匹配该受信任IP。而伪造IPv6公网地址，即便是对于骨干网络运营商工程师而言也是极高难度的操作。配合深深锚定于浏览器与本地安全硬件的通行密钥，常规网络渗透手段已几乎不可能突破防线。
与此相配套，我们将KuroCMS的核心身份认证基座整体迁徙至企业级法人统一身份平台。这同时也契合了我们为不便自建Cloudflare账户和生成PAT的用户推出的“委托代管服务”。借助企业级安全审计基座，任何可疑的访问异动均会第一时间在后台弹窗并邮件预警用户，同时联动云端安全运维中心实施秒级威胁阻断。
在做出这个决定时我们曾深思熟虑：KuroCMS的内核源码将继续保持完全开放的开源模式，但为了确保最高级别的不可突破性，身份认证与鉴权中枢则交由高度封闭加固的企业级防护基座承载。用户无需担忧由此产生负面影响，部署到自有Cloudflare账户的纯自主模式（v1的唯一方式）依然受到完全支持。对于由此增加的邮箱注册要求，我们在此向大家致以诚挚歉意。
相比于此前的v1，全新进化的KuroCMS在整体安全性上实现了跨越式的升华。由衷期待大家继续信赖与支持KuroCMS。
※KuroCMS v2 预计将于本周末左右正式发布。