Nojima 确认约 700 万条会员记录泄露，并强制重置密码
Nojima 确认网店及二手手机回收网站约 700 万条会员记录泄露，不含已退会用户。涉及姓名、联系方式、出生日期、性别、登录 ID 及厂商称已加密的密码；两站不保存信用卡资料。11 月 3 日通知称已强制重置疑似受影响账户密码。
- 披露时间
- 2026年11月2日
- 更新于 2026年11月5日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Nojima Online 及二手手机回收网站会员；约 700 万条记录，不等于已去重人数
- Nojima · data breach · credentials
- 在野利用
- 已发现
- 厂商确认 11 月 1 日发生未授权访问及会员资料外泄。
发生了什么
完整泄露字段为姓名（汉字及假名）、出生日期、性别、邮编、地址、电话、登录 ID、厂商称已加密的密码及邮箱。公告将规模写为约 700 万“件”，并排除已退会用户；不能据此断言去重后的独立受害人数。厂商称两站不保存信用卡资料，不代表其他金融服务或系统均已排除影响。
厂商正在调查原因、范围及后续滥用；未公布密码保护算法、入侵漏洞或恢复期限。11 月 2 日公告称已向警方咨询，向个人信息保护委员会等机构的报告尚在准备，不能写成已完成通报。服务重启以安全确认后的官方通知为准，密码重置通知本身不代表全部服务已经恢复。L4 依据是厂商确认的大规模资料泄露。
11 月 4 日重设指引： 通知现要求输入接收重设链接的邮箱，替代早先的邮箱加电话步骤，不代表所有后续身份核验均已取消。无法确认登记资料或收不到邮件时，应使用官方咨询表单。更改密码后可在 My Page 核查登记资料及申请退会。Nojima 另称实体店 Nojima Mobile Member 资料未受影响，但不能据此排除另外注册了线上服务的用户。通知未宣布全面恢复，也不能撤回已经泄露的资料。
案发时间线
2026年11月1日
发现未授权访问并确认资料泄露
2026年11月2日
厂商发布约 700 万条记录受影响的公告
两站暂停服务，采取阻断外部访问等措施，并准备向监管机构报告。
2026年11月3日
公布强制密码重置及重新设置流程
2026年11月4日
修订密码重设步骤，并增加账户访问协助
当前通知要求填写接收重设链接的邮箱，替代较早的邮箱加电话步骤；补充登记资料不明或收不到邮件时的支持渠道，以及重设后在 My Page 核查资料和申请退会的方法。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Nojima 原始事件公告（PDF）一手来源11 月 2 日通告：11 月 1 日确认泄露、约 700 万条记录及字段、退会用户排除、未保存信用卡资料、服务暂停及调查。
- Nojima Online 密码重置通知一手来源11 月 4 日更新：强制重设、邮箱重设流程、登记资料不明或未收到邮件时的支持，以及 My Page 核查和退会指引；称仅用于实体店的移动会员资料未受影响。