日本大瓜|券商没被攻破362条客户信息却险外泄(11月1日)

真事日本金融圈离谱事故实录 🌚

事情是这样的👉 日本头部线上券商乐天证券，自家交易系统压根没被攻破，客户信息却传出"可能外泄"的警报😱 事情绕了四层委托关系，最妙的是：密码没漏、交易没动，为什么客户还是被推到了钓鱼风险区？🍉

背景

楽天証券（乐天证券）约等于日本头部互联网券商App：开户、买卖股票债券、查持仓都在自家系统里完成。这次出事的不是炒股交易盘，而是它卖的一类特殊产品——「数字特典付き社債」（带数字福利的公司债）：买债券的客户除了拿利息，还能领周边、积分之类的特典，特典申请、名单登记并不跑在券商自己系统里，而是走外部服务商NTTデータ提供的平台，平台背后还挂着一层再委托商的SaaS。类比国内卖家：店铺交易系统好好的，但"赠品登记、福利领取、会员名单同步"这类功能外包给了第三方工具，客户资料就顺着接口流进了别人的服务器🍚

事件

10月31日乐天证券公告：3只数字特典债券的部分客户、延べ362件信息存在外泄可能，涉及カゴメ、JR西日本、近鉄GHD三只债券😱
关键边界：券商自家系统并未遭到非法访问；客户登录ID、密码以及各类交易信息均不在可能外泄范围。
被点名的是特典申请环节沉淀在外部平台的客户资料；目前尚未发现由本事件引起的非法登录或非法交易。
公司一边和NTT Data及其委托方联合排查原因与影响范围，一边提醒客户：警惕冒充券商的邮件、短信、电话，别点链接、别填个人信息，并建议尽快开启抗钓鱼的passkey认证⚠️

时间轴

2023年2月21日（背景节点）
：カゴメ第1回无担保社债发行，成为本次受影响的三只债券之一。
2024年6月19日（背景节点）
：西日本旅客铁道（JR西日本）第80回无担保社债发行，部分购买客户在列。
2026年7月24日（背景节点）
：近铁GHD第135回无担保社债发行，其中100万日元以上购买客户进入特典平台名单。
10月30日（金）（发现与通报节点｜官方动作）
：外部服务提供方NTT Data向乐天证券报告——其委托方运营的"数字证券平台"遭第三方非法访问，平台内信息可能被带出；乐天证券随即确认自家系统未被访问。
10月31日（公告节点｜各方反应）
：乐天证券正式公告，锁定3只债券延362件对象，说明字段边界（无ID/密码/交易信息）、确认暂无非法访问与非法交易；受影响客户将被个别联系，同时推送passkey设置与防钓鱼提示。

但是！

疑问来了🤔：券商自己的App、登录和交易系统都安然无恙，客户信息怎么就"可能外泄"了？再说密码、账号、交易记录都没漏，这波警报是不是小题大做？问题恰恰藏在"没漏密码"这四个字里——下一张卡拆开看：数据到底走了哪条路，黑客拿到姓名和购买金额又能干什么。

原理

先说明：官方未公布具体入侵路径（弱口令、API漏洞还是配置错误均在调查中），下面讲这类"外包链事故"的通用链路🔎

四层委托链：投资人→券商（自有系统安全）→NTT Data特典服务→再委托商SaaS平台
。客户买完债券申请特典时，姓名、购买金额等字段会被同步登记到最末端的外部平台，数据在"别人的服务器"里留了一份。
攻击打在最末端，责任却算到最前端
：客户只认券商招牌，数据虽不在券商库里，但客户关系和告知义务仍在券商；自有系统零被攻破，不等于客户信息零风险。
姓名+购买金额为什么值钱
：这组信息是精准钓鱼的开场白——骗子可以冒充券商客服，直呼客户姓名、报出债券金额，以"特典补发、事故补偿、账户核验"为由诱导点链接、输密码；不需要先偷到密码，骗出来的一样能用。
为什么推passkey
：密码可被钓鱼套走，passkey这类无密码认证绑定设备、抗钓鱼跳转，是券商在事故后给客户补上的一道门闩。

影响/总结