日本正在被黑客"爆破"。2026年10月，日本遭遇的网络攻击超过4.75亿次，是去年同期的2.5倍，创下历史新高；而同一时段内，以千万条计的数据泄露公告接二连三刷屏，"日本成为黑客新手村"的说法因此冲上热榜。哔哩哔哩
先说结论：这轮"爆破"主要是针对企业会员数据库的撞库拖库与勒索，而非把网站打瘫的洪水式DDoS。被点名的既有烤肉店、便利店这样的日常消费场所，也有券商、云服务商、电信运营商这样的基础设施型企业。它们密集翻车的原因，与其说黑客太强，不如说日本的IT地基太旧：老旧的密码规则、层层转包的外包链条，再加上AI把攻击成本打到接近零，让"黑日本公司"在黑客圈子里成了一门低风险的生意。
"爆破"的真相：不是打瘫网站，是拖走数据库
中文互联网上说的"爆破"，其实包含两种完全不同的攻击：一是用机器人流量把网站冲垮的DDoS，二是拿已泄露的账号密码批量尝试登录、进而潜入数据库的撞库。这轮日本企业中招的主要是后者——服务器没有被冲垮，藏在里面的会员信息却被成批搬走。所以很多日本用户一边骂，一边会看到"系统运行正常"的公告与"数据疑似泄露"的提示同时出现：网站没倒，家被偷了。11月，NTT Docomo在记者会上证实，因未授权非法访问最多已造成29万4839件个人信息泄露，官方解释称，此次系遭受了结合多种攻击手段的组合式袭击，导致客户信息被以机械化的方式批量搜索并窃取。哔哩哔哩
量级最能说明问题。10月5日，连锁烤肉店烧肉King公告旗下App约1078万条会员信息可能泄漏；四天后订机票酒店平台Skyticket跟上，称约1464万条信息可能泄露；同一天，二手书巨头Bookoff也称可能有643万条数据外泄——三家公司加起来超过了3000万条会员信息存在泄露风险。10月8日，罗森便利店（Lawson ID）公告约216万条涉及姓名、邮箱、电话、地址的信息面临泄露风险。到11月9日，家居巨头宜得利（NITORI）表示，至多3,762万条个人信息面临风险——这已接近日本总人口的三分之一。知乎知乎微博
为什么是日本：老规矩、旧系统、没人盯的漏洞
日本大量网站长期沿用一些在安全圈看来近乎"复古"的规则：密码限制长度、禁用特殊字符、要求纯数字，甚至把解压密码和解压文件分两封邮件发送的"PPAP"至今还有企业在用。这类规定看着严格，实际上大幅压缩了密码的可能组合，恰好帮撞库脚本缩小了试错空间。知乎
这轮被撕开的口子也多属此类。9月28日，漫画巨头集英社宣布被黑，原因是旗下博主管理系统的CMS配置错误——黑客绕过了本该核对身份的程序接口，给自己开了个管理员级别的账号。日本警察厅统计，今年上半年就有123起勒索软件案，创下有统计以来的最高纪录，而一半受害者的突破口都是VPN设备——防线最先松动的，往往就是这些没人定期更新的角落。知乎
更要命的是外包链条。日本信息处理推进机构的白皮书显示，美国65.4%的IT人才受雇于银行、零售、制造等用户企业，日本却完全反过来——2015年72%的IT人员在外包公司，2020年这个比例升到73.6%，多数传统大企业内部几乎没有研发和运维能力。于是，一家底层服务商被攻破，它名下所有客户的数据就一起暴露；而承包商往往再往更深处转包，层层"套娃"。这轮泄露中，多起事件都指向服务商失守后牵连一片：11月4日，邮件投递SaaS服务商"アララ"遭第三方入侵后，下游加密货币交易所Zaif确认380,536个客户邮箱外泄，求人网站シフトワークス也称最大461,437个邮箱可能中招。云服务商GMO旗下的云桌面服务则是在10月20日被发现部分服务器遭植入恶意程序，可能受影响的服务器达26,739台。知乎哔哩哔哩知乎
公告如此密集还有一层原因：2022年4月修改后的《个人信息保护法》正式实施后，超过1000人的数据泄露等情况，企业必须向个人信息保护委员会报告，并在规定情况下通知本人。东京商工调查的统计则显示，日本上市公司2025年公开的个人信息泄露事故已涉及3063万多人份，接近2024年的两倍——问题早就在高位运行，只是如今被密集公告拽进了公众视野。对普通用户而言，这解释了为什么"我明明没做坏事，信息却被卖了"：泄露往往发生在企业那一侧，而不是你的那一侧。知乎
AI让"扫旧漏洞"变成低成本生意
攻击侧同样在换代。10月14日，日本安全公司Scutum发文实锤，至少有3个IP正在用AI Agent攻击日本企业网站，其中一个IP在8小时内连续切换了十几种黑客工具——过去需要人一步步操作的事，现在由自动化代理24小时轮着试。知乎
AI也把门槛砍到了脚面上：日本警方此前已抓获多名用AI辅助作案的未成年人，2025年2月东京警视厅逮捕的3名初高中生，只有14到16岁，用AI写的非法登录程序盗开手机卡倒卖。知乎
勒索组织同样把日本当成重点市场。今年10月，日本调查当局逮捕了国际黑客组织"麒麟（Qilin）"的一名俄罗斯籍核心成员，并于本月将其引渡至德国；该组织对日本的评价相当直白：未来针对日本企业与政府机构的攻击或将增多。知乎
官方和企业怎么接招：慢半拍的追赶
企业端最先出现的是一连串道歉与补偿。GMO拒付约80亿日元赎金后，黑客公开了疑似客户资料，GMO随后向所有使用该服务的客户发放5,000日元慰问金，并提供6个月免费替代服务。11月11日，世嘉又通报约220万新闻订阅邮箱泄露。知乎知乎
官方节奏明显更慢：官房长官此前只能表示还不清楚事件之间有无关联，警察厅对攻击手法的调查据说要到2027年3月才出结果。政治层面的动作是11月6日：首相高市早苗召开网络安全阁僚会议，要求调动一切政府资源，日方决定投入100亿日元（约4.2亿人民币）召集顶尖安全人才组建官方团队。知乎微博
这事跟你有什么关系
先看最被关心的：无印良品日本总部App约109万条会员信息疑似外泄、含完整信用卡卡号后，11月6日无印良品（上海）发布情况说明，称经核查中国消费者信息确认安全，与此次日本的事件无关。但如果你注册过日本本土的餐饮、便利店、铁路、订票、券商或游戏会员服务，眼下有两件事值得做：泄露清单里大量出现邮箱、出生日期甚至密码哈希，凡是与其他网站重复使用的密码都应立即更换；宜得利等企业已提醒顾客警惕冒充官方的可疑邮件和电话，黑客公开资料的网站本身也在收集访问者信息，不要访问或传播相关内容。微博哔哩哔哩
跳出日本看，这场"爆破"更像一次公开直播的压力测试：AI把自动化入侵的成本打下来之后，任何"老系统+层层外包+漏洞无人修补"的角落，都会从"不值得打"变成"顺手就刷"。日本自身的调查结论要到2027年3月才公布，在那之前，值得盯住的信号是：泄露公告是否还在按天刷新，攻击量是否继续翻倍，以及多少国家会把"旧系统的AI防护"提前变成必修课。
