索尼集团旗下索尼网络通信公司于 10 月 27 日发布通报，确认其运营的日本互联网服务 So-net 会员数据库遭第三方未授权访问，共有 2,585,481 条现任及前任会员记录被窃取，另有 54,401 个邮箱地址及其密码同时外泄。入侵发生在 10 月 19 日，公司直到 10 月 23 日才发现，中间隔了四天。
泄露了什么
通报把泄露数据分成几组，数字对得很清楚：
- So-net 会员 2,141,986 条，其中 1,869,771 名为现役会员，272,215 名为 2026 年 3 月及以后退订的会员。
- plala（S Course）会员 443,495 条，含现役 422,365 名与已退订 21,130 名。这部分属于 NTT Docomo 的光纤业务，由索尼网络通信作为承包方运营。
- 邮箱账号 54,401 个，地址与密码同时泄露，横跨四项邮件服务：免费邮件服务 G（24,655 个，跑在旧域名上）、付费附加信箱 A-Box、So-net VAIO Mail、PostPet Mail。
- 银行账户信息 16 条，包含银行名称、支行、账户类型、账号与账户名。公司强调不保存账户 PIN，且这 16 条里没有 plala 用户。
- 另有 7 条密码重置通知记录被读取，涉及账号的密码已重置。
两组会员记录泄露的字段一致：姓名、电话号码、邮箱地址、用户 ID、出生日期、性别、网络连接 ID。公司明确说明会员登录密码没有泄露，五组数据里都不含信用卡信息。2026 年 2 月底之前退订的用户不受影响。
四天的空窗
时间线值得单独列出来看。10 月 19 日周一，外部人员未授权访问 So-net 会员数据库。10 月 23 日周五，公司才确认这次访问。确认后立即关停受影响服务器，并切断了来自攻击源头的通信。10 月 24 日，调查确认个人信息确实外泄，并厘清了数据类型与记录数量。10 月 27 日对外通报。
也就是说，从入侵到发现是四天，从发现到确认外泄是一天，从确认到公开又是三天。关于入口方式、攻击者身份、数据是否已在地下论坛流通或是否收到勒索，公司目前都未公布，通报里也没有把事件定性为勒索软件攻击，原因仍在调查中。
NTT Docomo 在 10 月 26 日接到索尼网络通信的通知，同日发布了自己的客户告知。Docomo 说明 plala 其他服务不受影响，受影响的 plala（S Course）数据中不含密码、信用卡号与银行账户信息。
真实风险在钓鱼，不在密码
会员密码没丢，信用卡没丢，但姓名、电话、出生日期、邮箱、用户 ID、网络连接 ID 这六项凑在一起，正好是一份高质量的精准钓鱼素材。攻击者可以冒充索尼、So-net 或 plala 客服，也可以冒充银行和物流，把邮件、短信、电话打到具体的人身上，而且称呼、生日、宽带账号都能说对。
更麻烦的是那 5.4 万个邮箱密码。拿到地址加密码，攻击者可以直接登录读取、发送、接收该邮箱的邮件——密码重置邮件大多也走这里，等于顺手拿到一条通往其他账号的跳板。索尼已在 10 月 27 日重置这批密码，用户需通过 So-net My Page 门户重设。如果这些账号在别处复用了同样的密码，那些站点也得一起改。
处置建议
- 收到自称 So-net、plala、NTT Docomo 的邮件或来电，不要点链接、不要开附件、不要在电话里报个人信息。公司不会索要密码。
- 为邮箱开启二次验证，并检查邮箱的自动转发规则与登录记录。转发规则被偷偷加上，是邮箱被接管的典型信号。
- 核对银行对账单。那 16 名用户会被单独联系，但账户信息泄露后应主动关注异常交易。
- 把 So-net 邮箱密码与其他站点彻底解耦。密码复用会把一次泄露放大成一条账号链。
- 企业侧的同类风险：会员库这类系统往往存放着看起来不敏感的身份字段。它们单独看不致命，组合起来足以支撑精准社工，做数据分级时要把可组合性算进去。
顺带一提，同一周还有另一件事在发酵：部分 PlayStation Network 用户反映账号被劫持，家庭组里被塞进陌生儿童账号，有人称即便开了二次验证也中招、绑定邮箱被改。索尼互动娱乐截至发稿未确认漏洞、未说明原因，也未发布声明。两件事是否相关，目前没有任何证据。