核心要点
- 雅玛多 10/16 公布：约 531 万条客户及收件人信息泄露
- 泄露时间跨度 2018 年 10 月至 2026 年 9 月 28 日，近 8 年
- 外泄含姓名、住址、电话、邮箱，部分订单商品明细也被获取
- 该服务 9 月 28 日暂停，10 月 9 日恢复运营
- 不含信用卡号与密码，但冒名诈骗风险已经出现
日本雅玛多运输（Yamato Transport）10 月 16 日公布了调查结果。旗下「黑猫宅急便」对应的黑猫货到后付服务遭外部非法访问，约 531 万条客户及收件人信息泄露。据共同社英文版报道，这个数字包含三组数据：客户信息约 526 万条、配送收件人信息约 5 万条、商家信息约 4,100 条。
531 万这个体量，放在日本人口里不算小。它覆盖的不是某一批订单，而是从 2018 年 10 月一直累积到 2026 年 9 月 28 日的累计数据。同一份调查报告提到，不含信用卡号与密码信息。
但「不含支付信息」不等于低风险。泄露字段里有姓名、住址、电话和邮箱，还有一部分订单的商品明细。这几项拼起来，足够拼出一条像模像样的诈骗话术。
泄露了什么，没有泄露什么
先把边界划清楚，避免误判自己的暴露程度。
| 数据类别 | 规模 | 覆盖时间 | 主要字段 |
|---|---|---|---|
| 客户信息 | 约 526 万条 | 2018-10-01 至 2026-09-28 | 姓名、住址、电话、邮箱、商品明细、内部管理数据 |
| 配送收件人信息 | 约 5 万条 | 2021-02-05 至 2026-09-28 | 姓名、住址、电话、货运单号 |
| 商家信息 | 约 4,100 条 | 未单独披露 | 商家名称与内部商家代码 |
其中约 49 万条客户记录包含邮箱地址。商品名、数量与单价也在泄露范围内，还有申请编号、下单日期、信用调查编号这类内部管理数据。
没有泄露的是信用卡信息与密码信息。雅玛多表示目前尚未确认信息被二次利用，但公司已接到用户反映收到可疑邮件、短信或电话。这些不在数据字段里的风险，才是卖家要处理的部分。
服务已于 9 月 28 日紧急暂停，10 月 9 日恢复运营。停运 11 天做系统加固，雅玛多表示会依外部专家建议从中长期强化信息安全。调查还发现，第二版报告曾提示可能涉及账单金额、欠款余额和雅玛多员工姓名，但调查未发现这些数据被获取。
卖家的第一件事：查自己用了哪个配送通道
日本货到付款在下单时收取货款风险，是很多中国卖家切入日本站的首选模式，因为不依赖信用卡覆盖率。但 COD 对物流商的依赖极深，物流商的数据就是平台的数据。你在店铺里选了哪个配送选项，直接决定了这批买家信息落在谁手上。
这件事的风险不是「被泄露了会不会直接罚你」，而是买家信息流向不受你控制。黑猫是头部承运商，531 万条不是针对某一家商户的攻击，而是对一家服务商系统的整体入侵。你不是被点名的对象，但你的买家在名单里。
卖家的第二件事：查自己留了多少买家数据
日本《个人信息保护法》对第三方提供个人数据有明确要求。跨境卖家在日本站做营销、会员、客服，留下邮箱和电话是常规操作。如果这些数据是从平台或物流侧流出的，你手上这份算不算需要通报，得自己评估。
同类的事情在亚马逊日本站也有过先例，亚马逊日本站东京湾仓扩容与合规要求里提到的日本市场合规门槛，在数据这一环同样适用。合规不只在货物进场那一刻，数据出库也在管。
还有一层是商业连带风险。雅玛多已提醒用户不要点击可疑邮件与短信链接、直接删除消息，并对意外来电或邮寄保持警惕。这波诈骗短信的杀伤力，取决于信息拼接的真实程度。名字、地址、电话、下单商品都对的诈骗，比凭空编造的难防得多。日本站的客服话术与发货通知，也该顺手查一遍有没有把买家信息往外发。
同期东南亚的另一条合规线
同一天还有一件事，方向相反但性质相同。据 10 月 19 日的跨境电商快讯，10 月 16 日越南卫生部食品安全司要求 Shopee 立即下架一款在售的 Sausando Slimming 减肥胶囊。经核验，该产品没有对应编号及日期的有效产品申报证书。监管部门责令 Shopee 删除相关商品信息，并对平台膳食补充剂业务开展自查。
据该快讯援引越南电子商务与数字经济局的统计，2025 年已有超 13,700 个违规线上店铺被处置取缔，违规类型包括销售假冒伪劣、违禁、未经认证产品，以及违反消费者保护相关法规。这个数字属于该统计口径的引用，引用时应标明来源，不是平台自己公布的处罚数。
把这两件事放在一起看，监管的方向是一致的：平台要能证明自己上架的东西合规，也要能证明自己手上的数据安全。越南那条线查的是商品资质，日本这条线查的是个人信息，平台侧的压力是同一个来源。
对做日本站的卖家，配套要看的还有售后侧的规则变化。TikTok Shop 东南亚跨境与本土站自 2026 年 10 月 27 日起更新《退货与退款政策》，明确了 7 个自然日的申诉窗口，并更新了打包与开箱视频的举证规范，可对照平台退货退款政策更新节奏看同类政策通常怎么落地。COD 场景下售后证据链更脆，视频举证规范的收紧对做日本 COD 的卖家直接相关。
参考文章
- 《Japan’s Yamato Transport confirms 5.31 mil. customer records leaked》｜Kyodo News｜https://english.kyodonews.net/articles/-/88454
- 《Yamato, Estore and Nikkei report major data leaks in Japan》｜The Qatar Tribune｜https://www.qatar-tribune.com/article/259748/business/yamato-estore-and-nikkei-report-major-data-leaks-in-japan
- 《Yamato Transport Says About 5.26 Million Pay-Later Customer Records Were Taken》｜TSN Media｜https://tsnmedia.org/yamato-kuroneko-data-leak
- 《2026年10月19日-跨境电商新资讯》｜跨境电商博泓物流｜https://mp.weixin.qq.com/s?__biz=MzY5NzM0NjE1NQ==&mid=2247485586&idx=1&sn=f55c6bae4f3789e43a789f0a0ed93921&chksm=f5f02dd41503c702e103d07dc56b851e378e2c709a0dd6780309cd0cf5749451efc172e7b640#rd
- 《Shopee拨款周期缩至3天；TikTok Shop售后申诉设强制要求；深圳跨境巨头负债8亿破产》｜每日精选跨境电商新资讯｜https://mp.weixin.qq.com/s?__biz=Mzg3ODM2Mjg4Ng==&mid=2247561979&idx=1&sn=8bcb832255f80c95c176c549b5a633da&chksm=ce8946255839754eef20d511e0ac6e6d802336f6536ab8f1172c7eba05ba8e0b5c89e86e9cfb#rd
FAQ
这次泄露包含信用卡信息吗？
不包含。雅玛多表示信用卡信息与密码信息均未被获取。第二版报告曾提示账单金额、欠款余额和员工姓名可能被涉及，但调查未发现这些数据被获取。
531 万这个数字是怎么来的？
531 万是三组数据加总的结果：客户信息约 526 万条、配送收件人信息约 5 万条、商家信息约 4,100 条。其中 526 万是雅玛多对客户记录的单独统计口径，日本媒体在报道时使用的是加总后的 531 万。
我的店铺用了黑猫货到后付，会被追责吗？
雅玛多已说明事件源于外部非法访问，目前正逐一联系受影响用户。目前尚无信息被二次利用的确认。平台侧的责任与商家侧的责任需分开判断，建议核对本店实际使用的配送选项，并自行评估留存数据的合规状态。
服务停运期间订单怎么处理？
该服务于 2026 年 9 月 28 日暂停，10 月 9 日恢复运营，共 11 天。据报道，雅玛多对停运期间到期的付款单延长了 17 天付款期限。期间产生的订单与货款，建议向承运方核实处理状态。
原创文章，作者：跨境头条编辑部，如若转载，请注明出处：https://www.tokenfff.com/yamato-blackcat-leak-2026/
