0. 神龍還沒出現，一個人的生活已經拼出來了
「日本的個人編號資料不是分散在不同機關嗎？」 「那如果每個地方都外洩，不就像收集七顆龍珠？」
全國規模的龍珠收集活動，偏偏沒有人想參加。
麻煩的是，未必需要七顆。購物紀錄、公司聯絡資料、公開貼文，只要能確定屬於同一個人，幾塊碎片就可能描出生活輪廓。
但要分清楚：拼出一個人的資料，不等於取得進入所有政府系統的鑰匙。 前者是整理線索，後者是侵入上鎖的資料庫。
1. 日本這次到底發生了什麼
2026年10月9日，社群平台上「日本數位廳洩露約24.6萬筆個人資料」的貼文引發討論。但數位廳最早在9月11日就公布此事，並非10月9日才發現。[1]
遭攻擊的是政府人員使用的共同工作環境。6月25日，系統發現有人利用維護人員帳號大量讀取檔案。7月9日，調查確認外部人士利用遠端連線設備的弱點入侵；當天停用相關帳號，並切斷受影響設備與外部的通訊。9月11日，數位廳宣布約24.6萬筆資料可能外洩。[1]
資料涉及公務員、承包商及參與政府工作的人員，可能包括姓名、電子郵件、電話、地址。其中約18.9萬筆涉及公務員等人員，約5.7萬筆涉及業者與個人。24.6萬筆不等於24.6萬名不同的人已確定受害。[1][2]
數位廳表示，一般居民的行政資料不在本次範圍內；個人編號本身、銀行帳戶資料與年金編號也未包含其中。許多地址和電話是辦公用途。[2]
2. 「幸好我沒辦卡，贏了！」還不能這樣說
有人因此慶幸自己沒辦個人編號卡。但這次被攻擊的不是居民卡片裡的晶片，更不是集中全國居民資料的巨大倉庫，而是政府工作系統。
卡片裡也沒有把稅務、醫療與年金的完整紀錄全部存進去。資料仍留在各自負責的機關。[3][4]
這不表示政府的安全措施完美。入侵確實發生，也需要改善。只是不能把一次辦公系統事件，說成所有辦卡的人都輸了。
3. 為什麼要分開保管
稅務紀錄由稅務機關保管，年金紀錄由相關機構保管，地方稅與福利資料則由地方政府保管。日本的個人編號制度並未把它們搬進同一座超大資料庫。[3]
機關之間交換辦事必需的資料時，通常也不會把12位個人編號當成萬用密碼，而是使用不同機關的內部代碼，且只有獲准的人員才能查閱所需內容。[3]
就像把貴重物品放進不同建築的保險箱。有人偷走一把鑰匙，不代表其他門會自動打開。
但若幾棟樓裡的文件副本分別被偷走，故事就變了。
4. 開保險箱，和撿散落的文件，是兩回事
第一種危險：連續入侵。 侵入某機關的人再試圖進入其他機關。分開保管、使用不同代碼、限制查閱權限，有助於阻止這件事。
第二種危險：組合已外洩的資料。 不同事件流出的名單可能有相同姓名、聯絡方式等線索。各個保險箱明明仍鎖著，外面的副本卻可能被拼在一起。
用龍珠比喻：偷走一顆，不會讓另外六顆的藏身處自動打開；但地上散落的幾塊碎片，可能都寫著同一位主人的名字。
分開保管不是沒用，而是它防的是不同問題。[3][5]
5. 民間資料與政府資料合體後，會看到什麼
以下是假設情境，不是本次數位廳事件的實際外洩清單。
| 可能來源 | 可能透露的內容 |
|---|---|
| 網購平台 | 收件地址、聯絡方式、購買偏好 |
| 社群平台 | 興趣、朋友、公開行程 |
| 公司工作系統 | 部門、職責、工作聯絡方式 |
| 公共機關 | 僅限真正包含的稅務、家庭等資訊 |
| 醫療機構 | 只有確實外洩時才可能涉及就醫紀錄 |
網購紀錄是一份顧客檔案；公司名單是一份員工清單。若再加上公開貼文，一個人的日常輪廓就可能浮現。
但「三處外洩就看穿整個人生」仍是誇張。關鍵在於實際洩露哪些項目、能否可靠地確認同一人、資料是否過時。
6. 怎麼知道是同一人？可能拼錯嗎？
相同電子郵件或電話號碼，以及姓名和地址的組合，可能幫助判斷兩筆資料是否屬於同一個人。
然而，同名的人很多，住址會變，家人可能共用聯絡方式，電話號碼也可能換主人。看起來對得上，不代表一定正確。 若把別人的疾病、債務或私事錯誤加到某人身上，會造成新的傷害。
2019年的研究指出，即使移除姓名，只要其他特徵足夠多，仍有機會辨認出個人。美國的公共技術機構也提醒，刪除明顯身分資料不代表風險完全消失。[5][6]
這些研究不能證明日本本次24.6萬筆資料已被拼接，也不能把研究數字直接套到日本居民。
7. 電腦與自動寫作工具會讓問題變大嗎？
電腦可以快速比較大量紀錄、整理零散文字。如今能產生文章的工具，也可能根據片段資料寫出聽起來很真的人物介紹或訊息。
假郵件若能準確提到你的公司或興趣，可能更容易取得信任。數位廳也提醒，本次資料可能被用於冒充機關的訊息。[1]
但工具不會憑空知道缺少的事實，也可能把不同的人錯當成同一人。推測人物背景，不等於知道卡片密碼，也不等於能跳過銀行的身分查驗。
8. 機關與個人可以怎麼做
機關應儘快修補已知弱點，讓員工只能查看工作必需的資料，減少不必要的長期保存，及時發現異常的大量讀取，並在出事後切斷入侵途徑、清楚通知受影響的人。
數位廳已於7月9日停用相關帳號、切斷設備的外部通訊，並表示會改善弱點管理與外部連線方式。[1] 事後處置很重要，但不會讓曾被侵入的事實消失。
個人不要透過突然收到的訊息連結登入帳戶，應自己打開官方網站或應用程式確認。避免重複使用密碼，能啟用額外登入保護就啟用。若收到受影響通知，先透過官方管道確認。
本次事件本身，不足以得出所有個人編號卡持有者都應停用卡片的結論。
9. 結論：可怕的不是七顆龍珠，而是碎片
把官方紀錄分開保管，是為了避免一個地方遭入侵就讓所有資料一次被拿走。這道保護有實際價值。
但不同企業與公共機關已經外洩的資訊，仍可能在事後以同一個人為中心重新拼起來。
問題不只在「要攻破七個地方嗎」，還在於：
「只有兩三塊碎片，會不會已經看得太多？」
神龍：「七顆集齊再來。」 外洩資料：「抱歉，三顆就快把故事講完了。」
防止侵入所有保險箱，以及減少外洩碎片再次組合的風險，兩件事都不能少。
參考資料（1筆）
[1] Digital Agency, Japan — government work environment incident, September 11, 2026 [2] Digital Agency, Japan — incident questions and answers, updated September 12, 2026 [3] Digital Agency, Japan — My Number system and separate storage [4] Japan Agency for Local Authority Information Systems — My Number card security [5] NIST — De-Identifying Government Datasets, September 2023 [6] Rocher, Hendrickx & de Montjoye — Nature Communications, July 23, 2019
