赴日旅游时，入住饭店要提供护照，租车需要驾照，订机票则要留下姓名及联系方式。这些个人数据交给日本企业后，究竟受到多少保护？
日本近期接连爆发资安事故，从冲绳饭店旅客护照遭窃，到乐桃航空（Peach Aviation）、JR东日本因云端供应商遭攻击而受到波及，连大型旅游订票平台也发生千万笔数据外泄事件。
根据《读卖新闻》与资安公司趋势科技统计，日本企业及团体遭网络攻击导致用户信息外泄的公开事件，2024年至少503起、2025年473起，2026年截至10月5日已有506起。今年尚未结束，规模已与前两个完整年度相当。
冲绳饭店遭骇，234份旅客护照图像遭窃
冲绳石垣岛的Hotel Resort Inn Ishigakijima在10月5日公告，该饭店使用的第三方住宿管理系统，9月18日至19日遭黑客入侵，导致17,170名旅客的个人数据遭非法取得。
外泄数据报括姓名、地址、电话、电子邮件、出生日期及国籍等，其中还有234人的护照图像、6人的签名图像，以及5人的脸部照片。
受影响者包括2023年2月12日至2027年6月24日期间的住宿者及预订旅客，连尚未入住的旅客都可能受到影响。
饭店表示，遭入侵的是外部业者提供的住宿管理系统，同一系统的其他住宿设施也受到波及。目前尚未确认数据遭滥用造成损害，受害旅客国籍也未公开，因此无法确认是否包含台湾旅客。
台湾旅客赴日住宿，饭店须保存护照影本三年
依日本《旅馆业法施行规则》及厚生劳动省通知，在日本国内没有住所的外国旅客入住饭店时，业者须登记国籍及护照号码，并要求出示护照、保存影本，电子形式也可使用。
根据长野市政府的官方说明，护照影本须与住宿名簿一同保存三年。因此，短期赴日的台湾观光客，即使已经结束旅程，护照数据仍可能长期保存在日本饭店或其委外系统中。
值得注意的是，石垣岛饭店此次遭窃的数据范围可追溯至2023年2月，距离事故发生已超过三年。不过，饭店尚未公布234份护照图像各自的保存时间，无法确认是否有护照图像保存超过三年的情况。
乐桃航空189万笔数据所在系统受波及，订位确认信一度无法寄送
日本廉价航空乐桃也在10月9日发布资安事故公告。
根据乐桃官方说明，10月7日凌晨3时40分左右，委外使用的云端服务商IDC Frontier遭勒索软件攻击，造成乐桃电子邮件寄送系统故障，部分旅客完成订票后，无法正常收到进程确认信。
受影响系统涉及约189万笔数据，包含电子邮件地址、英文姓名、电话号码、订位编号及进程信息。
乐桃表示，截至10月9日尚未确认个资外泄，信用卡及护照数据也未保存在受影响服务器。公司已从10月8日起利用替代服务器补寄邮件，航班运作没有受到影响。
同一家云端商出事，JR东日本最多206万笔会员数据恐外泄
这起攻击同时波及JR东日本。
JR东日本10月9日公告，旗下订票网站「Eki-net」及「大人的休日俱乐部」（大人の休日倶楽部）会员邮件服务，因IDC Frontier遭攻击而发生异常，最多约206万笔会员数据可能被第三方读取或取得。
其中167万笔涉及Eki-net会员电子邮件地址，另外39万笔可能涉及电子邮件地址、会员编号、出生日期及信用卡有效期限。JR东日本表示，姓名、地址、电话与信用卡卡号不在此次可能外泄的范围内。
云端供应商IDC Frontier指出，共有495家企业与地方政府客户受到这次攻击影响。
乐桃与JR东日本是两家不同的交通业者，却因使用同一家云端服务商而同时受到波及。企业将信息系统委外之后，供应商的资安能力也成为左右服务安全的重要因素。
日本大型旅游平台也失守，skyticket涉及1464万笔数据
其他旅游服务同样接连发生个资外泄事故。
日本旅游订票平台skyticket在10月9日公告，系统于10月2日至4日遭非法访问，约1464万笔客户数据外泄或存在外泄风险，其中约413万笔包含经哈希处理的会员登录密码。
受影响信息包括姓名、出生日期、电子邮件、电话及地址等。公司表示，这起主要事故确认没有护照号码外泄，信用卡卡号及护照图像也未保存在其系统内。
另一方面，大型共享汽车服务Times Car也在9月确认约660万个帐号数据遭非法取得，其中约160万个帐号涉及驾照等身分证明文档图像。
日本将淘汰部分证件照片验证方式，台湾仍广泛使用
面对身分数据遭冒用的风险，日本金融厅10月9日要求金融机构加强身分验证，并提前准备2027年4月上路的新制，届时将原则上淘汰透过上传身分证明文档照片进行的部分远距验证方式，改以读取IC芯片等方法确认身分。
台湾目前仍有部分银行及线上服务要求民众上传身分证正反面图像。事实上，银行公会2025年修订、经金管会备查的数字存款帐户开户作业范本，已允许银行透过数字发展部MyData平台取得户政身分证数据，取代留存本国籍客户的身分证或双证件图像档，但传统的照片验证方式仍持续使用。
日本接连爆发的资安事故，也提醒台湾企业重新查看，为了确认身分而搜集的证件图像，究竟需要保存多久，以及委外信息系统是否具备足够的保护能力。