周生生、崇光会员系统接连失守，零售业数据安全再响警钟

21世纪经济报道记者高江虹

11月12日，周生生集团国际有限公司（00116.HK）于港交所发布公告，确认集团系统遭遇未经授权存取，部分客户及员工资料存在被提取风险，涉及其会员系统与官方电商渠道。

同日，崇光百货也对外公告，会员系统出现不正常的资料读取记录，可能受影响的会员人数约为82万，泄露资料包括姓名、电邮地址、电话号码及会员积分结余。

两起事件时间高度重合，攻击目标都指向零售会员系统，迅速引发市场与消费者对百货零售业客群数据安全的关注。

公告披露，周生生在11月9日首次监测到异常访问行为，随即切断非法访问通道、加固系统防护，并聘请第三方网络安全机构开展深度调查。

截至公告发布，调查仍在推进，暂时无法确认外泄信息的具体类型、数量，暂不能证实是否包含银行卡等敏感支付资料。周生生集团已向香港个人资料私隐专员公署通报事件，后续将根据调查进展持续披露信息，并提醒消费者警惕冒充品牌客服的来电、短信与邮件，不要点击陌生链接，切勿向他人提供验证码及银行卡信息。

“周生生这次公告，暴露出奢侈品珠宝行业的共性病灶。”西交利物浦大学西浦国际商学院教授郭剑光指出，营销端拼命砸钱做会员运营、挖高净值客群数据，安全端连最基础的系统防护都没跟上，直到被入侵3天后才仓促通报。“比起短期股价微跌，真正的代价是透支了用户几十年攒下来的品牌信赖。”

正如郭剑光所指出的，珠宝行业会员数据库有着特殊风险属性。长期运营之下，周生生会员体系沉淀大量客户姓名、联系方式、收货地址、消费记录、购买偏好等信息，客群消费能力偏高。一旦相关信息流入黑产链条，不法分子可依托消费记录打造极具迷惑性的话术，实施精准电信诈骗、仿冒客服兑换礼品等诈骗行为。不少消费者已经在社交平台表达担忧，担心后续接到针对性的骚扰与诈骗电话。

值得留意的是，就在周生生发布公告的同一天，香港崇光百货公告称发生类似会员信息泄露事件。崇光百货早在11月5日就发现会员系统出现异常读取记录，受影响会员规模约82万人，疑似外泄资料包括姓名、电邮地址、电话号码及会员积分结余。虽然崇光泄露的信息不直接包含支付凭证，但姓名、联系方式叠加积分数据，同样可以勾勒用户消费画像，具备较高的黑产利用价值。

在此之前，2025年7月LV香港公司也曾发生客户数据泄露，约41.9万名香港客户的姓名、护照号码、地址等信息受波及。香港私隐专员公署统计显示，2025年全年接获资料外泄通报246宗，同比上升21%，珠宝、服饰零售是高发领域。

信息安全事件频出，并非仅限香港零售业。日本品牌MUJI母公司良品计划10月30日公告，“MUJI App”遭非法访问，最多2726万条用户信息可能外泄；11月4日进一步承认，约109万条MUJI Card信用卡相关会员信息可能遭非法访问，其中包含完整信用卡卡号，约34.5万张现役有效卡受波及，另有约52万名网店会员的姓名、住址和电话号码可能外泄。11月12日，良品计划社长清水智公开致歉，承认“本应废弃的信用卡信息仍被保存”，公司未能及时清除不必要数据，导致泄露范围扩大。

接连发生的事件皆表明，在珠宝、百货企业大力运营会员私域、挖掘数据商业价值的同时，后台权限管控、入侵监测、漏洞巡检等安全能力常常滞后于业务扩张。“从之前的LV、卡地亚到现在的周生生，奢侈品数据泄露早就不是孤例。大家都在抢着做线上渠道、沉淀私域用户，却没人愿意在数据安全上做长期战略投入。”郭剑光尖锐地指出，对靠“信任”吃饭的高端零售来说，守不住用户隐私，再亮眼的销售数据都是空中楼阁。

要客研究院院长周婷也分析道，存量市场时代，客户资产是最重要的企业资产，也是市场竞争的关键，尤其是黄金珠宝和高端百货这类企业的高净值客群资产，“这份资产长期有价值的根基就是信任。客户隐私安全是企业不可逾越的底线，一旦数据泄露，伤害的不只是品牌形象和竞争筹码，更是长期沉淀的客户信任与品牌溢价根基。”

周婷进一步指出，随着AI技术普及，数据泄露的渠道持续增加，风控压力进一步加大，这对企业数据安全提出了更高要求。“数据保护不能只当成事后补救的技术工作，品牌和商场必须提高安全意识，主动加码安全投入，筑牢数据防护体系。”她同时强调，这并非企业一方的功课，“企业、安全技术服务商、大平台、终端设备供应商、消费者自身都要树立和提高隐私防护意识。”

目前周生生事件仍处于“可能泄露”的阶段，最终风险范围有待调查确认。但正如周婷所言，“高端生意依托信任而成立，守不住客户隐私，就守不住品牌的根基和长期价值。”数据泄露既是技术问题，也是管理问题，更是投入与意识问题。发布公告、提醒用户防范诈骗只是事后补救，如何把安全防护前置，守住高价值会员数据底线，是周生生以及整个零售行业需要直面的考题。