พนักงาน RIZAP อัปโหลดบันทึกสุขภาพของ 726 คนไปยังแชต AI ส่วนตัว

เมื่อวันที่ 20 สิงหาคม 2026 พนักงานของ RIZAP Inc. ซึ่งเป็นกลุ่มธุรกิจฟิตเนสและให้คำแนะนำด้านสุขภาพของญี่ปุ่น กำลังดึงบันทึกข้อมูลออกจากระบบบริหารจัดการการให้คำแนะนำด้านสุขภาพที่บริษัทดำเนินการให้แก่บริษัทประกันภัย ข้อมูลดังกล่าวถูกป้อนเข้าสู่บริการ AI เชิงสร้างสรรค์ผ่านบัญชีส่วนบุคคลที่บริษัทไม่เคยอนุมัติ บันทึกข้อมูลครอบคลุมสมาชิก 726 คนของสมาคมสวัสดิการพนักงานราชการส่วนท้องถิ่น (地方職員共済組合) จากสาขาภูมิภาค 14 แห่ง และประกอบด้วยชื่อ วันเกิด สัญลักษณ์และหมายเลขบัตรประกันภัย และหมวดหมู่โรค ได้แก่ ความดันโลหิตสูง เบาหวาน และภาวะไขมันในเลือดผิดปกติ ซึ่งเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของญี่ปุ่น สมาคมเผยแพร่ประกาศเมื่อวันที่ 4 กันยายน 2026 กรณีนี้เป็นหนึ่งในเหตุการณ์ที่บันทึกไว้ในคลังเหตุการณ์ Orca AI ซึ่งบันทึกแต่ละรายการพร้อมแหล่งที่มาของรายการนั้น ระดับความรุนแรง ระดับความเชื่อมั่น และแฟล็กข้อโต้แย้ง

กรณีนี้ไม่ใช่การละเมิดข้อมูลในความหมายปกติ ไม่มีผู้โจมตี ไม่มีข้อมูลรับรองที่ถูกยึดไป ไม่มีช่องโหว่ที่ถูกใช้ประโยชน์ บุคคลหนึ่งซึ่งทำงานรวบรวมข้อมูลเป็นประจำได้เลือกใช้เครื่องมือผิด และข้อมูลสมาชิกของบริษัทประกันสุขภาพ ซึ่งรวมถึงข้อมูลประเภทที่กฎหมายญี่ปุ่นถือว่าต้องได้รับการดูแลอย่างเข้มงวดที่สุด ก็หลุดออกจากองค์กรไปผ่านแท็บเบราว์เซอร์ที่ไม่มีใครในบริษัทรู้ว่ามีอยู่ คลังข้อมูลให้เกรดบันทึกเหตุการณ์นี้ในระดับความเชื่อมั่นสูงสุด จัดระดับความรุนแรงว่าสูง บันทึกความเสียหายที่เกิดขึ้นจริง และไม่ได้ติดธงว่าเป็นกรณีที่มีข้อโต้แย้ง และทั้งสองฝ่ายที่เผยแพร่ประกาศต่างเห็นตรงกันถึงกลไกที่เกิดขึ้น เนื้อหาต่อไปนี้จะแยกให้เห็นว่าอะไรคือสิ่งที่ประกาศเหล่านั้นยืนยันได้ กับอะไรที่อาศัยเพียงคำรับรองของผู้ขายเอง

สิ่งที่ RIZAP เปิดเผยจริง ๆ และเมื่อใด

เอกสารขอโทษและประกาศของ RIZAP ลงวันที่ 3 กันยายน 2026 โดยระบุว่าเหตุการณ์เกิดขึ้นในแผนกธุรกิจการจัดการสุขภาพและธุรกิจประกันภัยของบริษัท และระบุว่าขณะที่การอัปโหลดเกิดขึ้น พนักงานกำลังดำเนินการรวบรวมข้อมูลสำหรับระบบจัดการคำแนะนำด้านสุขภาพเฉพาะระบบนั้น พนักงานใช้บริการ Generative AIในการใช้งานส่วนตัว — ซึ่งเป็นถ้อยคำของบริษัทเอง ไม่ใช่บัญชีองค์กร ประกาศดังกล่าวไม่ได้ระบุวันที่เกิดเหตุไว้เอง ส่วนกำหนดเวลาของวันที่ 20 สิงหาคม และข้อเท็จจริงที่ว่าพนักงานเป็นผู้รายงานการอัปโหลดด้วยตนเองนั้น มาจากประกาศของบริษัทประกันภัยทั้งสองแห่งที่ออกมาภายหลัง

ขอบเขตที่ RIZAP ระบุนั้นเป็นส่วนย่อยของบันทึกที่ลงทะเบียนไว้ในระบบนั้นระหว่างวันที่ 1 มกราคม ถึง 19 สิงหาคม 2026 ได้แก่ ผู้ที่เข้าร่วมโครงการให้คำแนะนำด้านสุขภาพเฉพาะ ซึ่งบริษัทประกันของญี่ปุ่นเสนอให้แก่สมาชิกที่ได้รับการประเมินว่ามีความเสี่ยงต่อโรคที่เกี่ยวข้องกับวิถีชีวิต หนังสือแจ้งระบุข้อมูลส่วนบุคคลทั่วไป (สัญลักษณ์และหมายเลขบนบัตรประกัน อีเมล ชื่อ วันเกิด เพศ และสำหรับบางคนมีที่อยู่และหมายเลขโทรศัพท์) และแยกต่างหากอีกสองประเภทของข้อมูลส่วนบุคคลอ่อนไหว ได้แก่ รูปแบบการสนับสนุนด้านคำแนะนำสุขภาพที่บุคคลนั้นได้รับ และข้อมูลโรคสำหรับผู้ที่ถูกบันทึกว่ามีภาวะความดันโลหิตสูง เบาหวาน หรือไขมันในเลือดผิดปกติ โดยระบุว่าหมายเลขบัตรเครดิต รายละเอียดบัญชีธนาคาร และข้อมูลรับรองการเข้าสู่ระบบไม่ได้อยู่ในข้อมูลเหล่านั้น

RIZAP ระบุว่าได้จัดทำรายงานฉบับหนึ่งส่งให้คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นหน่วยงานกำกับดูแลที่รับการแจ้งเหตุการณ์เกี่ยวกับข้อมูลส่วนบุคคลบางกรณีภายใต้พระราชบัญญัติดังกล่าว ทั้งหนังสือแจ้งของ RIZAP และของสมาคมไม่ได้ระบุว่าคณะกรรมการดำเนินการอย่างไรกับเรื่องดังกล่าว และไม่ปรากฏคำวินิจฉัยของคณะกรรมการในเอกสารทั้งสองฉบับ

วันที่ที่คลังข้อมูลจัดเก็บเรื่องนี้ไว้คือ 4 กันยายน 2026 และนั่นเป็นวันที่เผยแพร่ของสมาคมเอง ไม่ใช่วันที่ของ RIZAP ทั้งสองวันห่างกันหนึ่งวัน เพราะบริษัทแจ้งก่อน และสมาคมซึ่งมีสมาชิกอยู่ในข้อมูลนั้นได้เปิดเผยต่อสาธารณะในวันถัดมา ซึ่งเป็นวันที่สมาคมยังให้ผู้รับเหมาส่งอีเมลถึงผู้ที่ได้รับผลกระทบด้วย ITmedia NEWS รายงานการแจ้งของบริษัทเมื่อวันที่ 4 กันยายน เวลา 11:33 ตามเวลาท้องถิ่น

ตัวเลข 726 มาจากไหน

RIZAP ไม่ได้เปิดเผยจำนวน ประกาศของบริษัทอธิบายข้อมูลและการตอบสนอง แต่ไม่ได้ระบุจำนวนผู้ได้รับผลกระทบ และรายงานของ ITmedia ลงวันที่ 4 กันยายน ระบุอย่างชัดเจนว่าบริษัทไม่ได้เปิดเผยจำนวนดังกล่าว ตัวเลข 726 เป็นของ Local Government Employees' Mutual Aid Association ซึ่งดำเนินการประกันสุขภาพสำหรับข้าราชการส่วนท้องถิ่น และเป็นหนึ่งในบริษัทประกันที่ทำสัญญากับ RIZAP เพื่อให้ดำเนินโครงการให้คำแนะนำ

หนังสือแจ้งของสมาคมลงวันที่ 4 กันยายนให้รายละเอียดมากกว่าของผู้รับจ้าง โดยระบุถึงบุคคล 726 คน กระจายอยู่ใน 14 สาขา ได้แก่ อิวาเตะ อากิตะ ยามางาตะ ฟูกูชิมะ โทจิงิ คานางาวะ ฟูกูอิ มิเอะ โอซากะ ทตโตริ ยามางูจิ คางาวะ เอฮิเมะ และคาโงชิมะ โดยบันทึกเหตุการณ์ว่าเกิดขึ้นเมื่อวันที่ 20 สิงหาคม ระบุว่าพนักงานของผู้รับจ้างนำข้อมูลป้อนเข้าสู่บริการที่ผู้รับจ้างไม่ได้อนุญาตและให้มีการอ้างอิงข้อมูลนั้น ยืนยันว่าข้อมูลถูกลบออกจากหน้าจอของบริการ AI และมีการส่งคำขอลบไปยังผู้ให้บริการ และระบุว่า RIZAP ส่งอีเมลถึงบุคคลที่ได้รับผลกระทบเมื่อเวลา 10:00 น. ของวันที่ 4 กันยายน

ความแตกต่างเล็กน้อยสองประการระหว่างสองฉบับนี้ควรค่าแก่การสังเกตมากกว่าจะกลบเกลื่อนไป RIZAP เรียกตัวระบุนี้ว่าเป็นสัญลักษณ์และหมายเลขบนบัตรประกัน ส่วนสมาคมเรียกสิ่งนี้ว่าสัญลักษณ์และหมายเลขสมาชิก RIZAP ระบุประเภทของบริการสนับสนุนด้านคำแนะนำสุขภาพไว้สามประเภท ขณะที่ประกาศของสมาคมระบุไว้สองประเภท คือการสนับสนุนเชิงรุกและการสนับสนุนเชิงสร้างแรงจูงใจ ความแตกต่างทั้งสองไม่ได้เปลี่ยนลักษณะของเหตุการณ์ แต่เป็นเครื่องเตือนใจว่าเอกสารทั้งสองฉบับจัดทำโดยองค์กรที่แตกต่างกันสำหรับผู้อ่านที่แตกต่างกัน และรายละเอียดระดับสมาชิกนั้นมาจากบริษัทประกัน ไม่ใช่จากบริษัทที่สูญเสียการควบคุมข้อมูลดังกล่าว

เหตุการณ์ครั้งนี้มีวงกว้างกว่าที่ 726

เนื่องจาก RIZAP ไม่เคยระบุจำนวนรวม ขนาดของการเปิดเผยข้อมูลจึงทำได้เพียงการประกอบขึ้นจากหนังสือแจ้งของบริษัทประกันเองเท่านั้น และสื่อด้านความปลอดภัยของญี่ปุ่นก็ทำเช่นนั้นมาตลอด Security Measures Lab (セキュリティ対策Lab) ซึ่งเป็นเว็บไซต์ข่าวความปลอดภัยของญี่ปุ่น ได้รวบรวมหนังสือแจ้งที่ตนตรวจสอบได้และเผยแพร่ตัวเลขที่บริษัทประกันรายหนึ่งระบุไว้สำหรับชุดข้อมูลทั้งหมดอีกครั้ง: สมาคมประกันสุขภาพแห่งชาติสำหรับงานก่อสร้างและวิศวกรรมโยธา (全国土木建築国民健康保険組合) ระบุว่าข้อมูลของประชาชน 19,996 คนถูกป้อนเข้าและถูกอ้างอิงโดยบริการ AI ที่ไม่ได้รับอนุมัติ ซึ่งในจำนวนนี้ 1,167 คนเป็นสมาชิกของสมาคมเอง

จำนวนนั้นต้องมีข้อแม้ที่เว็บไซต์เองระบุไว้ด้วย: จำนวนนี้ นับผู้ที่ข้อมูลของตนถูกบันทึกเข้าสู่บริการ ไม่ใช่ผู้ที่ยืนยันได้ว่าข้อมูลของตนไปถึงใครคนใดคนหนึ่ง ตัวเลขอื่นที่เผยแพร่แล้วเป็นส่วนหนึ่งของจำนวนนี้ และต้องไม่นำมาบวกเข้ากับจำนวนนี้ สมาคมประกันสุขภาพกลุ่ม IHI ระบุชื่อ 210 คนในประกาศลงวันที่ 2 กันยายน สมาคมประกันสุขภาพของฮิตาชิไม่ได้เผยแพร่จำนวน แต่ระงับการส่งตัวผู้รับบริการรายใหม่เข้าสู่โครงการให้คำแนะนำด้านสุขภาพของ RIZAP จนกว่าจะตรวจสอบได้ว่ามาตรการป้องกันได้ผลจริง Nippon Shokubai, Kansai Television Broadcasting, สมาคมสงเคราะห์พนักงานเทศบาลจังหวัดกุนมะ, สมาคมประกันสุขภาพผลิตภัณฑ์ปิโตรเลียม, Unitika และ Works Human Intelligence ก็เผยแพร่ประกาศเช่นกัน โดยส่วนใหญ่ไม่มีตัวเลข

ก่อตั้งขึ้น ระบุที่มาแล้ว และยังไม่ได้รับการยืนยัน

ยืนยันได้จากเอกสารปฐมภูมิอิสระสองฉบับ การอัปโหลดเกิดขึ้นเมื่อวันที่ 20 สิงหาคม 2026 ระหว่างงานรวบรวมข้อมูล บริการดังกล่าวเป็นบริการที่ผู้รับจ้างไม่ได้อนุญาต ข้อมูลนั้นรวมถึงชื่อ วันเกิด ตัวระบุผู้ประกันภัย และข้อมูลสุขภาพซึ่งรวมถึงหมวดหมู่โรค สมาชิกที่ได้รับผลกระทบของโครงการราชการส่วนท้องถิ่นหมายเลข 726 ซึ่งกระจายอยู่ตามสาขาต่าง ๆ 14 แห่ง RIZAP รายงานเหตุการณ์ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล และมีการส่งอีเมลถึงสมาชิกที่ได้รับผลกระทบเมื่อวันที่ 4 กันยายน

อ้างถึง RIZAP โดยอาศัยคำตอบจากผู้ให้บริการ AI ของบริษัท ที่ระบุว่าบุคคลภายนอกใด ๆ นอกเหนือจากผู้ให้บริการ AI ไม่สามารถเห็นข้อมูลนั้นได้ และข้อมูลนั้นไม่ได้ถูกนำไปใช้ฝึกแบบจำลอง ประกาศของ RIZAP อธิบายที่มาของข้อกล่าวอ้างว่า ผู้ให้บริการแจ้งบริษัทว่าไฟล์ที่มีข้อมูลซึ่งระบุตัวบุคคลได้จะไม่ถูกนำไปใช้เพื่อการฝึก แม้ในกรณีที่บัญชีอนุญาตให้ใช้ก็ตาม และไฟล์ที่ถูกลบภายใน 24 ชั่วโมงก็ไม่ถูกนำไปใช้เพื่อการฝึกเช่นกัน โดย RIZAP กล่าวว่าบริษัทได้ลบข้อมูลภายในกรอบเวลาดังกล่าว ข้อกล่าวอ้างนี้เป็นคำรับรองที่ส่งต่อมา มิใช่ข้อเท็จจริงที่ผ่านการตรวจสอบ และยังไม่มีบุคคลภายนอกที่เป็นอิสระตรวจสอบเรื่องนี้

ณ เวลาเผยแพร่ ยังไม่ได้รับการยืนยัน โดยเป็นการยอมรับของบริษัทเอง ว่าพนักงานของบริษัทผู้ให้บริการ AI เองจะสามารถดูข้อมูลที่อัปโหลดขึ้นไปได้หรือไม่ ประกาศของ RIZAP ลงวันที่ 3 กันยายน ระบุว่ายังอยู่ระหว่างการตรวจสอบเรื่องนี้ ส่วนประกาศของสมาคมลงวันที่ 4 กันยายน ระบุว่าผู้รับจ้างยังรอคำตอบจากผู้ให้บริการ ณ เวลาที่เอกสารเหล่านี้จัดทำ คำถามดังกล่าวยังไม่มีข้อยุติ ซึ่งเป็นเหตุผลว่าทำไมผู้อ่านจึงควรถือว่า "ข้อมูลถูกลบแล้ว" กับ "ไม่มีใครเห็นมัน" เป็นข้อกล่าวอ้างที่แตกต่างกัน

ระบุชื่อโดยบริษัทประกันภัยแห่งหนึ่ง ไม่ใช่โดยผู้รับจ้าง ประกาศของสมาคมประกันสุขภาพกลุ่ม IHI ระบุผู้ให้บริการ AI ว่าเป็น OpenAI ขณะที่ RIZAP ยังไม่ได้ระบุชื่อบริการดังกล่าว และไม่มีข้อมูลใดในประกาศหลักทั้งสองฉบับที่ยืนยันหรือขัดแย้งกับการเปิดเผยข้อมูลของ IHI

ไม่มีการกล่าวหาเรื่องนี้ในที่ใดเลย ไม่มีผู้โจมตี ไม่มีการกรรโชก ไม่มีการนำข้อมูลไปใช้ในทางที่ผิดในภายหลัง และไม่มีหลักฐานว่าข้อมูลของสมาชิกคนใดถูกนำไปใช้ต่อต้านพวกเขา ประกาศทั้งสองฉบับแจ้งเตือนสมาชิกเกี่ยวกับฟิชชิง และทั้งสองฉบับระบุว่า RIZAP จะไม่ขอเงิน รายละเอียดบัตร หมายเลขบัญชี หรือรหัสผ่าน — เป็นมาตรการป้องกัน ไม่ใช่รายงานเหตุโจมตี

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

RIZAP ระบุมาตรการตอบสนองไว้สามระดับ ด้านบุคลากร: การแจ้งเตือนซ้ำทั่วทั้งบริษัทว่าบริการ AI เชิงสร้างสรรค์ที่บริษัทยังไม่ได้อนุมัติจะต้องไม่ถูกนำไปใช้ในงาน พร้อมการฝึกอบรมต่อเนื่องเรื่องการคุ้มครองข้อมูลส่วนบุคคลและการใช้ AI อย่างเหมาะสม ด้านระบบ: การทบทวนสิทธิ์การเข้าถึงและสภาพแวดล้อมการทำงาน เพื่อป้องกันการนำข้อมูลออกไปหรือการใช้บริการที่ยังไม่ได้รับอนุมัติ ด้านธรรมาภิบาล: การพิจารณาระบบการจัดการ AI ควบคู่กับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศที่มีอยู่

ข้อผูกพันของสมาคมมุ่งไปในอีกทิศทางหนึ่ง คือที่ผู้รับจ้าง โดยระบุว่าจะเพิ่มความเข้มงวดในการกำกับดูแล RIZAP และจะตรวจสอบว่ามาตรการป้องกันได้ถูกนำไปปฏิบัติจริงหรือไม่ และระบุว่าได้ขอให้ผู้รับจ้างสอบสวนข้อเท็จจริงและขอบเขตของผลกระทบอย่างครบถ้วนยิ่งขึ้น สมาคมประกันสุขภาพของ Hitachi ไปไกลกว่าทั้งสองฝ่าย โดยหยุดการส่งต่อรายใหม่จนกว่าจะมั่นใจว่ามาตรการดังกล่าวยังคงมีผลอยู่

สิ่งที่ยังไม่เปลี่ยนแปลงคือภาพรวมด้านกฎระเบียบ การแจ้งต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเป็นหน้าที่ในการยื่นเอกสาร ไม่ใช่การวินิจฉัยชี้ขาด และประกาศแจ้งทั้งสองฉบับไม่มีการบันทึกคำสั่ง คำแนะนำ หรือบทลงโทษใด ๆ จากคณะกรรมการดังกล่าว

ทำไมหอจดหมายเหตุจึงถือว่าสิ่งนี้เป็นหมุดหมายสำคัญ

เหตุการณ์ที่เกี่ยวกับ AI ส่วนใหญ่ที่ปรากฏในบันทึกสาธารณะเกี่ยวข้องกับระบบที่ทำอะไรบางอย่างผิดพลาด กรณีนี้เกี่ยวข้องกับบุคคลที่ทำสิ่งธรรมดา ๆ กับระบบที่ทำงานตรงตามที่ออกแบบไว้ทุกประการ — ซึ่งเป็นปัญหาที่ยากกว่า เพราะความล้มเหลวดังกล่าวมองไม่เห็นสำหรับองค์กรจนกว่าข้อมูลจะหลุดออกไปแล้ว ประเภทที่เหตุการณ์นี้จัดอยู่คือสิ่งที่ผู้ปฏิบัติงานชาวญี่ปุ่นเรียกว่า shadow AI: พนักงานใช้บริการ AI สำหรับผู้บริโภคเพื่องาน เพราะเร็วกว่าเส้นทางที่ได้รับอนุมัติ โดยปกติไม่มีเจตนาร้ายและมักมีเจตนาที่จะทำงานให้ดี

แหล่งข้อมูลที่อ้างถึงสำหรับบันทึกนี้ ซึ่งเป็นเว็บไซต์อธิบายเรื่องความปลอดภัยของญี่ปุ่น จัดเหตุการณ์นี้ไว้กลุ่มเดียวกับเหตุการณ์ AI อีกสองเหตุการณ์ในสัปดาห์เดียวกัน ได้แก่ การฉ้อโกงการชำระเงินด้วยการโคลนเสียง และการบุกรุกโดยเอเจนต์ AI และชี้ให้เห็นว่า ทั้งสามเหตุการณ์โจมตีจุดอ่อนที่มีอยู่แล้ว มิได้สร้างจุดอ่อนใหม่ขึ้นมา การวางกรอบเช่นนี้เป็นการวิเคราะห์ของเว็บไซต์มากกว่าจะเป็นข้อค้นพบ แต่การเปรียบเทียบนั้นเหมาะสม: ไม่มีเหตุการณ์ใดในสามเหตุการณ์ที่ต้องใช้ความสามารถแบบใหม่ มีเพียงเส้นทางที่เร็วกว่าไปสู่ความสามารถแบบเก่าเท่านั้น

สิ่งที่ทำให้บันทึกนี้คุ้มค่าที่จะอ่านด้วยตัวเองคือความเฉพาะเจาะจงของความเสียหาย คน 726 คนมีรหัสผู้ประกันภัย รายละเอียดการติดต่อ และหมวดหมู่โรคที่ระบุชื่อสามประเภท ถูกนำไปใส่ในบัญชีเอไอสำหรับผู้บริโภคที่ผู้รับเหมาของบริษัทประกันของพวกเขาไม่เคยอนุมัติ และเหตุผลเดียวที่ทำให้มีคนรู้เรื่องคือพนักงานที่ทำสิ่งนั้นบอกออกมาเอง คลังข้อมูลบันทึกความเสียหายที่เกิดขึ้นจริงในกรณีนี้ สิ่งที่ประกาศทั้งสองฉบับยืนยันคือการเปิดเผยข้อมูลและการสูญเสียการควบคุมข้อมูลอ่อนไหว — ไม่ใช่ว่ามีใครนำข้อมูลไปใช้แล้ว

สิ่งใดสนับสนุนบันทึก และสิ่งใดไม่สนับสนุน

ระดับความน่าเชื่อถือของบันทึกนั้นมิได้ขึ้นอยู่กับเพียงผู้รวบรวมที่คลังข้อมูลอ้างถึงเท่านั้น มีสามฝ่ายที่เป็นอิสระต่อกันซึ่งเผยแพร่ภายในสองสัปดาห์หลังเหตุการณ์: RIZAP เองเมื่อวันที่ 3 กันยายน สมาคมสวัสดิการพนักงานส่วนท้องถิ่น (Local Government Employees' Mutual Aid Association) เมื่อวันที่ 4 กันยายน และ ITmedia NEWS ซึ่งรายงานประกาศของบริษัทเมื่อวันที่ 4 กันยายน พร้อมเสริมรายละเอียดว่ามิได้เปิดเผยจำนวนไว้ สมาคมประกันสุขภาพกลุ่ม IHI สมาคมประกันสุขภาพของ Hitachi และบริษัทประกันอย่างน้อยอีกหกแห่งได้เผยแพร่ประกาศของตนเอง และ Security Measures Lab ได้รวบรวมประกาศเหล่านั้นไว้ บล็อกคลังเหตุการณ์ของญี่ปุ่นชื่อ b-son.net ได้ทำซ้ำข่าวประชาสัมพันธ์ของสมาคมอย่างครบถ้วนพร้อมกับบทสรุปของตนเอง

ไม่มีข้อใดในสิ่งเหล่านั้นที่ยืนยันจำนวนรวมได้ RIZAP ยังไม่ได้เผยแพร่จำนวนดังกล่าว ตัวเลขของบริษัทประกันภัยทับซ้อนกัน และตัวเลข 19,996 เป็นถ้อยแถลงของบริษัทประกันภัยรายหนึ่งเกี่ยวกับชุดข้อมูล มากกว่าจะเป็นการนับจำนวนการเปิดเผยข้อมูลที่ยืนยันแล้ว ผู้ใดที่อ้างตัวเลขเพียงตัวเดียวสำหรับเหตุการณ์นี้ควรระบุว่าตัวเลขนั้นมาจากเอกสารใด — ซึ่งเป็นวินัยที่คลังเอกสารเองใช้กับทุกรายการที่ตนเก็บรักษาไว้