第一兴商承包商电脑感染恶意软件（约872万条记录）：Big Echo 等会员的姓名、出生日期和电话号码或已外泄，应如何应对

据公司介绍，相关数据涉及在其门店以会员身份注册或预约的客户。具体分布如下。所有数字均为约数，合计数中已去除约51.5万条重复记录。

• Big Echo 相关：约555.8万条
• DK Dining 相关：约346.2万条
• 卡拉OK CLUB DAM 相关：约7.4万条
• Mega Big 相关：约4.3万条
• Banana Club 相关：约0.5万条
• B-GARAGE 相关：约0.4万条

此外，还包括约9.3万条员工记录。通知未说明这只包括在职员工还是也包括离职员工。

截至10月10日，通知并未说明是否会逐一联系受影响者，也未说明如何核实自己是否在范围之内。如果您曾在上述任一品牌注册或预约，请按以下步骤操作，并假定自己在范围之内。

公司提醒，如果数据确已外泄，可能被用于伪造邮件和网络钓鱼。公司请客户留意可疑的邮件、短信和电话，不要打开不熟悉的链接或附件。

卡拉OK和餐饮会员计划通常会发送优惠券、会员等级通知和积分提醒。这使得伪造的“领取优惠券”“更新会员信息”或“积分即将失效”消息很难与真实消息区分开来。请不要打开链接；请核实同样的通知是否出现在官方应用中，或您自行收藏的官方网站上（如何识别假消息：什么是网络钓鱼？）。

公司表示，绝不会索要密码或信用卡信息。对于以道歉、赔偿或奖励积分为名索要这些信息的消息，请不要回复。如果您已经输入了相关信息，请更改该服务的密码；如果您输入了银行卡信息，请致电发卡银行。

以下为本站的建议。与密码不同，出生日期以后无法更改。由于它可能已经泄露，如果您将出生日期的4位或6位数字用作银行卡或手机PIN码，或用作密码的一部分，请予以更改。

由于姓名和电子邮件地址也可能已被获取，“姓名加生日”类的密码很容易被尝试破解。更换密码时，使用密码管理器是切实可行的方法，可以设置足够长且与个人信息无关的密码。

如果有人通过读出您的姓名和出生日期来“确认您的身份”，对方听起来可能很正式。姓名、出生日期和电话号码都在此次涉及的信息之列，这使此类电话更容易被伪造。如果有人打电话给您，请不要当场回答其问题；请挂断，并拨打公司官方网站上列出的电话回拨。

公司的咨询电话为免费电话 0120-732-079（日本时间10:00–17:00，周末及节假日除外，仅限日本境内拨打），电子邮件为 incident-desk@dkkaraoke.co.jp（依据10月9日通知）。公司表示，如电话占线，可通过电子邮件联系。请在公司官方网站上核实电话号码和邮箱地址，而不要以收到的邮件或短信中的信息为准。

外包制表、邮寄或分析工作时，若导出整个会员数据库，就会把与工作无关的字段和品牌数据放到承包商的电脑上。每项工作在交付前，应先确定真正需要哪些字段。

例如：按年龄段报告时，用年龄段代替完整出生日期；无需联系的工作不提供邮箱或电话；用会员编号代替姓名。如果工作按品牌划分，文件也应按品牌拆分。作为第一步，可以选择一份定期发送给承包商的文件，与承包商逐列核对，询问工作是否使用每一列。

一旦数据保存在承包商员工的电脑上，该电脑的恶意软件防护和更新状况就会成为客户数据的保护措施，而您对此两者均无法掌握。在可能的情况下，应让承包商在您管理的环境中工作（例如仅传输画面的虚拟桌面，或禁止下载的共享工作区），使文件不留存在其电脑上。

对于确实需要本地副本的工作，应要求加密、工作结束后删除，并规定向您确认删除的期限。

根据日本《个人信息保护法》，委托处理个人数据的企业须对承包商进行必要且适当的监督（第25条）。为使监督落到实处，请在合同或备忘录中写明以下内容：

• 处理客户数据的设备要求：能够检测和记录恶意软件活动的工具（如EDR）、操作系统和软件更新、磁盘加密，以及禁止在个人设备上处理数据
• 客户数据可以存放的位置，以及工作结束后删除数据的期限
• 发现感染或入侵时的处理：规定不等待范围调查结束的首次通报期限（例如24小时之内），并与调查报告的期限分开设定

每年通过承包商提交的设备管理书面报告或自我评估结果，核实其是否符合上述要求。