FANCL与Attenir网店遭未授权访问（368,184名和417,312名会员）：姓名、地址、电话号码和出生日期外泄，会员应如何应对

受影响的数据是各公司会员数据的一部分。FANCL的常见问题解答称，受影响的客户已于10月17日（星期六）通过注册电子邮件地址获得通知（10月25日查阅）。

如果您不确定是否收到过通知，或某封邮件是否真实，请拨打FANCL/Attenir共同咨询热线0120-333-600（周末和节假日也接听，9:00至17:00）。请使用官方通知中的号码，而非邮件中写明的号码。

两家公司警告，泄露的数据可能被用于伪造邮件、网络钓鱼诈骗及类似欺诈。关于积分即将过期、会员等级变更、道歉或赔偿的消息，对会员来说不会显得异常，这使得假冒消息更难辨别。

如需核实任何事项，请使用您自行打开的官方网站或应用程序（参见什么是网络钓鱼？）。

由于地址和电话号码也已泄露，假冒联系可能不仅通过电子邮件发生。两家公司表示，不会索要密码或信用卡信息。

如果有人在电话中提出此类要求，请挂断，并拨打官方通知中的号码回拨。请勿使用您所收到信件上印刷的电话号码或二维码。

泄露的项目包括子邮箱地址及其密码。据两家公司称，这是部分会员设置的哈希化二级密码，无法直接读取。主密码未包括在内。

即使经过哈希处理，简短或常见的密码在有足够时间的情况下仍有可能被破解（参见什么是密码哈希？）。如果您记得自己设置过二级密码，并在其他服务中使用了相同的字符串，请在那些服务中更改。两家公司也请客户定期更改密码。

对于安全问题，泄露的只有问题项目；答案未包括在内。一般来说，知道您选择了哪个问题的人，可能会通过电话或邮件试图从您口中套取答案。请勿回答此类请求；如果您在其他服务中使用了相同的问题和答案，请进行检查。

两家公司表示已确认并停止了导致泄露的功能，并称此事件未影响其业务活动或服务。如果网站的设计使问题功能可以被单独切断，而无需关闭整个网店，则可以在调查期间限制影响范围。对于您自己的网店，应针对每项会返回会员数据的功能，事先确定如何停止以及由谁负责停止。

泄露的项目包括仅部分会员设置的子邮箱地址及二级密码，以及安全问题项目。如果使用人数较少的功能的数据与会员记录存放在一起，即使使用率低，这些数据仍会暴露。应定期检查未使用功能的数据是否可以删除，以及是否确有必要与会员主数据存放在一起。

两家公司表示二级密码已哈希化保存。基本原则是：绝不以明文或可逆形式保存会员密码，并使用慢速且加盐的哈希算法，例如bcrypt或Argon2。参见使用哈希与盐值保存密码。

两家公司在公告发布次日开通了共同咨询热线，据FANCL的常见问题解答，同一天（10月17日）也通过电子邮件通知了受影响客户。若在假冒通知扩散之前，真实通知已经送达，会员就能更容易地加以区分。应避免发出要求人们通过链接输入个人数据的通知，并告知收件人应通过官方网站核实，以使其与假冒消息的区别清晰可见。