Matsuya 应用管理系统遭入侵（2,377,127 条记录及应用会员）：姓名、电话号码和配送地址外泄——会员应该怎么做

外泄项目包括姓名和电话号码，以及配送地址（Matsuben Net 等）或出生日期和电子邮件地址（应用会员）。有了这么多信息，一条消息就可以带着正确的姓名和正确的地址，看起来十分真实。

如果消息称积分即将到期、您的会员等级将被重置，或者提供道歉优惠券或补偿，请不要打开其中的链接；请自己打开官方网站或官方社交账号进行核实（识别方法：什么是网络钓鱼？）。

在另一份通知中，公司表示，将在2026年11月1日之前，通过电子邮件向在2026年9月26日至10月28日期间购买了应用版 MATSUYA PASS 的人发送可在售票机使用的专用二维码。公司确实预计要发送的电子邮件，恰恰是虚假邮件容易混入的地方。

请不要打开此类电子邮件中的链接；请先在公司官方网站上查看公告。公司表示，绝不会通过电子邮件或电话索取密码或信用卡数据。

对于应用会员，加密密码、电子邮件地址和出生日期外泄。加密方法及其强度尚未披露，因此如果您在其他服务中使用与 Matsuya 账户相同的密码，请先在那些服务中更改。

密码管理器是盘点这些的实用方法。您可以通过如何检查密码是否已泄露检查重复使用的密码是否曾出现在过去的泄露中。Matsuya 应用已暂停，因此请在恢复后，按照公司的官方指引更改应用侧的密码。

Matsuben Net、Mobile Order 和 Matsuben Delivery 的数据包括您的配送地址和电话号码。冒充快递公司的短信（“无法送达”或“无法确认您的地址”），如果姓名和地址吻合，就可能看起来很真实，尽管它与 Matsuya 毫无关系。

电话号码和地址很难更改，因此此类消息可能会持续出现。开启手机的骚扰电话和骚扰短信过滤功能可以减少这类消息（智能手机安全基础）。

公司为本次事件列出了个人信息咨询窗口（电话 0422-38-1121，工作日 10:00 至 16:00，周末和节假日休息，听到语音提示后按 1；通知中也列有电子邮件地址）。请使用 Matsuya 官方网站上的联系方式，而不是您收到的消息中所写的联系方式。

此处的目标是保存应用和订餐服务用户数据的管理系统。管理界面和管理 API 的权限比面向客户的界面更大，因此请盘点谁可以从哪里打开它们。

不要让它们对互联网上的任何人开放；请限制来源地址，并要求使用多因素验证（参见多因素验证指南）。

此处，应用会员以及移动订餐和配送等订餐服务的用户，似乎是通过一个共用的管理系统而受到影响。当多个服务共用同一平台时，一次入侵就可能波及多个服务的用户。

请检查共用平台上存放着哪些数据，以及各服务可查看的范围是否已分隔。我们还在Yakiniku King 应用案例中介绍了读取量限制和通知。

公司表示其不持有信用卡数据。同样，请定期检查您是否保留了订餐并不需要的项目（出生日期、过去的地址等）。

绝不要以明文存储密码；请使用强力的加盐方法存储（密码存储、哈希与盐）。