MrMax应用和线上商城遭入侵（最多约174万人）：姓名、邮箱和电话号码外泄——会员应该怎么做

外泄的数据包括会员ID、姓名、邮箱地址和电话号码。诈骗者掌握这些信息后，就可以发送带有你正确姓名和会员ID的消息。

如果你收到关于"致歉优惠券"、"奖励积分"、"重新登记会员信息"或"退款手续"的消息，不要打开链接；请自己打开应用或官方网站进行核实。假冒短信（短信钓鱼）也应同样处理（参见什么是网络钓鱼？）。

公司称绝不会索取你的密码或信用卡号。公司还称，已确认密码和信用卡数据未外泄。

知道你姓名和会员ID的来电者，并不能因此被证明是真实的。这些正是外泄的信息。如果有人以致歉或退款的名义索取银行卡号或密码，应视为诈骗。

公司称将以noreply@mrmax.jp为发件地址，通过邮件逐一通知受影响的会员。该域名与其官方网站域名（mrmax.co.jp）不同，但这是公司自己公布的发件地址。

不过，发件人地址可以被伪造。即使发件人看起来正确，最简单的原则仍是绝不通过邮件中的链接登录或输入任何信息。

公司称密码未外泄，因此根据通知，无需立即更改。

但如果你在其他服务上使用与MrMax账户相同的密码，请现在就将它们分开。密码管理器是盘点账户的可行方式。你可以通过如何检查密码是否已泄露，查看重复使用的密码是否出现在过往的泄露事件中。

你可以新建邮箱地址，但电话号码不易更换。外泄的号码可能会在很长一段时间内收到诈骗电话和短信，其中也包括与MrMax无关的内容。

开启手机的垃圾电话和垃圾短信过滤功能，可以减少诈骗信息到达的数量（背景知识：智能手机安全基础）。公司还请会员留意可疑的邮寄信件，不过公司表示地址未外泄。

公司提供了一个用于咨询本次事件的邮箱地址（incident-desk@mrmax.co.jp）。请使用MrMax官方网站通知中的联系方式，而不要使用你收到的消息中提供的联系方式。

应用或线上商城通常由多个部分构成：电子商务程序包、管理后台、插件和外部库。首先应列出你运行的软件及其版本。osv-scanner等免费工具可以按计划检查依赖项中的已知漏洞。

除版本外，还应列出在服务器上运行的功能，例如文件上传、批量导入导出、管理端API、调试输出等。

默认开启但从未使用的功能，最安全的做法是关闭。如果必须保留管理功能，不要对互联网上的任何人开放；限制可访问的来源，并要求多因素认证。

各框架的默认风险配置整理在按框架划分的安全指南中。

公司称，它是在周六晚间发现可疑访问的，并当即暂停服务，当日阻断了外部访问。要在节假日也能做到同样的应对，请提前确定谁接收告警，以及谁决定暂停服务。

作为第一步，应每小时记录从会员数据库读取的行数以及管理功能的使用情况；当数字与平时明显不同时，向值班人员发送告警（背景知识：速率限制与滥用控制）。