NewsPicks 数据泄露（持卡人姓名及卡号末位数字，最多362,000条记录）：内部管理工具遭入侵的情况及用户应采取的措施

可能泄露的项目包括持卡人姓名及卡号后3或4位数字。发卡机构和服务的正常消息通常也会显示卡号后4位，方便您识别卡片。因此，一条包含正确末位数字的虚假消息很难与真实消息区分。

如果您收到类似“请确认卡号尾号为XXXX的卡”或“您的付款出现问题”的内容，请不要打开链接。卡片相关事宜请使用卡背面的号码联系发卡机构，NewsPicks相关事宜请通过官方应用处理（如何识别假冒信息：什么是网络钓鱼？）。

公司表示，自10月9日起，已从NewsPicks支持邮箱（no-reply@newspicks.com）依次向受影响用户发送邮件。但邮件中显示的发件人可以被伪造，模仿通知的虚假邮件是有可能出现的，因此可靠的核实方式是查看您自己打开的官方网站上的通知。

公司表示，绝不会通过电子邮件、短信、电话或邮寄方式索要密码或信用卡号。如果有人向您索要这些信息，您可以当场将该消息视为虚假。

据公司表示，完整卡号由支付处理商管理，未存储在其系统中，公司也不存储安全码。因此，仅凭泄露的数据不太可能被用于盗刷。

即便如此，如果虚假消息引导您输入完整卡号，仍可能导致欺诈。如果账单上出现您不认识的扣款，即使金额很小，也请联系发卡机构。是否需要补办卡片，请与发卡机构商定。

可能泄露的项目还包括所属单位（如雇主）、所属机构的电话号码及职位级别类别。除了个人邮箱之外，以NewsPicks或业务合作方名义打来的电话或发到工作单位的邮件也有可能出现。

如果有人要求您确认一笔意外的账单或“合同细节”，请不要当场回应；请通过您自己查到的官方号码回拨。负责为所在机构管理NewsPicks Enterprise或NewsPicks Education的工作人员，应将此提醒分享给机构内的用户。

公司表示，尚未确认密码泄露，也未要求用户更改密码。如果您有顾虑，或在其他地方使用相同密码，可以在官方应用中通过“设置与隐私”下的账户设置进行更改，而不要通过邮件中的链接操作（公司帮助页面上的步骤：更改密码，日文页面）。

密码管理器是避免重复使用密码的实用方法。如需查看您的密码是否出现在其他泄露事件中，请参阅如何检查密码是否已泄露。

公司通知中列出的联系方式为电子邮件地址（info@newspicks.com）以及NewsPicks帮助中心的咨询表单。联系时您无需提供卡号或密码。

仅供员工使用的管理工具和分析工具往往比主服务管理得更松散，可能无人负责其更新。请先列出您使用的管理工具，并为每个工具记录由谁负责更新，以及漏洞通告送达何处（安全资产清单检查表、CVE修复手册）。

只允许员工使用管理工具。使用内部网络、VPN或源地址限制，使登录页面本身无法从外部访问。然后通过企业单点登录（SSO：用一个账户登录多个工具）和多因素认证进行登录。

某些漏洞位于登录之前的处理过程中，此时密码和多因素认证都无济于事。使工具无法从外部访问，是在这种情况下仍然有效的措施（应对VPN设备漏洞的防御方法）。

一般来说，管理工具可能泄露的内容取决于您授予它的数据访问权限。公司也表示，已将管理工具的数据访问权限降至工作所需的最低限度。

在您自己的环境中，请记录每个管理工具的连接用户或访问密钥可以读取哪些数据，并屏蔽工作不需要的字段（如持卡人姓名、卡号末位数字、出生日期等）。仅暴露表中部分数据的视图用法，可参阅Metabase漏洞利用导致的数据泄露文章；关于谁可以做什么的权限概念，请参阅身份认证与授权。

公司重新签发了管理工具可访问数据的访问密钥。当管理工具被攻陷时，其持有的密钥必须视为已泄露并予以更换。请记录哪些密钥分配给了哪些工具，并提前确定重新签发的流程及负责人，以便事发当天能够迅速响应。