NIFTY 线路申请系统遭入侵（最多542,513条记录）：会员ID、姓名、地址及电话号码或已外泄，光纤用户应如何应对

根据通知，范围涵盖自2019年起申请线路的客户（不包括公司网站申请），对应@nifty Hikari、@nifty MAX Hikari及@nifty au Hikari Plus。

通过公司网站申请的人似乎不在范围内，但通知未详细说明涵盖哪些申请途径。通知也未说明是否会单独通知受影响的客户。如果不确定自己是否受影响，请通过下方的联系方式咨询。

涉及的项目包括姓名、地址、电话号码及电子邮件地址。这些信息组合在一起，就可能制造出姓名和地址都正确的可信电子邮件及短信。

公司请客户留意冒充公司或相关方的可疑电子邮件、来电及短信，不要打开其中的网址，也不要输入个人信息。即使信息内容是“致歉”、“线路合同核查”或“退款”（本站举例），也不要打开其中的链接；请通过您自己从书签或搜索进入的官方网站进行核实（如何识别：什么是网络钓鱼）。

公司称，就本次事件而言，它不会以电子邮件、电话或类似方式单独联系客户，索要PIN码、密码、信用卡信息等。对于任何索要这些信息的联系，即使声称来自公司，也应视为假冒。

涉及的项目还包括会员ID、出生日期和地址。知道您的会员ID或出生日期的来电者，并不能证明什么。请不要回答；挂断电话，并通过自行查找的号码回拨。上门访问或信件也应采取同样的做法。

与电子邮件地址或电话号码不同，出生日期无法更改。这次它与姓名和地址一同列在可能外泄的项目之中。

如果您将出生日期（例如“0815”）用作银行或信用卡的PIN码，或手机屏幕锁密码，请立即更改。这是本站的一般建议，并非公司的指引。

密码不在可能受影响的项目之列，通知中也未提及。公司也未要求客户更改密码。

但是，未被提及并不能证明密码是安全的。如果您在@nifty及其他服务上使用相同的密码，现在正是将它们改为不同密码的好时机。密码管理器是便于追踪密码的实用方法。

通知列出了@nifty专线（电话0120-924-719，日本境内免费，每日10:00至18:00）。请在您自行打开的公司通知页面上核对号码，而不是使用您收到的联系内容中的号码。

如果您在收到可疑联系后已经提供或输入了个人信息，请先致电此专线咨询。如果您已付款或提供了银行或银行卡信息，还请联系您的银行或发卡机构，并拨打日本警察咨询专线（#9110）。

一般而言，漏洞测试和监控往往从客户使用的网站开始。然而，用于管理和处理申请的内部工具，往往集中存放着与面向客户的表格同样多、甚至更多的个人数据。

将所有持有客户个人数据的系统，无论面向客户还是内部使用，都列入同一份清单，并记录每个系统可从何处访问、哪些账户在使用，以及其活动日志保存在哪里。不要因为面向客户或内部而区分检查范围；对清单上的所有系统采用相同的检查标准。

本次事件涉及自2019年起的申请者。一般而言，已完成申请的记录在日常处理中很少需要。

决定处理界面可以查询多久以前的记录，并将较早的记录转移到独立存储，或减少其中的项目。这样，如果管理工具遭到入侵，受影响的人数和项目就会更少。依法或依合同必须保存的记录，应与工作界面分开保管。

公司在通知中明确表示，就本次事件而言，它不会索要PIN码、密码、信用卡信息等。这些信息是客户可以立即用来识别假冒联系的依据。

在事件发生之前，请决定您的机构绝不会通过电话或电子邮件索要哪些信息，以及用于发送重要通知的发件人是哪些，并将其公布在官方网站上。这样，在事件当天就可以发布同样的指引。关于防止发件人伪造，请参阅SPF、DKIM与DMARC如何防范电子邮件伪造。