Qzoo 调查网站数据泄露（约40万条记录）：包括银行账户信息在内的会员数据可能已泄露，会员应该怎么做

公司要求在其他服务上使用与 Qzoo 相同的电子邮件地址和密码组合的会员，尽快更改这些服务的密码。公司未说明密码的存储方式。

电子邮件和密码组合一旦被知晓，就可能被拿到其他网站上尝试。请从电子邮件、网上银行、网购和积分服务开始，并为每个服务使用不同的密码。密码管理器是进行清点的现实方法。同时请为您的电子邮件账户开启两步验证。

至于 Qzoo 密码本身，公司表示将在服务恢复时要求所有调查对象重新设置。

公司提醒注意冒充 Qzoo 或该公司的电子邮件、短信等消息，并表示绝不会联系会员要求输入密码或其他信息。公司要求会员不要打开可疑邮件中的网址或附件。

公司表示将依次单独联系受影响的人，因此真实消息和假冒消息可能同时到达。如果您收到关于“确认报酬收款账户”“重置密码”或“致歉”的消息，请不要使用其中的链接，而是查看公司官方网站上的通知（参见什么是网络钓鱼？）。

由于账号、支行名称和账户户名都在范围之内，本步骤和下一步骤是本站给出的建议，并非公司通知中提出的要求。

账号和户名是为了让别人向您付款而提供的信息；仅凭这些无法取款。取款和转账需要提款卡和密码（PIN），或网上银行的登录信息和验证码等。需要警惕的是，有人自称是您的银行、该公司或警方，利用您的账户信息让自己听起来可信，并声称您的账户正被滥用，或需要确认您的收款账户。

作为一般性指引，日本全国银行协会表示绝不会向客户索要密码，日本警察厅也表示警察绝不会通过电话等方式询问密码。绝不要通过电话、电子邮件或短信告诉他人您的密码（PIN）、登录信息或一次性密码（一次性使用的验证码）。

请检查您在 Qzoo 注册的账户的存折或银行应用中，是否有您不认识的存入、取出或扣款。如果发现，请立即使用存折、提款卡背面或银行官方网站上的电话号码联系您的银行。不要拨打您收到的消息中给出的号码。日本警察厅同样要求，发现通过无现金支付服务进行的未经授权取款的人，应同时联系银行等机构和警方。

公司的通知并未要求会员联系银行。我们没有找到任何官方指引称，仅因账号可能泄露就必须更换账户。

公司提醒注意寄送到会员住址的可疑邮件和联系。由于住址和出生日期都在范围之内，看似可信的假冒联系不仅可能通过电子邮件，也可能通过明信片、信件或电话出现。

即使对方准确说出了您的姓名、住址、出生日期或注册的银行账户，也不能证明对方是真的。这些正是可能已泄露的信息。如需咨询，请使用通知中给出的联系方式（Qzoo 客户咨询：qzoo_support@monitas.co.jp），或您在公司官方网站上核实过的联系方式。

一般而言，银行信息等重要项目应与会员资料和调查回答存放在不同的数据库中（或存放在单独加密的区域），并仅允许付款处理程序读取。如果运行网站页面的账户也能读取银行信息，那么一个有缺陷的入口就会暴露所有信息。

SQL注入是指输入内容被当作SQL语句本身的一部分来处理的漏洞的统称（参见什么是SQL注入？）。一般而言，应统一使用占位符（参数化查询），并将旧页面和管理功能也纳入清点范围。

根据公司的通知，从未经授权的访问开始（8:30）到被发现（18:44）经过了约10个小时。一般而言，记录每次请求读取的行数、错误的激增以及对通常不会改动的表的写入，并在超过阈值时提醒工作人员，是缩短发现时间的切实第一步。