World子公司Tin Pan Alley（据媒体报道为RAGTAG运营方）数据泄露（合计约120万条记录）：姓名、地址和电话号码可能外泄，会员应如何应对

可能外泄的数据中，可能包含姓名、地址、电话号码和电子邮件地址同时出现的记录（公告没有说每条记录都包含这六项）。有了这样的记录，别人就能写出一条把您的姓名和地址写对的消息。

如果收到关于“致歉优惠券”“再次确认您的会员信息”或“回收款项支付”的消息，请勿打开其中的链接。请自行打开官方网站或应用核实。假短信（短信钓鱼）也是如此。如何区分，参见什么是网络钓鱼。

公告称，未确认信用卡等支付数据发生泄露。密码没有出现在可能外泄的项目中，但公告没有说明它们被排除在外。

有人把您的姓名和地址说对，并不能证明什么，因为这恰恰是可能外泄的信息。如果以致歉或退款的名义被要求提供卡号或密码，请立即视为假冒。

与电子邮件地址不同，出生日期无法更改。许多银行、商店和移动运营商在您联系它们或重置账户时，把它当作答案。

请检查您是否把出生日期用作密码或密保问题的答案，如果是，请替换掉。请开启多因素认证，而不是只依赖密码，这样即使攻击者知道您的出生日期，也更难得手。

密码不在公告的项目之中，所以仅因本事件没有什么需要更改的。但电子邮件地址常被用作登录ID，而重复使用的密码会让一次泄露蔓延到其他服务。

密码管理器是切实可行的盘点办法。您可以用如何检查您的密码是否已泄露来检查重复使用的密码是否出现在过去的泄露中。

电话号码和地址很难更改。诈骗电话、短信和信件，可能会在一段时间内以本事件以外的名义送到您这里。

开启手机的垃圾电话和垃圾短信过滤，可以减少漏进来的数量（参见智能手机安全基础）。

公司表示正在准备向会员发送个别电子邮件，但公告没有给出发件地址或时间。发件人名称可以伪造，所以即使收到了电子邮件，也不要通过其中的链接登录或输入任何内容。请把它与World官方网站上的公告对照。

公告中列出的联系方式是World Co., Ltd.（电话+81-3-6887-1300）。那是公告上印的联系方式，截至2026年11月1日，公告没有说明是否已为会员设立专门的服务台。请使用官方网站上列出的联系方式，而不是您收到的消息中写的号码或URL。

根据公告，访问发生在10月17日，检测在10月28日，相隔约11天。路径在检测的当天就被封堵了。检测花的时间越长，能被提取的数据就越多，所以请先建立能发现从业务服务器读取大量数据的记录和告警。

第一步：每小时记录保存会员数据的服务器读取了多少行、传输了多少数据，并在与平时差异很大时给某人的手机发出告警（参见速率限制与滥用控制）。

公告称，约120万条记录的计数中，受影响的会员及详情仍在确认中。当多项服务的会员数据放在同一台服务器上时，一次入侵会扩大范围，并使查明谁受影响变得更慢。

请事先决定，不保存业务没有它也能运转的项目，例如出生日期或性别，并在会员退会后删除数据。这能让泄露的范围更小。