适用对象：瑞士在线交易平台 Ricardo 的用户（买家、卖家和企业用户）。本文基于 Ricardo 母公司 SMG Swiss Marketplace Group 的官方公告，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
- 适用对象
瑞士在线交易平台 Ricardo 的用户（买家、卖家和企业用户）。
- 已确认的影响范围查看表格 ↓
- 姓名、邮寄地址、电话号码
- 公司名称（企业用户）
- 规模
另外3项
- 发现日期
- 漏洞修复
- 向当局报告
- 尚未确认的事项
- 漏洞的性质
- 未经授权访问的时间段
- 被暴露的数据是否已被公开或被滥用
另外1项
- 未收到通知的用户如何确认
- 现在要做的事查看步骤 ↓
- 不要回应索要银行卡信息或银行、TWINT 登录信息的联系
- 不要打开链接，通过应用或书签进入 Ricardo
- 处理意外信件时，不要使用信中的联系方式
另外2项
- 通过应用确认 Ricardo 的直接通知
- 公告没有要求更改密码
- 核实来源（出处）全部来源 ↓
- SMG Swiss Marketplace Group，「Ricardo fixes security vulnerability affecting user data」（2026 年 10 月 9 日，英文；另有德文和法文版）— swissmarketplace.group
- 最后核实
- 截至 2026 年 10 月 31 日
续报计划与核实记录
10 月 9 日的公告没有提到后续发布的计划。截至 10 月 31 日，SMG 的新闻稿列表中没有关于此事的后续消息。
Ricardo 用户今天应该做什么
不要回应索要银行卡信息或银行、TWINT 登录信息的联系
姓名和电话号码同时被掌握时，自称 Ricardo 客服或交易对方的电话和短信可能听起来很真实。SMG 的一位女发言人在接受 SRF 采访时提醒，要特别警惕索要信用卡信息或银行、TWINT（瑞士的手机支付应用）登录信息等敏感数据的意外信件、电话、短信或 WhatsApp 消息。
不要回应索要这些信息的人，直接挂断电话。对方知道您的姓名或地址，并不能证明对方的身份。
不要打开链接，通过应用或书签进入 Ricardo
不要打开冒充交易通知或「收款」请求的消息中的链接。需要确认时，请自己打开 Ricardo 应用，或通过书签进入网站（识别方法：什么是网络钓鱼？）。
处理意外信件时，不要使用信中的联系方式
邮寄地址也被暴露了。如果收到您不认识的账单或通知，不要使用其中的 URL、二维码或电话号码，请通过自己查到的官方渠道确认。这是一般性提醒，公司并未表示正在有人寄送此类信件。
通过应用确认 Ricardo 的直接通知
公司表示，正在直接向受影响的用户说明事件内容、影响以及可以采取的预防措施。如果不确定收到的通知是否真实，请在通过应用或书签打开的 Ricardo 页面上确认，而不是通过通知中的链接。
公告没有要求更改密码
公司表示，电子邮件地址和密码未受影响。如果您在其他服务上重复使用同一密码，一般来说检查一下是好习惯，但这不是此次事件要求的步骤（参考：密码管理器的工作原理与选择方法）。
发生了什么（依据 SMG Swiss Marketplace Group 的公告）
以下内容基于 SMG Swiss Marketplace Group 于 2026 年 10 月 9 日发布的公告（英文、德文和法文）。
2026 年 10 月 7 日
Ricardo 在其服务器上发现可疑活动，并立即启动保护系统的技术措施。10 月 9 日
SMG 宣布与订单关联的个人数据遭到未经授权的访问，漏洞已被修复。公司表示约 89 万个账户的个人数据被暴露，并已向 FDPIC 报告。截至 10 月 31 日
SMG 的新闻稿列表中没有关于此事的后续消息。
被暴露（约 89 万个账户）
姓名、邮寄地址、电话号码。企业用户还包括公司名称
未受影响（公司）
电子邮件地址和密码。支付信息未提及
被暴露的是电话和邮寄地址，因此要特别警惕电话、短信、即时通讯应用和信件。一般来说，诈骗邮件也仍有可能出现。
- 发生了什么
- Ricardo 平台上与订单关联的个人数据遭到未经授权的访问
- 被暴露的数据
- 姓名、邮寄地址和电话号码；企业用户还包括公司名称。公司表示被暴露的数据仅限于这些
- 未受影响（公司）
- 电子邮件地址和密码
- 规模
- 约 89 万个用户账户
- 原因
- 导致此次访问的安全漏洞；公司表示已完全修复。其性质未公开
- 对用户的通知
- 直接向受影响的用户说明事件内容、影响以及可以采取的预防措施
- 报告
- 已向 FDPIC 报告。计划向警方提起刑事告诉，并向国家网络安全中心（NCSC）报告
已知与未知的内容
截至 2026 年 10 月 31 日的状态。有后续消息时，将更新状态栏。
| 项目 | 公告内容 | 状态 |
|---|---|---|
| 姓名、邮寄地址、电话号码 | 约 89 万个账户的数据被暴露 | 已确认泄露（公司） |
| 公司名称（企业用户） | 被暴露 | 已确认泄露（公司） |
| 电子邮件地址 | 未受影响 | 未包含（公司） |
| 密码 | 未受影响 | 未包含（公司） |
| 支付信息（银行卡、银行账户） | 公告未提及 | 未说明 |
| 规模 | 约 89 万个用户账户（不是人数） | 已确认（公司） |
| 发现日期 | 2026 年 10 月 7 日 | 已确认（公司） |
| 漏洞修复 | 已完全修复 | 已确认（公司） |
| 漏洞的性质、访问的时间段 | 未说明 | 调查中 |
| 数据的公开或滥用 | 公告未提及。据 SRF 报道，SMG 的一位女发言人对通讯社 AWP 表示，这些数据任何时候都没有处于可自由访问的状态，迄今也没有发生勒索或索要赎金 | 未说明 |
| 向当局报告 | 已向 FDPIC 报告；计划向警方和 NCSC 报告 | 已确认（公司） |
如何解读：「未说明」不等于「没有发生」
支付信息和数据滥用只是在公告中没有提及。地址和电话号码已经被暴露，因此请假定它们日后可能被用于诈骗联系，并据此采取行动。
姓名、地址和电话号码可能被用来做什么
一般来说，以下组合可能被这样滥用。这并不意味着此次已经发生。
- 姓名＋电话号码：冒充 Ricardo 客服或交易对方打电话或发短信，以「收款」或「验证账户」为借口骗取银行卡信息或登录信息
- 姓名＋邮寄地址：冒充账单或退款通知的信件，引导到虚假网站或电话号码
- 公司名称＋电话号码（企业用户）：冒充交易伙伴或其员工打电话，提出更改收款信息等
过去的例子：在联系方式和合同编号外泄的 ENGIE 客户数据泄露中，主要提醒是警惕冒充该公司的电话。此次未必会以同样的方式发展。
运营者需要检查的事项：与订单关联的联系方式要保存多久
作为原因的漏洞尚未公开。本节不评价 Ricardo 的应对，而是根据被暴露的项目给出的一般性检查。
- 决定与订单关联的地址和电话号码保存到什么时候。 根据公告，被暴露的是与订单关联的个人数据。事先决定在配送和联系结束后何时删除订单的地址和电话号码，或减少显示的内容，可以减少发生入侵时被暴露的数量。
- 告诉用户您绝不会索要什么。 在发送直接通知的同时，附上写明「我们不会通过电话或消息索要银行卡信息或登录信息」的提醒，有助于用户识别虚假联系。
参考来源（公开记录）
本文中的事实基于以下公开信息。对于未公开的入侵途径和手法，本文不作推测。
- SMG Swiss Marketplace Group，「Ricardo fixes security vulnerability affecting user data」（2026 年 10 月 9 日，英文；另有德文和法文版）— swissmarketplace.group
- 同上，新闻稿（PDF，2026 年 10 月 9 日）— swissmarketplace.group
- SRF，「«Keine Erpressung» – Ricardo meldet Datenleck bei 890'000 Konten」（2026 年 10 月 9 日，德文）。SMG 女发言人的提醒以及没有勒索或索要赎金这一说法的来源 — srf.ch
更新记录
2026-10-31：首次发布，依据 SMG Swiss Marketplace Group 10 月 9 日的公告和 SRF 的报道。截至 10 月 31 日，该公司的新闻稿列表中没有关于此事的后续消息。有后续消息时，本文将予以更新。
延伸阅读
- 同类事件：ENGIE 客户数据泄露
- 识别后续诈骗：什么是网络钓鱼？
- 2026 年其他事件：2026 年数据泄露与网络攻击