E-store ShopServe数据泄露（最终报告：约2,336万人）：买家、店主和联盟会员应如何应对

据本站所知，E-store尚未公布受影响商店的名单。您可以通过三种方式查看：

• 留意E-store的个别通知（公司表示个别通知已完成）
• 查看您用过的网店的官方网站，看是否有提到未经授权访问或E-store的公告
• 通过E-store最终报告中链接的买家咨询表单询问

对于无法确认联系方式的人，公司表示以其公告和咨询窗口代替通知。至少有一家受影响的商店表示，其受影响的买家可追溯到2008年。多年前的购买仍可能包含在内。

外泄内容包括姓名、地址、电话号码、电子邮件地址和工作单位，以及持卡人姓名、卡号前6位和后4位以及有效期。这意味着虚假信息可以说出“您尾号为1234的信用卡”，并且细节完全正确。

E-store表示，绝不会通过电子邮件或短信要求重新输入卡片信息、重新付款或提供密码，并警告可能出现冒充公司或金融机构的可疑电子邮件、短信和电话。如果收到此类信息，不要使用其中的链接或电话号码；请自行打开商店或发卡公司的官方网站（参见什么是网络钓鱼？）。

据公司称，其不保存完整卡号或安全码，它们没有外泄。约2,096,900人的部分卡片数据被包含在内。即便如此，为防止有人被虚假信息骗得输入卡片信息，请在本月以及接下来的几个月检查账单。

如果发现不认识的扣款，请拨打卡片背面的电话号码。您也可以询问发卡公司是否需要换卡。

公司表示会员密码以加密形式存储，判断很难被识别，并表示外泄的数据无法把会员与其使用的商店联系起来。如果您在其他服务中使用相同的电子邮件地址和密码，请更改它们。公司还建议为每项服务使用不同的密码，并使用多重验证。

在您用过的商店更改会员密码也是明智的做法。密码管理器是便于管理这些密码的实用方法。

买家数据包含工作单位。如果您的订单曾送到办公室，结合了您姓名和雇主的信息可能通过工作邮箱或电话送达。凡是关于配送或付款的信息，请通过商店的官方网站核实。

商店管理后台的ID和密码在外泄项目之列。请更改密码。公司表示已作为预防措施加强了管理认证（包括两步认证），因此请开启您可以使用的任何此类功能。如果您在其他服务中使用了相同的密码，也请一并更改。

联盟会员的电子邮件地址和密码同样包含在内。请更改密码，并在使用相同电子邮件地址和密码的任何其他服务中也更改。如果有关于奖励或账户核实的信息发到您的注册邮箱，不要打开其中的链接；请通过官方网站核实。

公司表示，尚未收到本次事件造成的具体次生损害的报告。作为预防措施，请查看管理后台的登录历史和最近的设置更改，看是否有您的团队没有做过的操作。如果发现问题，请联系E-store的商店服务台（电话03-6434-0946，工作日日本时间10:00至18:00）。

便利店付款单上您的销售负责人姓名、商店名称、邮政编码、地址、电话和传真号码已包含在内。如果针对您商店的可疑电话、传真或电子邮件声称来自合作伙伴或与付款有关，不要使用其中提供的联系方式；请通过官方渠道核实（保护您自己的域名，参见SPF、DKIM和DMARC）。

大多数买家不知道ShopServe这个名字，因此仅凭E-store的通知，他们无从知道这与哪家商店有关。在您自己的网站上发布通知，说明受影响的期间、外泄项目（包括是否涉及卡片数据）和联系方式，能让买家判断自己的情况。

正常的订单处理每次操作只处理一家商店的数据。单个进程或数据库连接在短时间内读取许多商店的数据，在计划批处理作业之外是不寻常的。

第一步：从数据库审计日志中，按连接来源统计“每小时接触的商店数”，当已知批处理作业之外的任何来源超过某个上限（例如10家商店）时发出警报。

在本案中，数据库内容是从服务器发送到外部的。处理订单的服务器只需要访问少数目的地，例如支付处理商和物流公司。

仅允许向您需要的目的地出站，并对发往其他任何地方的流量以及异常大的传输进行记录和警报。防火墙和云网络设置可以做到这一点。

如果商店管理密码等凭据可以从与买家数据相同的地方读取，它们就会一同被带走。以无法还原的形式存储凭据，并把必须可还原的内容放在使用独立密钥的单独存储中。

关于存储，参见安全存储密码（哈希和盐）；关于更全面的情况，参见组织的最低安全基线。

买家只知道自己用过的商店的名称。运营者发布的一份覆盖整个服务的通知，无法让他们判断自己是否受影响。

确保您能迅速按商店给出受影响的期间、外泄项目以及是否涉及卡片数据，并在事件响应流程中包含把这些交给每家客户企业，以便其向自己的买家说明。