电子商务
该标签下有 10 篇文章
电商物流（仓储与发货）承包方遭未经授权访问，多家网店的配送数据可能泄露：姓名、住址、电话号码等，买家应如何应对
2026年11月11日，一家为电商网店处理物流（仓储和发货）的公司宣布，外部第三方于11月8日至9日未经授权访问了其系统，部分发货数据被获取。涉及的数据是2026年4月8日至11月8日期间提出的发货请求，可能泄露的信息是收件人的姓名、住址和电话号码、电子邮件地址（如已登记）以及商品信息。该公司称不保存信用卡号，因此不受影响。受影响的人数正在调查中，截至11月11日未确认有滥用或二次损害。把物流委托给该公司的网店，已在各自官方网站上公布了对自己客户的影响（本文列出我们能读到官方通知的六家；数字按各网店所述，不给出合计）。我们的结论：买家应假定，冒充快递员、您购物的网店或订单的联系可能显得很逼真，对于知道您的联系方式和所购商品的人发来的付款要求或确认，不要回应。
Fandango 结账页面银行卡数据泄露（2026年10月）：可能遭未经授权访问；银行卡号、CVV、有效期、账单邮编和电子邮件地址可能受到影响。该怎么做
电影票务公司 Fandango Media 于2026年11月13日向加利福尼亚州总检察长提交了通知。通知称，公司发现其购票结账页面出现问题，已与外部网络安全专家一起调查并予以解决。它称，调查发现证据表明，在2026年10月8日至11日，未经授权的一方可能访问了结账页面上与某些交易相关的支付卡信息，并且在10月30日判定某人的信息可能受到影响。可能受到影响的信息是支付卡号、CVV、有效期、账单邮政编码和电子邮件地址。通知称，不涉及名和姓、政府签发的身份证件信息、社会安全号码以及其他账户信息。Fandango 称目前没有发现信息被欺诈性使用，并通过一家监控服务提供商提供24个月的信用监控、暗网监控、一份赔偿恢复费用的身份盗用保险（最高100万美元，以保单条款为准）以及托管的身份盗用恢复服务；样本称请在2027年2月13日前激活。受影响的人数未说明，我们也没有发现公司另行发布的公告。我们的看法：如果您在这些日期前后在 Fandango 的结账页面上购票，请检查您的银行卡账单，把不认识的扣款告知发卡机构，并询问发卡机构是否需要更换银行卡。
Edion网上商店遭未经授权访问（订单信息最多9,554位客户等）：银行卡信息、礼品卡密码和登录凭据可能外泄，用户应如何应对
2026年11月6日，Edion Corporation宣布，其网上商店所在服务器遭未经授权访问，部分客户的个人信息可能外泄；11月9日的第二次报告对该通知作了更正和补充。第一次报告列出的是记录在日志文件中的最多4,131位客户的信息（姓名、电子邮件地址、电话号码、出生日期、地址、客户编号等），以及最多9,554位客户的订单信息（姓名、订单编号、订单金额、信用卡有效期、礼品卡编号等），并称信用卡号和登录密码不在其中。第二次报告对此作了更正：下单时错误日志中记录的信用卡信息（卡号、有效期、持卡人姓名、安全码）最多5例，Edion礼品卡信息5,360张（卡号、密码、使用记录），以及最多1,141位客户的登录ID和密码，均包含在内。公司还表示，外部第三方已在支付相关处理中植入恶意程序，该程序自11月4日19:00刚过起一直在运行。对于在支付输入画面通过电脑新输入的银行卡信息（最多556条），公司无法排除其已直接泄露给第三方；智能手机不受影响。公司于11月7日22:00停止了网上商店及相关服务，网上商店尚无恢复日期。本站的结论：如果您在11月4日19:00之后通过电脑在Edion网上商店新输入过银行卡，请核对账单，并向发卡机构咨询更换卡号。
Nitori遭未经授权访问：最多3,762万条个人信息可能外泄（姓名、地址、电话号码、出生日期），个人会员和企业会员应如何应对
2026年11月9日，Nitori Holdings Co., Ltd.宣布，已于11月6日确认第三方对其管理的系统进行了未经授权访问，服务器上保存的个人信息最多3,762万条记录可能已外泄。涉及的数据包括Nitori集团的个人会员和购买者（会员编号、姓名（含读音假名）、电子邮件地址、地址、电话号码、出生日期、性别）、企业会员（会员编号、公司名称、部门名称、代表人姓名、公司地址和电话号码，以及联系人的姓名、电子邮件地址和电话号码），以及通过Nitori Net和电商平台上的Nitori官方店铺下的订单数据。公司表示，登录密码和信用卡信息不在其中。第三方也可能在10月中下旬就已有访问，途径正在调查中，数量也可能变化。公司表示将通过电子邮件或邮寄方式陆续联系受影响的客户。截至2026年11月10日，我们未发现后续通知。本站的结论是：由于地址、电话号码和姓名都在数据之中，一个自称来自Nitori或快递公司的电话、短信或电子邮件，并不会因为知道您正确的地址或订单就是真实的。
Euglena 旗下 akyrise 网店遭未经授权访问（最多约900,000条记录）：姓名、地址和电话号码可能泄露——购买者该怎么做
2026年11月5日，Euglena Co., Ltd. 宣布，其化妆品品牌 akyrise 的网店于11月4日遭第三方未经授权访问，会员信息泄露。公司当天关闭了网店，并向日本个人信息保护委员会提交了速报。可能泄露的信息分为两组：登录账户信息（客户ID、电子邮件地址以及以哈希形式保存的登录密码），最多约490,000条记录；注册与购买信息（姓名、地址、电话号码、出生日期、性别、电子邮件地址以及购买和配送信息），最多约900,000条记录。两个数字仍在核实中，且公司没有说明二者如何重叠，因此不能相加。信用卡号不保存在公司的服务器上，不在泄露之列。同一份公告还涉及电子邮件发送服务提供商和配送公司各自发生的未经授权访问，公司称这些是各自独立的事件。截至2026年11月9日，我们没有发现后续公告。本站的结论：使用 akyrise 名义的信息、短信或电话，并不因为知道您的姓名或地址就是真的。请不要点击链接；如果您在其他地方重复使用了 akyrise 的密码，请先在那里修改。
Good Smile Company官方商店数据泄露（2,800人的完整卡信息可能泄露，402,466张卡的部分卡信息，最多202笔订单可能被查看）：各组人员应如何应对
Good Smile Company Co., Ltd.于2026年10月23日宣布其官方商店遭第三方访问，并在10月30日的第四次报告中将受影响者分为三组。B组（2,800人）在支付页面输入的持卡人姓名、卡号、有效期和安全码，可能被10月21日13:55至10月23日7:00期间留存的恶意程序截取。A组（曾经登记过卡片的所有人；402,466张卡，人数仍在确认中）仅限卡号末四位和有效期，公司认为仅凭这些信息被滥用的可能性极小。C组（5,356人）涉及未发货的订单数据（姓名、地址、电话号码、电子邮件、订单内容等），实际可能被查看的订单最多202笔。公司表示，原因并非近期公布的PHP漏洞。本站的结论：B组应联系发卡机构，咨询更换卡号。没有收到邮件但曾在该商店登记过卡片的人仍在范围内，应检查账单。请勿打开声称来自该公司的意外信息中的链接。
Revolve客户账户数据泄露：已保存的银行卡号和有效期被访问（印第安纳州总检察长列表共1,515,073人），客户应如何应对
据The Record报道，美国时尚零售商Revolve在2026年10月29日提交的美国证券文件中披露，未经授权的一方通过自动化手段访问了客户账户数据，包括姓名、联系方式以及已保存的银行卡号和有效期。早期的州记录只显示各州的人数，例如得克萨斯州127,200人。印第安纳州总检察长的数据泄露列表（2026年11月版）现显示Revolve Group, Inc：通知日期10月29日，泄露日期9月11日，印第安纳州居民10,534人，共计1,515,073人。据SecurityWeek报道，另外五个州（爱荷华、马萨诸塞、南卡罗来纳、得克萨斯、佛蒙特）的通知合计仅约197,000人。在我们读到的来源中，没有说明卡片安全码（CVV）是否涉及。本站的结论是：如果您在Revolve账户中保存了银行卡，请留意账单上不熟悉的小额扣款，向发卡机构询问是否需要换卡，并在自行核实之前，把任何引用您订单记录的消息都视为可疑。
Drupal Commerce Core CVE-2026-118539：无需身份验证的访问绕过漏洞，已被利用（请更新到 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全团队针对 Commerce Core 模块（CVE-2026-118539）发布了 SA-CONTRIB-2026-254。该模块对某些路由和实体字段的保护不足，导致访问绕过，可能对店主造成经济影响。Drupal 将其评为 Highly critical（21/25），无需身份验证，并表示该漏洞正在实际攻击中被积极利用。受影响版本为低于 8.x-2.41 的版本，以及 3.0.0 至低于 3.3.13 的版本；修复版本为 8.x-2.41 和 3.3.13。NVD 的记录显示，由 CISA 的 ADP 添加了较低的 CVSS v3.1 评分 6.5，目前仍在等待分析。截至10月31日，它尚未列入 CISA 的 KEV 目录。本站的结论是：如果您使用 Drupal Commerce 运营网上商店，请立即更新，并审计近期订单和付款中是否有不一致之处。
Adobe Commerce 和 Magento 漏洞 CVE-2026-48356：CISA 确认被利用（KEV）、7 月的修复，以及如何检查入侵痕迹
2026年10月27日，CISA 将 Adobe Commerce 和 Magento Open Source 中的文件上传漏洞 CVE-2026-48356 加入已知被利用漏洞（KEV）目录。美国联邦民事机构的修复期限为11月10日。Adobe 已于2026年7月14日在安全公告 APSB26-73 中修复了该漏洞以及另外 13 个漏洞。受影响的是 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9、Adobe Commerce B2B 和 Adobe Commerce Events。修复为各版本线的 2026-jul 安全修复（Events 为 1.21.0）。Adobe 公告中的表格将其评为 CVSS 9.6，而 Adobe 的 CVE 记录和 NVD 评为 9.3，唯一的区别在于可用性影响。Adobe 的公告（8月11日更新）仍表示 Adobe 未发现被利用的情况。10月24日，一家电子商务安全公司报告称，通过该漏洞（该公司称之为 PolyShell）及其他漏洞放置的 Web Shell 被用于向商店页面注入 JavaScript，自2025年7月以来该攻击活动已波及 953 家商店（大部分为 Magento），并且该公司在已打补丁的商店中也发现了注入的代码。截至10月28日，日本尚无公共机构发布警报，也没有日本商店披露受到影响。本站的结论是：Adobe Commerce 和 Magento 商店应在今天确认已应用 7 月的修复；即使已应用，也要检查上传文件夹、CMS 区块和管理员账户是否有入侵迹象。
PhotoGoods（Daiko Printing）支付页面被植入窃取卡片信息的程序：8月6日至9月11日期间付款的人应该怎么做
2026年9月16日，Daiko Printing Co., Ltd. 宣布其运营的 PhotoGoods（photo-goods.com）遭到未经授权的第三方访问，并称支付页面上被安装了能够非法截取所输入信用卡信息的程序。该程序从8月6日起存在，至9月11日被移除。在此期间在支付页面输入过卡信息的人（包括未完成购买的人）的卡号、有效期和安全码可能已暴露，姓名、地址、电话号码、电子邮件地址以及由会员密码衍生的信息（以转换后的形式保存）也可能已暴露。公司称，已确认未经授权的访问是通过系统漏洞和滥用文件上传功能实现的。受影响人数和实际范围仍在调查中，截至10月7日，尚无后续通知。本站的看法是：在该期间输入过卡信息的人应要求发卡机构更换卡号，更改与PhotoGoods密码相同的其他服务的密码，并忽略“致歉”或“退款”信息中的链接。