Daiichikosho 承包商電腦感染惡意程式（約 872 萬筆資料）：Big Echo 等會員的姓名、生日與電話可能外洩，該怎麼辦

根據公司說明，這些資料涵蓋以會員身分登記或在其門市預約的顧客。各品牌分布如下。所有數字均為約略值，總數已扣除重複資料（約 515,000 筆）。

• Big Echo 相關：約 5,558,000 筆
• DK Dining 相關：約 3,462,000 筆
• 卡拉OK CLUB DAM 相關：約 74,000 筆
• Mega Big 相關：約 43,000 筆
• Banana Club 相關：約 5,000 筆
• B-GARAGE 相關：約 4,000 筆

此外，約 93,000 筆員工紀錄也包含在內。公告未說明這是否只涵蓋現職員工，或也包括前員工。

截至 10 月 10 日，公告並未說明是否會逐一通知當事人，或如何確認自己是否在名單中。若你曾在上述任一品牌登記或預約，請假設自己在名單內，並依照以下步驟處理。

公司警告，若資料確實外洩，可能被用於偽造電子郵件與網路釣魚。公司請民眾留意可疑的電子郵件、簡訊與來電，不要開啟不熟悉的連結或附件。

卡拉OK與餐飲會員計畫經常寄送優惠券、會員等級通知與點數提醒。因此，偽造的「領取優惠券」、「更新會員資料」或「點數即將到期」訊息，很難與真實通知區分。請不要點開連結；請確認同一則通知是否出現在官方 App，或你自行加入書籤的官方網站上（如何辨識假訊息：什麼是網路釣魚？）。

公司表示，絕不會索取密碼或信用卡資料。若訊息以致歉、補償或額外點數為由要求提供這些資料，請不要回覆。如果你已經輸入，請更改該服務的密碼；若輸入了信用卡資料，請致電發卡銀行。

以下為本站的建議。與密碼不同，出生日期日後無法更改。由於生日可能已外洩，如果你把出生日期的 4 或 6 位數字當成銀行卡或手機的 PIN 碼，或當成密碼的一部分，請更改。

由於姓名與電子郵件地址也可能已被知悉，「姓名加生日」的密碼很容易被嘗試。更換密碼時，使用密碼管理工具是較實際的做法，可以設定又長又與個人資訊無關的密碼。

當來電者唸出你的姓名與出生日期，「確認你的身分」時，聽起來可能很像官方來電。姓名、出生日期與電話都在這次可能外洩的項目之中，因此此類來電更容易被假冒。如果有人打給你，不要當場回答對方的問題；請掛斷，並撥打公司官方網站上列出的電話回撥。

公司的諮詢專線為免付費 0120-732-079（日本時間 10:00–17:00，週末與假日除外，限日本境內撥打），並可寫信至 incident-desk@dkkaraoke.co.jp（依 10 月 9 日公告）。公司表示，若電話占線，可以改用電子郵件。請在公司官方網站上確認電話與信箱，不要從你收到的電子郵件或簡訊中取得。

委外進行統計、郵寄或分析時，若匯出整個會員資料庫，委外任務用不到的欄位與品牌也會進入委外廠商的電腦。每項任務在交付前，應先決定真正需要哪些欄位。

例如：製作年齡層報告時，使用年齡區間而非完整出生日期；不需聯絡的工作，不提供電子郵件或電話；以會員編號取代姓名。若工作依品牌分開進行，檔案也應分開。作為第一步，可以挑選一個定期寄給委外廠商的檔案，與廠商逐欄檢視，確認任務是否真的需要每一欄。

資料一旦儲存在委外廠商員工的電腦上，該電腦的惡意程式防護與更新狀態，就成了你的顧客的保護，而你無法看到這些狀態。若可行，請讓委外廠商在你管理的環境中作業（例如只串流畫面的虛擬桌面，或封鎖下載的共用工作區），讓檔案不留在其電腦上。

對於確實需要在本機保存副本的工作，應要求加密、任務結束後刪除，並訂定期限，要求其向你確認已刪除。

依日本《個人資訊保護法》，委託處理個人資料的企業，應對委外廠商進行必要且適當的監督（第 25 條）。為使監督具體可行，請在契約或備忘錄中載明以下事項：

• 處理顧客資料的設備要求：可偵測並記錄惡意程式活動的工具（例如 EDR）、作業系統與軟體更新、磁碟加密，且不得在個人設備上處理
• 顧客資料可儲存的位置，以及工作結束後的刪除期限
• 發現感染或入侵時的處置：不等待範圍調查結果即須提出的首次通報期限（例如 24 小時內），並與調查報告的期限分開訂定

每年透過委外廠商的設備管理書面報告，或其自我評估結果，確認其符合上述要求。