Good Smile Company 官方商店資料外洩（2,800 人的完整卡片資料可能外洩，402,466 張卡的部分卡片資料，最多 202 筆訂單可能被檢視）：各組人員應如何因應

B組的持卡人姓名、完整 16 位卡號、有效期限與安全碼可能被擷取。公司請民眾檢查帳單，並就任何不認得的消費聯絡卡片背面所載的發卡機構，同時建議考慮重新申請卡片。

本站也建議，即使尚未出現可疑消費，也向發卡機構詢問更換卡號。安全碼可能已外洩，而這組資料在卡號更換前仍可使用。重新申請需要您自行辦理。公司表示已請求發卡機構不向使用者收取重新申請的費用；截至11月3日，發卡機構尚未公布結果。

B組包括：

• 在該期間使用信用卡下單的人（384 人）
• 在該期間預購後更換了付款所用卡片的人（185 人）
• 嘗試付款但未完成的人
• 登入後將商品加入購物車但未進入付款步驟的人（公司認為這部分人沒有外洩，但仍納入通知對象）

公司表示，沒有紀錄能區分嘗試付款的人與僅使用購物車的人。公司也表示，下單後嘗試更換卡片但未完成的人可能有資料外洩，但無法辨識這些人。如果您符合這種情況，請閱讀公司官方客服公告中的說明。

A組是曾在官方商店登錄過卡片資料的所有人。外洩的只有卡號末四碼與有效期限。公司表示持卡人姓名與安全碼並未外洩，關聯的會員資料也沒有外洩，認為僅憑這些資料遭濫用的可能性極低。

人數仍在確認中，因此尚未個別寄送郵件。沒有收到郵件並不代表不在範圍內。如果您記得曾在官方商店登錄過卡片，請檢查帳單，並就任何不認得的消費聯絡發卡機構。

C組的項目是收件與帳單姓名、地址、電話號碼、電子郵件地址、訂單內容、金額與付款方式類型。不包括卡片與銀行帳戶資料。付款方式無關緊要：用 PayPal 或 Amazon Pay 付款的人，只要訂單尚未出貨，也可能在範圍內。

公司表示，7,774 筆訂單（5,356 人下單）中實際可能被檢視的最多 202 筆，但無法確定是哪些，因此寄送郵件給全部 5,356 人。從外部無法得知您的訂單是否被檢視。由於訊息可能引用您真實的地址與訂單，請遵循下一步的提醒。

公司請民眾不要回應聲稱來自該公司、公家機關或金融機構的可疑電子郵件、電話或簡訊，也不要點擊其中的連結。以下並非公司舉出的例子；依本站自己的假設，關於致歉手續、重新登錄卡片或退還重新申請費用的訊息是可能出現的。凡是要求提供卡片資料或密碼的訊息，都應視為偽造，並自行開啟官方網站確認（辨別方法：什麼是網路釣魚？）。

要確認一封郵件是否真實，請不要使用其中的連結，而應前往該公司的官方客服公告。

公司表示，其樂天市場店鋪因運作於獨立系統而不在範圍內。公司表示，尚未確認 PayPal 或 Amazon Pay 付款資料的外洩。尚未出貨的訂單資料仍可能屬於C組。洽詢請透過該公司的客服表單進行，該表單運作於獨立系統。

依公司的說法，未經授權的存取在10月23日被發現，而付款頁面上的程式在10月28日才被發現。付款頁面上的竄改是在確認客戶資料被檢視之後另行發現的。請不要將此理解為因應遲緩；請將其視為一個例子，說明資料被檢視與付款頁面被竄改可能分別發生。

在管理者權限被取得的網站上，調查哪些內容被檢視的同時，也要列出付款頁面載入的腳本清單，並與預期清單比對。如果沒有預期清單，請保存今天的清單，從明天起開始比對。

公司公布了其承包商的報告：被認為是原因的漏洞並非近期公布的 PHP 漏洞。把人人都在談論的漏洞修補後就宣稱原因已了結，會使其他入口依然敞開。在日誌顯示管理者權限是如何取得的之前，請當作仍有其他入口來持續檢查。

該公司的因應措施包括使系統間的全部憑證失效並更新。管理者權限被取得時，不僅要更換網站的管理者帳號，還要更換連接付款處理機構、資料庫與外部服務的金鑰與密碼。如果沒有一份記錄各憑證位於何處的清單，就會有遺漏。請從今天起先製作這份清單。如果您外包了開發或營運，請詢問承包商能否提供（這包括確認沒有遺留後門）。