Matsuya 應用程式管理系統遭入侵（2,377,127 筆紀錄及應用程式會員）：姓名、電話號碼與配送地址外洩——會員應該怎麼做

外洩項目包括姓名與電話號碼，以及配送地址（Matsuben Net 等）或出生日期與電子郵件地址（應用程式會員）。有了這麼多資訊，一則訊息就可以帶著正確的姓名與正確的地址，看起來十分真實。

如果訊息稱點數即將到期、您的會員等級將被重設，或者提供道歉優惠券或補償，請不要開啟其中的連結；請自己開啟官方網站或官方社群帳號進行查證（辨識方法：什麼是網路釣魚？）。

在另一份通知中，公司表示，將在2026年11月1日之前，透過電子郵件向在2026年9月26日至10月28日期間購買了應用程式版 MATSUYA PASS 的人寄送可在售票機使用的專用 QR code。公司確實預計要寄送的電子郵件，恰恰是假冒郵件容易混入的地方。

請不要開啟此類電子郵件中的連結；請先在公司官方網站上查看公告。公司表示，絕不會透過電子郵件或電話索取密碼或信用卡資料。

對於應用程式會員，加密密碼、電子郵件地址與出生日期外洩。加密方法及其強度尚未揭露，因此如果您在其他服務中使用與 Matsuya 帳號相同的密碼，請先在那些服務中變更。

密碼管理器是盤點這些的實用方法。您可以透過如何檢查密碼是否已外洩檢查重複使用的密碼是否曾出現在過去的外洩中。Matsuya 應用程式已暫停，因此請在恢復後，依照公司的官方指引變更應用程式端的密碼。

Matsuben Net、Mobile Order 與 Matsuben Delivery 的資料包括您的配送地址與電話號碼。假冒快遞公司的簡訊（「無法送達」或「無法確認您的地址」），如果姓名與地址吻合，就可能看起來很真實，儘管它與 Matsuya 毫無關係。

電話號碼與地址很難變更，因此此類訊息可能會持續出現。開啟手機的騷擾電話與騷擾簡訊過濾功能可以減少這類訊息（智慧型手機安全基礎）。

公司為本次事件列出了個人資訊諮詢窗口（電話 0422-38-1121，平日 10:00 至 16:00，週末與國定假日休息，聽到語音提示後按 1；通知中也列有電子郵件地址）。請使用 Matsuya 官方網站上的聯絡方式，而不是您收到的訊息中所寫的聯絡方式。

此處的目標是保存應用程式與訂餐服務使用者資料的管理系統。管理介面與管理 API 的權限比面向客戶的介面更大，因此請盤點誰可以從哪裡開啟它們。

不要讓它們對網際網路上的任何人開放；請限制來源位址，並要求使用多重要素驗證（參見多重要素驗證指南）。

此處，應用程式會員以及行動訂餐與配送等訂餐服務的使用者，似乎是透過一個共用的管理系統而受到影響。當多個服務共用同一平台時，一次入侵就可能波及多個服務的使用者。

請檢查共用平台上存放著哪些資料，以及各服務可檢視的範圍是否已分隔。我們還在Yakiniku King 應用程式案例中介紹了讀取量限制與通知。

公司表示其不持有信用卡資料。同樣，請定期檢查您是否保留了訂餐並不需要的項目（出生日期、過去的地址等）。

絕不要以明文儲存密碼；請使用強力的加鹽方法儲存（密碼儲存、雜湊與鹽）。