MrMax app 與網路商店遭入侵（最多約 174 萬人）：姓名、電子郵件與電話號碼外洩，會員應該怎麼做

外洩資料包含會員編號、姓名、電子郵件地址與電話號碼。詐騙者掌握這些資料後，就能寄出附上你正確姓名與會員編號的訊息。

如果你收到關於「道歉優惠券」、「紅利點數」、「重新登錄會員資料」或「退款程序」的訊息，請不要點開連結；請自行開啟 app 或官方網站確認。假簡訊（smishing）也應以同樣方式處理（參見 什麼是網路釣魚？）。

公司表示，絕對不會索取你的密碼或信用卡號碼。公司也表示，已確認密碼與信用卡資料未外洩。

知道你的姓名與會員編號的來電者，並不因此就被證實為真。這些正是外洩的資料。如果有人以道歉或退款之名索取卡號或密碼，請視為詐騙。

公司表示，將從 noreply@mrmax.jp 寄出電子郵件，逐一通知受影響的會員。這與其網站的網域（mrmax.co.jp）不同，但這是公司本身公布的寄件地址。

不過，寄件地址可以偽造。即使寄件人看起來正確，最簡單的原則仍是絕不透過郵件中的連結登入或輸入任何資料。

公司表示密碼未外洩，因此依據通知，無需立即更改你的密碼。

不過，如果你在其他服務上使用與 MrMax 帳號相同的密碼，請現在就將它們分開。密碼管理工具是盤點密碼的實際方法。你可以透過如何確認你的密碼是否外洩，查看重複使用的密碼是否曾出現在過去的外洩事件中。

電子郵件地址可以重新申請，但電話號碼不容易更換。外洩的電話號碼可能會長期收到詐騙來電與簡訊，包括與 MrMax 無關的內容。

開啟手機的垃圾來電與垃圾簡訊過濾功能，可以減少漏網的訊息（背景知識：智慧型手機資安基本觀念）。公司也請會員留意可疑的郵寄信件，儘管公司表示地址未外洩。

公司提供了此事件的諮詢電子郵件地址（incident-desk@mrmax.co.jp）。請使用 MrMax 官方網站通知中的聯絡方式，不要使用你收到的訊息中所附的聯絡資訊。

一個 app 或網路商店由多個軟體組成：電子商務套件、管理後台、外掛與外部函式庫。首先列出你使用哪些軟體與哪個版本。osv-scanner 等免費工具可以定期檢查相依套件是否有已知漏洞。

除了版本之外，也請列出在伺服器上運行的功能：檔案上傳、大量匯入與匯出、管理 API、除錯輸出等。

預設開啟但從未使用的功能，最安全的做法是關閉。如果必須保留管理功能，不要讓網際網路上的任何人都能存取；限制可連線的來源，並要求多因素驗證。

各框架的常見高風險預設值整理於 依框架的資安設定。

公司表示，它在週六晚間注意到可疑存取，立即暫停服務，並於當日阻斷外部存取。若要在假日也能做到相同的反應，請事先決定由誰接收警示，以及由誰決定停止服務。

作為第一步，可每小時記錄從會員資料庫讀取的資料列數量與管理功能的使用情況，當數字與平常明顯不同時，通知值班人員（背景知識：速率限制與濫用控管）。