NewsPicks 資料外洩（持卡人姓名與卡號末幾碼，最多 362,000 筆）：內部管理工具遭入侵的經過與使用者應採取的行動

可能外洩的項目包括持卡人姓名及卡號末 3 或 4 碼。發卡機構與服務發出的正常通知，通常會顯示卡號末 4 碼，方便你辨識卡片。因此，帶有正確末幾碼的假訊息很難與真實訊息區分。

如果你收到類似「請確認末四碼為 XXXX 的卡片」或「您的付款有問題」的訊息，請不要開啟連結。請使用卡片背面的號碼向發卡機構確認卡片相關事項，並透過官方 App 處理 NewsPicks 相關事項（如何辨識詐騙：什麼是網路釣魚？）。

該公司表示，已從 10 月 9 日起依序從 NewsPicks 客服信箱（no-reply@newspicks.com）寄信給受影響的使用者。然而，郵件上顯示的寄件人可以偽造，模仿通知的假信件是可能的。因此，可靠的確認方式是自行開啟的官方網站上的公告。

該公司表示，絕不會透過電子郵件、簡訊、電話或郵寄要求提供密碼或信用卡號。如果有人向你索取這些資料，你此時即可將該訊息視為假的。

根據該公司說法，完整卡號由付款處理業者管理，未儲存於其系統中，且不儲存安全碼。因此，單靠外洩的資料，應不足以盜用你的卡片。

即便如此，如果假訊息引導你輸入完整卡號，仍可能導致詐欺。如果帳單上出現你不認識的扣款，即使金額很小，也請聯絡發卡機構。是否補發卡片，請與發卡機構共同決定。

可能外洩的項目還包括所屬單位（如任職公司）、所屬機構的電話號碼及職級類別。除了你的個人信箱，打到或寄到你工作場所、自稱為 NewsPicks 或業務往來對象的電話或電子郵件也有可能出現。

如果有人要求你確認一筆意料之外的帳款或「合約內容」，請不要當場回覆，而是改撥你自行查詢的官方電話號碼回電。負責為所屬機構管理 NewsPicks Enterprise 或 NewsPicks Education 的人員，應將此提醒分享給該機構的使用者。

該公司表示，尚未確認有密碼外洩，也未要求使用者變更密碼。如果你有疑慮，或你在其他地方使用相同密碼，可以在官方 App 的「設定與隱私」中的帳號設定變更密碼——不要透過電子郵件中的連結（步驟請見公司說明中心的變更密碼頁面，為日文）。

密碼管理工具是避免重複使用密碼的實用方法。若要查看你的密碼是否出現在其他外洩事件中，請參閱如何檢查密碼是否外洩。

公司通知中的聯絡管道為電子郵件信箱（info@newspicks.com）及 NewsPicks 說明中心的諮詢表單。聯絡時，你完全不需要提供信用卡號或密碼。

僅供內部人員使用的管理與分析工具，往往比主要服務更不受重視，而且可能無人負責更新。請先列出你使用的管理工具，並針對每一項記錄由誰負責更新，以及弱點通知會寄到哪裡（資安盤點清單、CVE 修補手冊）。

管理工具應只供員工使用。可透過內部網路、VPN 或來源位址限制，使登入頁面本身無法從外部連線。接著，透過公司的單一登入（SSO：以一組帳號登入多個工具）與多因素驗證進行登入。

部分漏洞位於登入之前的處理流程中，密碼與多因素驗證在此無法防護。在這種情況下，讓工具無法從外部連線仍是有效的措施（防禦 VPN 設備漏洞）。

一般而言，管理工具可能外洩的範圍，取決於你授予它的資料存取權限。該公司也表示，已將管理工具的資料存取權限縮減至工作所需的最低限度。

在你自己的環境中，請記錄每個管理工具的連線使用者或存取金鑰可以讀取哪些資料，並封鎖工作不需要的欄位（如持卡人姓名、卡號末幾碼、出生日期等）。僅揭露資料表部分內容的檢視表（view）做法，請參閱Metabase 漏洞利用事件文章；誰可以執行何種操作的概念，則見驗證與授權的差異。

該公司重新核發了管理工具可存取資料的存取金鑰。當管理工具遭入侵時，其持有的金鑰應視為已外洩並予以更換。請記錄哪些金鑰交給哪些工具，並事先決定重新核發的程序與負責人，以確保事發當天能快速回應。