NIFTY 線路申請系統遭入侵（最多 542,513 筆紀錄）：會員編號、姓名、地址與電話號碼可能外洩——光纖用戶應該怎麼做

根據公告，範圍涵蓋 2019 年以來申請線路的客戶（不含公司網站），適用 @nifty Hikari、@nifty MAX Hikari 與 @nifty au Hikari Plus。

透過公司網站的申請似乎不在範圍內，但公告並未詳細說明哪些申請管道包含在內。公告也未說明是否會逐一通知受影響的客戶。如果您不確定是否受影響，請透過下方的聯絡方式查詢。

可能外洩的項目包括姓名、地址、電話號碼與電子郵件地址。這些資訊組合在一起，就能製作出姓名與地址都正確、看似可信的電子郵件與簡訊。

公司請客戶留意自稱公司或相關人員的可疑電子郵件、來電與簡訊，並不要開啟其中的網址，也不要輸入個人資料。即使訊息內容是「致歉」、「線路合約確認」或「退款」（本站舉例），也不要點擊其中的連結；請從書籤或搜尋自行開啟官方網站查證（如何辨識：什麼是網路釣魚）。

公司表示，就本次事件，公司不會以電子郵件、電話或類似方式個別聯絡客戶，要求提供 PIN、密碼、信用卡資料等。即使聯絡者自稱是公司，凡是要求提供這些資料的聯絡都應視為詐騙。

可能外洩的項目也包括會員編號、出生日期與地址。知道您會員編號或出生日期的來電者，並未證明任何事情。請不要回答；掛斷電話，並撥打您自行查找的號碼回電。對於上門拜訪的人或寄來的信件，也請採取同樣的做法。

與電子郵件地址或電話號碼不同，出生日期無法更改。這次它與姓名、地址一起列在可能外洩的項目中。

如果您將出生日期（例如「0815」）用作銀行或信用卡的 PIN，或手機螢幕鎖定密碼，請立即更換。這是本站提供的一般建議，並非公司的指引。

密碼不在可能受影響的項目之中，公告也未提及。公司也未要求客戶變更密碼。

不過，未被提及並不能證明密碼是安全的。如果您在 @nifty 與其他服務上使用相同的密碼，現在是改成不同密碼的好時機。密碼管理器是實用的管理方式。

公告列出的 @nifty 專用線路為 0120-924-719，日本境內免費，每天 10:00 至 18:00。請在您自行開啟的公司公告頁面上查看號碼，不要使用您收到的聯絡中的號碼。

如果您在可疑聯絡後已提供或輸入個人資料，請先向此專線諮詢。如果您已付款或提供銀行或卡片資料，也請聯絡您的銀行或信用卡公司，以及日本的警察諮詢專線（#9110）。

一般而言，弱點測試與監控往往從客戶使用的網站開始。然而，用於管理與處理申請的內部工具，常常在單一位置保存與面向客戶的表單一樣多，甚至更多的個人資料。

無論面向客戶或內部，請將所有保存客戶個人資料的系統列在同一份清單上，並為每個系統記錄可從何處連線、哪些帳號使用，以及活動紀錄保存在哪裡。不要依面向客戶與內部來切分檢查範圍；對清單上的所有系統套用相同的檢查。

本次事件涵蓋 2019 年以來的申請人。一般而言，已完成申請的紀錄在日常處理中很少需要。

決定處理畫面可以查看多久以前的紀錄，並將較舊的紀錄移至獨立儲存空間或減少其項目。如此一來，若管理工具遭入侵，受影響的人數與項目範圍會較小。依法律或契約必須保存的紀錄，應與工作畫面分開保存。

公司在公告中明確表示，就本次事件不會索取 PIN、密碼、信用卡資料等。這是客戶可以立即用來辨識假冒聯絡的資訊。

在事件發生前，請決定貴組織絕不會以電話或電子郵件索取哪些資料，以及用於重要通知的寄件者為何，並公布在官方網站上。如此一來，事件發生當天就能發出相同的指引。關於寄件者偽冒的防護，請參閱SPF、DKIM 與 DMARC 防範偽冒電子郵件。