Qzoo 問卷網站資料外洩（約 40 萬筆）：包含銀行帳戶資料在內的會員資料可能外洩，會員該怎麼做

公司請在其他服務使用與 Qzoo 相同電子郵件地址與密碼組合的會員，儘速更改那些服務的密碼。公司並未說明密碼的儲存方式。

電子郵件與密碼的組合一旦被得知，就可能被拿到其他網站嘗試登入。請從電子郵件、網路銀行、網路購物與點數服務開始，並為每項服務使用不同的密碼。密碼管理工具是進行盤點的務實方法。也請為你的電子郵件帳戶啟用兩步驟驗證。

至於 Qzoo 密碼本身，公司表示將在服務恢復時請所有受訪者重新設定。

公司提醒留意冒充 Qzoo 或該公司的電子郵件、簡訊等訊息，並表示絕不會聯絡會員要求輸入密碼或其他資料。公司請會員不要開啟可疑郵件中的網址或附件。

公司表示將依序個別聯絡受影響者，因此真的訊息與假冒訊息可能同時出現。如果收到關於「確認報酬收款帳戶」「重設密碼」或「致歉」的訊息，請勿使用其中的連結，改為查看公司官方網站上的公告（見什麼是網路釣魚？）。

由於帳號、分行名稱與帳戶戶名都在範圍內，本步驟與下一步驟是本站提供的建議，並非公司公告中的要求。

帳號與戶名是為了讓別人匯款給你而提供的資料；單憑這些無法提款。提款與轉帳需要提款卡與密碼（PIN），或網路銀行的登入資料與驗證碼等。需要提防的是，有人自稱是你的銀行、該公司或警方，利用你的帳戶資料讓自己聽起來可信，並聲稱你的帳戶遭到不當使用，或需要確認你的收款帳戶。

作為一般性指引，日本全國銀行協會表示絕不會向客戶索取密碼，日本警察廳也表示警察絕不會透過電話等方式詢問密碼。絕對不要透過電話、電子郵件或簡訊告訴他人你的密碼（PIN）、登入資料或一次性密碼（僅能使用一次的驗證碼）。

請檢查你在 Qzoo 登錄之帳戶的存摺或銀行 App，確認是否有你不認得的存入、提領或扣款。如果發現，請立即使用存摺、提款卡背面或銀行官方網站上的電話號碼聯絡你的銀行。不要撥打你收到之訊息中提供的號碼。日本警察廳同樣請發現透過無現金支付服務遭未經授權提款的人，同時聯絡銀行等業者與警方。

公司的公告並未要求會員聯絡銀行。我們沒有找到任何官方指引表示，僅因帳號可能外洩就必須更換帳戶。

公司提醒留意寄到會員住處的可疑郵件與聯絡。由於地址與出生年月日都在範圍內，看似可信的假冒聯絡不只可能透過電子郵件，也可能透過明信片、信件或電話出現。

即使對方正確說出你的姓名、地址、出生年月日或登錄的銀行帳戶，也不能證明對方是真的。這些正是可能已外洩的資料。如需洽詢，請使用公告中提供的聯絡方式（Qzoo 客戶洽詢：qzoo_support@monitas.co.jp），或你在公司官方網站上確認過的聯絡方式。

一般而言，銀行資料等重要項目應與會員資料及問卷回答存放在不同的資料庫（或另行加密的區域），並只允許付款處理程序讀取。若執行網站頁面的帳戶也能讀取銀行資料，一個有缺陷的入口就會讓所有資料曝光。

SQL 注入是指輸入內容被當作 SQL 敘述本身一部分處理之漏洞的統稱（見什麼是 SQL 注入？）。一般而言，應統一使用預留位置（參數化查詢），並將舊頁面與管理功能也納入盤點範圍。

根據公司的公告，從未經授權存取開始（8:30）到發現（18:44）約經過 10 個小時。一般而言，記錄每次請求讀取的列數、錯誤的激增，以及對平常不會變更之資料表的寫入，並在超過門檻時通知人員，是縮短發現時間的務實第一步。