適用對象：瑞士線上交易平台 Ricardo 的使用者（買家、賣家與企業使用者）。本文根據 Ricardo 母公司 SMG Swiss Marketplace Group 的官方公告撰寫，不涵蓋攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
- 適用對象
瑞士線上交易平台 Ricardo 的使用者（買家、賣家與企業使用者）。
- 已確認的影響範圍查看表格 ↓
- 姓名、郵寄地址、電話號碼
- 公司名稱（企業使用者）
- 規模
另外3項
- 發現日期
- 漏洞修復
- 向主管機關通報
- 尚未確認的事項
- 漏洞的性質
- 未經授權存取的期間
- 遭暴露的資料是否已被公開或遭濫用
另外1項
- 未收到通知的使用者如何確認
- 現在要做的事查看步驟 ↓
- 不要回應索取信用卡資料或銀行、TWINT 登入資訊的聯絡
- 不要開啟連結，透過應用程式或書籤進入 Ricardo
- 處理意外信件時，不要使用信中的聯絡方式
另外2項
- 透過應用程式確認 Ricardo 的直接通知
- 公告沒有要求變更密碼
- 查證來源（出處）全部來源 ↓
- SMG Swiss Marketplace Group，「Ricardo fixes security vulnerability affecting user data」（2026年10月9日，英文；另有德文與法文版）— swissmarketplace.group
- 最後查證
- 截至2026年10月31日
續報計畫與查證紀錄
10月9日的公告沒有提到後續發布的計畫。截至10月31日，SMG 的新聞稿列表中沒有關於此事的後續消息。
Ricardo 使用者今天應該做什麼
不要回應索取信用卡資料或銀行、TWINT 登入資訊的聯絡
姓名與電話號碼同時被掌握時，自稱 Ricardo 客服或交易對方的電話與簡訊可能聽起來很真實。SMG 的一位女發言人在接受 SRF 採訪時提醒，要特別留意索取信用卡資料或銀行、TWINT（瑞士的行動支付應用程式）登入資訊等敏感資料的意外信件、電話、簡訊或 WhatsApp 訊息。
不要回應索取這些資訊的人，直接掛斷電話。對方知道您的姓名或地址，並不能證明對方的身分。
不要開啟連結，透過應用程式或書籤進入 Ricardo
不要開啟冒充交易通知或「收款」請求的訊息中的連結。需要確認時，請自己開啟 Ricardo 應用程式，或透過書籤進入網站（辨識方法：什麼是網路釣魚？）。
處理意外信件時，不要使用信中的聯絡方式
郵寄地址也遭暴露了。如果收到您不認得的帳單或通知，不要使用其中的 URL、QR 碼或電話號碼，請透過自己查到的官方管道確認。這是一般性提醒，公司並未表示有人正在寄送這類信件。
透過應用程式確認 Ricardo 的直接通知
公司表示，正直接向受影響的使用者說明事件內容、影響以及可以採取的預防措施。如果不確定收到的通知是否真實，請在透過應用程式或書籤開啟的 Ricardo 頁面上確認，而不是透過通知中的連結。
公告沒有要求變更密碼
公司表示，電子郵件地址與密碼未受影響。如果您在其他服務上重複使用同一組密碼，一般而言檢查一下是好習慣，但這不是此次事件要求的步驟（參考：密碼管理器的運作方式與選擇方法）。
發生了什麼（依據 SMG Swiss Marketplace Group 的公告）
以下內容根據 SMG Swiss Marketplace Group 於2026年10月9日發布的公告（英文、德文與法文）。
2026年10月7日
Ricardo 在其伺服器上發現可疑活動，並立即啟動保護系統的技術措施。10月9日
SMG 宣布與訂單相關聯的個人資料遭到未經授權的存取，漏洞已修復。公司表示約89萬個帳戶的個人資料遭暴露，並已向 FDPIC 通報。截至10月31日
SMG 的新聞稿列表中沒有關於此事的後續消息。
遭暴露（約89萬個帳戶）
姓名、郵寄地址、電話號碼。企業使用者另包括公司名稱
未受影響（公司）
電子郵件地址與密碼。付款資料未提及
遭暴露的是電話與郵寄地址，因此要特別留意電話、簡訊、通訊應用程式與信件。一般而言，詐騙郵件也仍有可能出現。
- 發生了什麼
- Ricardo 平台上與訂單相關聯的個人資料遭到未經授權的存取
- 遭暴露的資料
- 姓名、郵寄地址與電話號碼；企業使用者另包括公司名稱。公司表示遭暴露的資料僅限於這些
- 未受影響（公司）
- 電子郵件地址與密碼
- 規模
- 約89萬個使用者帳戶
- 原因
- 導致此次存取的安全漏洞；公司表示已完全修復。其性質未公開
- 對使用者的通知
- 直接向受影響的使用者說明事件內容、影響以及可以採取的預防措施
- 通報
- 已向 FDPIC 通報。預定向警方提出刑事告訴，並向國家網路安全中心（NCSC）通報
已知與未知的內容
截至2026年10月31日的狀態。有後續消息時，將更新狀態欄。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 姓名、郵寄地址、電話號碼 | 約89萬個帳戶的資料遭暴露 | 已確認外洩（公司） |
| 公司名稱（企業使用者） | 遭暴露 | 已確認外洩（公司） |
| 電子郵件地址 | 未受影響 | 未包含（公司） |
| 密碼 | 未受影響 | 未包含（公司） |
| 付款資料（信用卡、銀行帳戶） | 公告未提及 | 未說明 |
| 規模 | 約89萬個使用者帳戶（不是人數） | 已確認（公司） |
| 發現日期 | 2026年10月7日 | 已確認（公司） |
| 漏洞修復 | 已完全修復 | 已確認（公司） |
| 漏洞的性質、存取的期間 | 未說明 | 調查中 |
| 資料的公開或濫用 | 公告未提及。據 SRF 報導，SMG 的一位女發言人對通訊社 AWP 表示，這些資料在任何時候都不曾處於可自由存取的狀態，至今也沒有發生勒索或索取贖金 | 未說明 |
| 向主管機關通報 | 已向 FDPIC 通報；預定向警方與 NCSC 通報 | 已確認（公司） |
如何解讀：「未說明」不等於「沒有發生」
付款資料與資料濫用只是在公告中沒有提及。地址與電話號碼已經遭暴露，因此請假定它們日後可能被用於詐騙聯絡，並據此採取行動。
姓名、地址與電話號碼可能被用來做什麼
一般而言，以下組合可能被這樣濫用。這並不表示此次已經發生。
- 姓名＋電話號碼：冒充 Ricardo 客服或交易對方打電話或傳簡訊，以「收款」或「驗證帳戶」為藉口騙取信用卡資料或登入資訊
- 姓名＋郵寄地址：冒充帳單或退款通知的信件，引導至虛假網站或電話號碼
- 公司名稱＋電話號碼（企業使用者）：冒充交易夥伴或其員工打電話，提出變更收款資訊等
過去的例子：在聯絡方式與合約編號外洩的 ENGIE 客戶資料外洩中，主要提醒是留意冒充該公司的電話。此次未必會以同樣的方式發展。
營運者需要檢查的事項：與訂單相關聯的聯絡方式要保存多久
作為原因的漏洞尚未公開。本節不評價 Ricardo 的因應，而是根據遭暴露的項目所做的一般性檢查。
- 決定與訂單相關聯的地址與電話號碼保存到什麼時候。 根據公告，遭暴露的是與訂單相關聯的個人資料。事先決定在配送與聯絡結束後何時刪除訂單的地址與電話號碼，或減少顯示的內容，可以減少發生入侵時遭暴露的數量。
- 告訴使用者您絕不會索取什麼。 在寄送直接通知的同時，附上寫明「我們不會透過電話或訊息索取信用卡資料或登入資訊」的提醒，有助於使用者辨識虛假聯絡。
來源（公開紀錄）
本文中的事實根據以下公開資訊。對於未公開的入侵途徑與手法，本文不做推測。
- SMG Swiss Marketplace Group，「Ricardo fixes security vulnerability affecting user data」（2026年10月9日，英文；另有德文與法文版）— swissmarketplace.group
- 同上，新聞稿（PDF，2026年10月9日）— swissmarketplace.group
- SRF，「«Keine Erpressung» – Ricardo meldet Datenleck bei 890'000 Konten」（2026年10月9日，德文）。SMG 女發言人的提醒以及沒有勒索或索取贖金這一說法的來源 — srf.ch
更新紀錄
2026-10-31：首次發布，依據 SMG Swiss Marketplace Group 10月9日的公告與 SRF 的報導。截至10月31日，該公司的新聞稿列表中沒有關於此事的後續消息。有後續消息時，本文將予以更新。
延伸閱讀
- 同類事件：ENGIE 客戶資料外洩
- 辨識後續詐騙：什麼是網路釣魚？
- 2026年其他事件：2026年資料外洩與網路攻擊