E-store ShopServe 資料外洩（最終報告：約 2,336 萬人）：買家、店主與聯盟會員應採取的行動

據本站所知，E-store 尚未公布受影響商店的名單。您可以透過三種方式查看：

• 留意 E-store 的個別通知（公司表示個別通知已完成）
• 查看您用過的網路商店的官方網站，看是否有提到未經授權存取或 E-store 的公告
• 透過 E-store 最終報告中連結的買家諮詢表單詢問

對於無法確認聯絡方式的人，公司表示以其公告與諮詢窗口代替通知。至少有一家受影響的商店表示，其受影響的買家可追溯到2008年。多年前的購買仍可能包含在內。

外洩內容包括姓名、地址、電話號碼、電子郵件地址與工作單位，以及持卡人姓名、卡號前 6 碼與後 4 碼以及有效期限。這意味著假訊息可以說出「您尾號為 1234 的信用卡」，並且細節完全正確。

E-store 表示，絕不會透過電子郵件或簡訊要求重新輸入卡片資料、重新付款或提供密碼，並警告可能出現冒充公司或金融機構的可疑電子郵件、簡訊與電話。若收到此類訊息，不要使用其中的連結或電話號碼；請自行開啟商店或發卡公司的官方網站（參見什麼是網路釣魚？）。

據公司說法，其不保存完整卡號或安全碼，它們沒有外洩。約 2,096,900 人的部分卡片資料被包含在內。即便如此，為防止有人被假訊息騙得輸入卡片資料，請在本月以及接下來的幾個月檢查帳單。

若發現不認識的扣款，請撥打卡片背面的電話號碼。您也可以詢問發卡公司是否需要換卡。

公司表示會員密碼以加密形式儲存，判斷很難被識別，並表示外洩的資料無法把會員與其使用的商店連結起來。若您在其他服務使用相同的電子郵件地址與密碼，請變更它們。公司還建議為每項服務使用不同的密碼，並使用多重驗證。

在您用過的商店變更會員密碼也是明智的做法。密碼管理器是便於管理這些密碼的實用方法。

買家資料包含工作單位。若您的訂單曾送到辦公室，結合了您姓名與雇主的訊息可能透過工作信箱或電話送達。凡是關於配送或付款的訊息，請透過商店的官方網站確認。

商店管理後台的 ID 與密碼在外洩項目之列。請變更密碼。公司表示已作為預防措施加強了管理驗證（包括兩步驟驗證），因此請開啟您可以使用的任何此類功能。若您在其他服務使用了相同的密碼，也請一併變更。

聯盟會員的電子郵件地址與密碼同樣包含在內。請變更密碼，並在使用相同電子郵件地址與密碼的任何其他服務中也變更。若有關於獎勵或帳號確認的訊息寄到您的登錄信箱，不要開啟其中的連結；請透過官方網站確認。

公司表示，尚未收到本次事件造成的具體二次損害的通報。作為預防措施，請查看管理後台的登入歷程與最近的設定變更，看是否有您的團隊沒有做過的操作。若發現問題，請聯絡 E-store 的商店服務台（電話 03-6434-0946，平日日本時間 10:00 至 18:00）。

便利商店繳費單上您的銷售負責人姓名、商店名稱、郵遞區號、地址、電話與傳真號碼已包含在內。若針對您商店的可疑電話、傳真或電子郵件自稱來自合作夥伴或與付款有關，不要使用其中提供的聯絡方式；請透過官方管道確認（保護您自己的網域，參見SPF、DKIM 與 DMARC）。

大多數買家不知道 ShopServe 這個名字，因此僅憑 E-store 的通知，他們無從知道這與哪家商店有關。在您自己的網站上發布通知，說明受影響的期間、外洩項目（包括是否涉及卡片資料）與聯絡窗口，能讓買家判斷自己的情況。

正常的訂單處理每次操作只處理一家商店的資料。單一程序或資料庫連線在短時間內讀取許多商店的資料，在排程批次作業之外是不尋常的。

第一步：從資料庫稽核日誌中，依連線來源統計「每小時接觸的商店數」，當已知批次作業之外的任何來源超過某個上限（例如 10 家商店）時發出警報。

在本案中，資料庫內容是從伺服器傳送到外部的。處理訂單的伺服器只需要連到少數目的地，例如支付處理商與物流公司。

僅允許向您需要的目的地對外傳輸，並對發往其他任何地方的流量以及異常大的傳輸進行記錄與警報。防火牆與雲端網路設定可以做到這一點。

如果商店管理密碼等憑證可以從與買家資料相同的地方讀取，它們就會一同被帶走。以無法還原的形式儲存憑證，並把必須可還原的內容放在使用獨立金鑰的單獨儲存中。

關於儲存，參見安全儲存密碼（雜湊與鹽）；關於更全面的情況，參見組織的最低資安基線。

買家只知道自己用過的商店的名稱。營運者發布的一份涵蓋整個服務的通知，無法讓他們判斷自己是否受影響。

確保您能迅速依商店給出受影響的期間、外洩項目以及是否涉及卡片資料，並在事件應變流程中包含把這些交給每家客戶企業，以便其向自己的買家說明。