電子商務
該標籤下有 10 篇文章
經營電商物流（倉儲與配送）的公司遭未經授權存取，多家網路商店的配送資料可能外洩：姓名、住址、電話號碼等，買家該怎麼做
2026年11月11日，替電商商店處理物流（倉儲與配送）的一家公司宣布，外部第三方於11月8日至9日對其系統進行了未經授權存取，部分配送資料遭取得。資料涵蓋2026年4月8日至11月8日期間提出的配送請求，可能外洩的資料為收件人的姓名、住址與電話號碼、電子郵件地址（若有註冊）以及商品資訊。公司表示不保存信用卡號，因此不受影響。受影響的人數仍在調查中，截至11月11日尚未確認有濫用或二次損害。委託該公司處理物流的網路商店，已在各自的官方網站公布對其顧客的影響（本文列出我們能讀取官方通知的六家；筆數依各商店所述，不提供合計）。本站的結論：買家應假設假冒物流業者、購買商店或訂單的聯繫可能看起來很真實，對於知道您聯絡資料與購買內容的人所提出的付款要求或確認，請不要回應。
Fandango 結帳頁面信用卡資料外洩（2026年10月）：可能遭未經授權存取；卡號、CVV、有效期限、帳單郵遞區號與電子郵件可能受影響。該怎麼做
電影票務公司 Fandango Media 於2026年11月13日向加州檢察總長提交了通知。通知表示，公司察覺其售票結帳頁面出現問題，已與外部資安專家調查並解決。通知表示，調查發現有證據顯示，未經授權的一方於2026年10月8日至11日期間，可能存取了結帳頁面上特定交易所關聯的支付卡資料，且公司於10月30日判定某人的資料可能受到影響。可能受影響的資料為支付卡號、CVV、有效期限、帳單郵遞區號與電子郵件地址。通知表示，名字與姓氏、政府核發的身分證件資料、社會安全號碼與其他帳戶資料並未涉及。Fandango 表示目前未發現資料遭詐欺使用，並透過監控服務提供者，提供24個月的信用監控、暗網監控、補償復原費用的身分盜用保險（最高100萬美元，依保單條款）與專人協助的身分盜用復原；範本表示須於2027年2月13日前啟用。受影響的人數並未說明，我們也未發現公司另行發布的公告。本站看法：若您在上述日期前後於 Fandango 結帳頁面購買了票券，請檢查您的信用卡對帳單，向發卡機構通報不認得的扣款，並詢問發卡機構是否要換卡。
Edion線上商店遭未經授權存取（訂單資訊最多9,554位客戶等）：銀行卡資訊、禮品卡密碼和登入憑據可能外洩，使用者應如何應對
2026年11月6日，Edion Corporation宣布，其線上商店所在伺服器遭未經授權存取，部分客戶的個人資訊可能外洩；11月9日的第二次報告對該通知作了更正和補充。第一次報告列出的是記錄在日誌檔案中的最多4,131位客戶的資訊（姓名、電子郵件地址、電話號碼、出生日期、地址、客戶編號等），以及最多9,554位客戶的訂單資訊（姓名、訂單編號、訂單金額、信用卡有效期、禮品卡編號等），並稱信用卡號和登入密碼不在其中。第二次報告對此作了更正：下單時錯誤日誌中記錄的信用卡資訊（卡號、有效期、持卡人姓名、安全碼）最多5例，Edion禮品卡資訊5,360張（卡號、密碼、使用記錄），以及最多1,141位客戶的登入ID和密碼，均包含在內。公司還表示，外部第三方已在支付相關處理中植入惡意程式，該程式自11月4日19:00剛過起一直在執行。對於在支付輸入畫面透過電腦新輸入的銀行卡資訊（最多556 筆），公司無法排除其已直接外洩給第三方；智慧手機不受影響。公司於11月7日22:00停止了線上商店及相關服務，線上商店尚無恢復日期。本站的結論：如果您在11月4日19:00之後透過電腦在Edion線上商店新輸入過銀行卡，請核對帳單，並向發卡機構諮詢更換卡號。
Nitori 遭未經授權存取：最多 3,762 萬筆個人資料可能外洩（姓名、地址、電話號碼、出生日期），個人會員與企業會員該怎麼做
2026 年 11 月 9 日，Nitori Holdings Co., Ltd. 公布，已於 11 月 6 日確認第三方對其管理的系統進行未經授權存取，伺服器上保存的個人資料最多 3,762 萬筆紀錄可能已外洩。涉及的資料包括 Nitori 集團的個人會員與購買者（會員編號、姓名（含讀音假名）、電子郵件地址、地址、電話號碼、出生日期、性別）、企業會員（會員編號、公司名稱、部門名稱、代表人姓名、公司地址與電話號碼，以及聯絡人的姓名、電子郵件地址與電話號碼），以及透過 Nitori Net 與電商平台上的 Nitori 官方商店下的訂單資料。公司表示，登入密碼與信用卡資訊不在其中。第三方也可能在 10 月中下旬就已有存取，途徑調查中，數量也可能變動。公司表示將以電子郵件或郵寄方式陸續聯絡受影響的客戶。截至 2026 年 11 月 10 日，我們未發現後續通知。本站的結論是：由於地址、電話號碼與姓名都在資料之中，一通自稱來自 Nitori 或物流業者的電話、簡訊或電子郵件，並不會因為知道你正確的地址或訂單就是真的。
Euglena 旗下 akyrise 網店遭未經授權存取（最多約900,000條記錄）：姓名、地址和電話號碼可能外洩——購買者該怎麼做
2026年11月5日，Euglena Co., Ltd. 宣佈，其化妝品品牌 akyrise 的網店於11月4日遭第三方未經授權存取，會員資訊外洩。公司當天關閉了網店，並向日本個人資訊保護委員會提交了速報。可能外洩的資訊分為兩組：登入帳戶資訊（客戶ID、電子郵件地址以及以雜湊形式儲存的登入密碼），最多約490,000條記錄；註冊與購買資訊（姓名、地址、電話號碼、出生日期、性別、電子郵件地址以及購買和配送資訊），最多約900,000條記錄。兩個數字仍在核實中，且公司沒有說明二者如何重疊，因此不能相加。信用卡號不儲存在公司的伺服器上，不在外洩之列。同一份公告還涉及電子郵件傳送服務提供商和配送公司各自發生的未經授權存取，公司稱這些是各自獨立的事件。截至2026年11月9日，我們沒有發現後續公告。本站的結論：使用 akyrise 名義的資訊、簡訊或電話，並不因為知道您的姓名或地址就是真的。請不要點選連結；如果您在其他地方重複使用了 akyrise 的密碼，請先在那裡修改。
Good Smile Company 官方商店資料外洩（2,800 人的完整卡片資料可能外洩，402,466 張卡的部分卡片資料，最多 202 筆訂單可能被檢視）：各組人員應如何因應
Good Smile Company Co., Ltd. 於2026年10月23日宣布其官方商店遭第三方存取，並在10月30日的第四次報告中將受影響者分為三組。B組（2,800 人）在付款頁面輸入的持卡人姓名、卡號、有效期限與安全碼，可能被10月21日13:55至10月23日7:00期間留存的惡意程式擷取。A組（曾經登錄過卡片的所有人；402,466 張卡，人數仍在確認中）僅限卡號末四碼與有效期限，公司認為僅憑這些資料遭濫用的可能性極低。C組（5,356 人）涉及尚未出貨的訂單資料（姓名、地址、電話號碼、電子郵件、訂單內容等），實際可能被檢視的訂單最多 202 筆。公司表示，原因並非近期公布的 PHP 漏洞。本站的結論：B組應聯絡發卡機構，詢問更換卡號。沒有收到郵件但曾在該商店登錄過卡片的人仍在範圍內，應檢查帳單。請勿開啟聲稱來自該公司的不明訊息中的連結。
Revolve 客戶帳號資料外洩：已儲存的信用卡號和有效期被存取（印第安納州檢察總長列表共 1,515,073人），客戶應如何因應
據 The Record 報導，美國時尚零售商 Revolve 在2026年10月29日提交的美國證券文件中揭露，未經授權的一方以自動化方式存取了客戶帳號資料，包括姓名、聯絡方式以及已儲存的信用卡號與有效期限。早期的州記錄只顯示各州的人數，例如德州 127,200 人。印第安納州檢察總長的資料外洩列表（2026年11月版）現顯示 Revolve Group, Inc：通知日期10月29日，外洩日期9月11日，印第安納州居民 10,534 人，共計 1,515,073 人。據 SecurityWeek 報導，另外五個州（愛荷華、麻薩諸塞、南卡羅來納、德州、佛蒙特）的通知合計僅約 197,000 人。在我們讀到的來源中，沒有說明卡片安全碼（CVV）是否涉及。本站的結論是：若您在 Revolve 帳號中儲存了信用卡，請留意帳單上不熟悉的小額扣款，向發卡機構詢問是否需要換卡，並在自行查證之前，把任何引用您訂單紀錄的訊息都視為可疑。
Drupal Commerce Core CVE-2026-118539：無需身分驗證的存取繞過漏洞，已遭利用（請更新至 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全團隊針對 Commerce Core 模組（CVE-2026-118539）發布了 SA-CONTRIB-2026-254。該模組對某些路由與實體欄位的保護不足，導致存取繞過，可能對店主造成財務影響。Drupal 將其評為 Highly critical（21/25），無需身分驗證，並表示該漏洞正在實際攻擊中被積極利用。受影響版本為低於 8.x-2.41 的版本，以及 3.0.0 至低於 3.3.13 的版本；修補版本為 8.x-2.41 與 3.3.13。NVD 的紀錄顯示，由 CISA 的 ADP 加入了較低的 CVSS v3.1 分數 6.5，目前仍在等待分析。截至10月31日，它尚未列入 CISA 的 KEV 目錄。本站的結論是：如果您使用 Drupal Commerce 經營線上商店，請立即更新，並稽核近期訂單與付款中是否有不一致之處。
Adobe Commerce 與 Magento 漏洞 CVE-2026-48356：CISA 確認遭利用（KEV）、7 月的修補，以及如何檢查入侵痕跡
2026年10月27日，CISA 將 Adobe Commerce 與 Magento Open Source 中的檔案上傳漏洞 CVE-2026-48356 加入已知遭利用漏洞（KEV）目錄。美國聯邦民事機構的修補期限為11月10日。Adobe 已於2026年7月14日在安全公告 APSB26-73 中修補了此漏洞以及另外 13 個漏洞。受影響的是 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9、Adobe Commerce B2B 與 Adobe Commerce Events。修補為各版本線的 2026-jul 安全修補（Events 為 1.21.0）。Adobe 公告中的表格將其評為 CVSS 9.6，而 Adobe 的 CVE 紀錄與 NVD 評為 9.3，唯一差異在於可用性影響。Adobe 的公告（8月11日更新）仍表示 Adobe 未察覺遭利用的情況。10月24日，一家電子商務資安公司報告指出，透過此漏洞（該公司稱之為 PolyShell）及其他漏洞放置的 Web Shell 被用來向商店頁面注入 JavaScript，自2025年7月以來此攻擊活動已波及 953 家商店（大多為 Magento），且該公司在已修補的商店中也發現了注入的程式碼。截至10月28日，日本尚無公家機關發布警訊，也沒有日本商店公布受到影響。本站的結論是：Adobe Commerce 與 Magento 商店應在今天確認已套用 7 月的修補；即使已套用，也要檢查上傳資料夾、CMS 區塊與管理員帳號是否有入侵跡象。
PhotoGoods（大光印刷）付款頁面遭植入竊卡程式：2026年8月6日至9月11日期間付款者應如何處理
2026年9月16日，大光印刷股份有限公司宣布其經營的服務 PhotoGoods（photo-goods.com）遭未經授權的第三方存取，並表示付款頁面上已被安裝可非法擷取信用卡資料的程式。該程式自8月6日起運作，至9月11日移除。在此期間於付款頁面輸入卡片資料的人（包括未完成購買者），其卡號、有效期限與安全碼可能外洩，連同姓名、地址、電話號碼、電子郵件地址，以及由會員密碼衍生的資訊（以轉換後的形式保存）。公司表示已確認未經授權的存取是透過系統漏洞及濫用檔案上傳功能所致。受影響人數與實際範圍仍在調查中，截至10月7日尚無後續通知。本站的看法：在此期間輸入過卡片的人，應請發卡機構更換卡號，並更改與 PhotoGoods 共用同一密碼的其他服務密碼，同時不要點擊「致歉」或「退款」訊息中的連結。