10月19日，H2O Retailing与阪急阪神百货店宣布，约126万名H2O ID会员的相关记录中有部分遭到泄露。据ASCII.jp英文版的报道，此次事件几乎影响了该共享积分ID系统的全部会员。如果你持有H2O ID，这份H2O ID数据泄露应对清单列出了你现在应该采取的行动，即便部分细节仍不明确。
H2O ID泄露了哪些数据
H2O ID是阪急阪神百货店集团各项服务通用的登录账号。该公司表示，约126万条会员记录中有部分遭到泄露，报道标题将影响描述为几乎波及全部会员。
我们目前可获得的报道摘录并未说明哪些数据字段被暴露、泄露是如何发生的，或谁获取了这些记录。我们不会妄加猜测。会员应留意零售商的官方通知，通知应会明确说明涉及哪些字段。在此之前，合理的做法是假设你提供给该积分计划的任何个人信息，例如姓名或联系方式，都可能已被波及。
规模是关键所在。当一个共享ID连接众多门店和服务时，一次事件就可能同时触及几乎全部客户群体。
积分卡会员面临的钓鱼风险
零售会员数据泄露之后，最常见的后续问题并不是你的银行账户遭到戏剧性的黑客攻击，而是钓鱼。犯罪分子利用泄露的会员名单发送看起来像是来自零售商的消息，通常会提到积分、奖励或账户验证。
警惕以下模式：
- 声称你的H2O ID已被停用并要求你通过链接登录的电子邮件或短信。
- 关于积分即将到期或抽奖活动的消息。
- 提及此次泄露本身并表示可以“帮助”你保护账户的来电或消息。
- 通过消息或电话索要密码、一次性验证码或支付卡信息。
真正的公司不会索要你的密码或验证码。如果某条消息让你担忧，不要使用其中的链接。请打开零售商的官方应用，或自行在浏览器中输入网址。
还有凭据重用的问题。如果你在其他任何地方使用过H2O ID的密码，攻击者可能会在其他服务上尝试相同的组合。这只有在人们重复使用密码时才会奏效，这也是下一步为何重要的原因。
你的H2O ID数据泄露应对清单：如何锁定你的账户
按顺序完成以下步骤。大多数只需几分钟。
- 更改你的H2O ID密码。 选择一个从未在其他地方使用过的长且唯一的密码。密码管理器可以让这件事变得切实可行。
- 更改重复使用的密码。 找出任何其他共享旧密码的账户，从电子邮件、银行和购物账户开始，逐一更新。
- 在所有提供的地方开启双重认证（2FA），尤其是你的电子邮件账户，因为它可以重置你其余的登录信息。认证器应用通常比短信验证码更安全。
- 检查你的账户信息。 查看你的H2O ID关联了哪些个人信息和已保存的支付方式，并删除任何不需要的内容。
- 检查近期活动。 查看积分余额、订单和任何已保存的卡片，留意你无法识别的活动。
- 收藏官方网站和应用。 使用它们，而不是消息中的链接。
- 监控你的账单。 在未来几周内留意你的信用卡和银行账单是否有陌生扣款。
如果你已经点击了可疑链接或在可疑页面上输入了密码，请立即更改该密码；如果你分享了支付信息，请联系你的发卡机构。
关于处理个人数据暴露的更广泛框架，我们的五角大楼数据泄露应对步骤指南为信息遭到泄露的人士梳理了类似流程。
为什么积分计划收集的信息超出所需
积分计划通常索要的信息超出折扣所需：全名、地址、电话号码、出生日期和购买记录。这些数据有助于营销，但也形成了一个庞大的信息池，一旦泄露就会成为攻击目标和负担。
共享ID使这一点更加突出。一个可在众多门店和服务中使用的登录账号确实方便，但它集中了风险。一个弱点就可能暴露一大群多样化的客户。
日本近期还发生了其他涉及大量个人数据的事件。我们关于Reqrea酒店入住信息泄露的报道涵盖了另一起案例，即一个配置错误的存储桶暴露了身份证件，但它展示了同样的原则：组织持有的数据越少，可能被暴露的就越少。
作为客户，你可以只提供计划所要求的信息、跳过可选字段，并删除不再使用的账户，从而减少你的暴露面。
这对你意味着什么
如果你持有H2O ID，请将自己视为可能受影响的对象，并立即采取行动，而不是等待确切泄露内容的确认。实际风险是利用你的会员身份作为诱饵的钓鱼消息，以及攻击者在其他网站上测试重复使用的密码。这两者都可以通过唯一密码、2FA以及对意外消息保持健康怀疑来应对。
不要恐慌，也不要回应任何主动联系你谈论此次泄露的人。请依赖零售商的官方渠道获取最新信息。
关键要点
- 今天就检查你的H2O ID及任何其他积分账户，并删除不再使用的账户。
- 为每个账户使用唯一密码并启用2FA。
- 在通过官方渠道核实之前，将有关积分、停用或泄露本身的消息视为可疑。
- 保留这份H2O ID数据泄露应对清单，以备下次零售商披露泄露事件时使用。
关于保护暴露个人数据的更多步骤，请阅读我们的五角大楼泄露应对指南和Reqrea泄露报道。
