2026年9月，日本出现了异常多的公开数据泄露公告。一位以“卷心菜”（キャベツ）为笔名发表文章的日本科技作者指出，Seicomart（一家便利店连锁企业）以及佐川急便和大和运输——许多人每周都会使用的公司——相继披露了数据泄露事件。该作者的结论很直白：持有大量客户数据的组织无法完全防止泄露，因此个人需要为事件的两方面都做好准备。
我们可获取的源文本较为简短，因此本文不会详述每家公司具体被窃取了哪些数据。相反，本文以这波披露事件为契机，说明在数据泄露新闻到来之后该怎么做，以及事先可以做些什么来减轻其影响。
为什么日常企业的数据泄露如今不可避免
零售商和快递公司不像银行那样是显而易见的安全攻击目标，但它们持有大量人员的姓名、地址、电话号码以及购买或配送记录。这使它们具有价值，也使其难以做到完美防护。源文本给出的实际启示是心态上的转变：你无法控制你使用的公司是否会被入侵，但你可以控制它持有你多少信息，以及一次泄露能造成多大损害。
这也是为什么一次泄露很少仅局限于一家公司。被暴露的记录会被用于钓鱼、身份冒充以及尝试登录其他服务。我们对泰国工程师协会数据泄露的报道——该事件暴露了约35万名成员的记录——表明单个被暴露的数据库如何成为其中人员长期面临的风险。
泄露之前：限制公司持有的你的信息
最有效的保护是你从未交出的数据。以下几个习惯会有所帮助：
- 只提供最少信息。 如果某个可选字段要求填写出生日期、备用电话号码或你无需提供的家庭住址，跳过它。
- 为每个账户使用唯一密码。 密码管理器让这件事变得可行。如果某个服务泄露了你的凭据，其他账户仍然安全。
- 在所有提供多因素认证（MFA）的地方开启它，最好使用身份验证器应用而非短信。
- 删除你不再使用的账户。 旧的积分卡和配送账户将你的数据留在别人的数据库中，对你毫无好处。
- 考虑使用单独的电子邮箱地址用于购物和配送，这样一次泄露不会暴露你的主要身份。
这些都不起眼，但它能将数据泄露的结果从严重问题变为不便。
泄露之后：密码、MFA与钓鱼防范
当你使用的公司宣布发生未经授权的访问时，按顺序完成以下步骤。
- 仔细阅读通知。 查明涉及哪些类别的数据：联系方式、账户凭据、支付信息，还是其他内容。你的应对方式取决于此。
- 更改密码，包括受影响服务的密码以及你重复使用该密码的任何其他账户。请直接前往该服务进行操作，不要通过消息中的链接。
- 启用或检查MFA，并查看已登录设备或活跃会话列表（如果该服务提供此功能）。
- 检查支付活动。 如果可能涉及银行卡信息，请审查账单，如有任何异常请联系发卡机构。
- 预期钓鱼攻击。 泄露的联系方式常被用来制作具有说服力的消息。尤其是对快递公司而言，关于包裹未送达或地址问题的虚假通知是显而易见的借口。对意外的短信和邮件保持怀疑，即使它们提到你使用的真实公司。
一条有用的规则：如果某条消息制造紧迫感并要求你点击、登录或付款，停下来，自己打开官方应用或网站。
VPN在哪里有用，在哪里没用
VPN会加密你的连接，并向你访问的网站以及同一网络上的任何人隐藏你的IP地址。这在公共Wi-Fi和一般隐私保护方面很有价值。但它无法保护公司已经存储的数据。如果Seicomart、佐川急便或大和运输将你的信息保存在其服务器上，VPN无法阻止入侵这些服务器的攻击者。
因此，将VPN视为多层防护中的一层，而不是对数据泄露的应对措施。强唯一密码、MFA和谨慎的数据分享对这一问题的作用要大得多。
这对你意味着什么
如果你住在日本或使用这些服务，请查看你所打交道公司的任何官方通知并遵循其指引。如果你在其他地方，教训是一样的：普通、受信任的公司发生数据泄露如今已是日常风险。你的目标不是避免每一次泄露，而是确保泄露发生时能找到的有用信息很少，且没有容易的途径触及你的其他账户。
要点：今天就可以采取的步骤
了解数据泄露公告之后该怎么做很有用，但现在就打好基础更好。留出二十分钟：
- 安装密码管理器并替换重复使用的密码，从电子邮件、银行和购物账户开始。
- 为你最重要的账户开启MFA。
- 关闭你不再使用的账户，并从保留的账户中删减可选个人信息。
- 对任何意外的快递或账户消息保持怀疑。
关于被暴露的记录如何被滥用以及为什么应对措施很重要的另一个例子，请阅读我们关于泰国COE数据泄露的报道。
