關於信用卡資訊外洩的常見諮詢

針對「因本公司網站遭非法存取而導致信用卡資訊外洩的致歉與通知」，我們將常見諮詢整理如下。

Q) 可能外洩的期間是2020年11月27日至2020年12月9日，那麼在此期間以外進行支付也沒問題嗎？

A) 我們已委託第三方調查機構進行調查。除上述期間內支付的195張信用卡之外，不存在其他外洩的可能，請您放心。另外，如有任何疑問，歡迎隨時聯繫諮詢窗口。此外，經分析實際發生不正使用的客戶購買日期後，集中在12/2、12/3、12/4、12/8、12/9購買的客戶。

Q) 今後還能安心使用嗎？

A) 我們嚴肅看待此次事件，已按照第三方調查機構的指示，實施了所有為提升安全性所需的措施。今後也將持續致力於提高安全性，並全力恢復客戶對我們的信任。

Q) 處理不正使用、補發卡、變更手續等耗費了大量時間。沒有任何補償嗎？

A) 如正文所述，所有不正使用及更換卡片費用均由本公司承擔；對於給客戶帶來的麻煩，我們深感自責，並再次致歉。今後將採取的對策和應對措施，我們也希望能隨時向您聯繫說明，懇請繼續給予支持與諒解。

Q) 最初發現是在2020年12/9，公開卻是在2021年3/29。為什麼公布得這麼晚？

A) 我們為儘快聯繫客戶，與信用卡公司和調查公司晝夜不分地溝通，但最終導致通知時間延後，對此我們深表歉意。我們一直與信用卡公司進行協商，但為避免不必要的混亂，未能及時通知。待第三方調查機構完成調查並取得各家卡公司確認後，才終於能夠向客戶發布通知。

Q) 請告訴我迄今為止採取的安全性提升措施。

A) 為防止今後再次發生同類事件，我們採取了以下措施。
・立即修復文件上傳功能的漏洞，並啟用 SELinux，提高了防篡改相關安全性。(2020年12月)
・將伺服器環境遷移至由最新 OS/中介軟體構成的安全公共雲環境。(2020年12月)
・引入高性能防火牆（WAF），採取了阻斷非法存取和攻擊的措施。(2021年1月)
・在伺服器環境和管理工具中引入兩步驗證。(2021年2月)
・在伺服器中引入防病毒軟體，並定期進行病毒檢查。(2021年2月)
・定期套用關鍵的 OS/中介軟體級別修補程式。(2021年3月)
・引入用於檢測檔案竄改的 FIM（File Integrity Monitoring）解決方案。(2021年4月)
・除此之外，我們還實施了多項安全性提升措施。

Q) 請告訴我今後計劃實施的安全性提升措施。

A) 在第三方調查機構及安全專業公司的指導下，計劃實施以下措施。
・由安全專業公司定期實施安全診斷。
・定期進行內部漏洞評估。
・透過活用 SIEM（Security Information and Event Management）長期保存日誌
・除此之外，我們也將持續實施提升系統穩健性的措施。

Q) 您們是否將信用卡資訊（卡號、有效期、安全碼）保存在伺服器上？

A) 沒有。我們使用的是 Stripe 公司提供的符合 PCI-DSS 的非通道型（JavaScript 型）支付服務，本公司伺服器上並未保存任何客戶的信用卡資訊。本次攻擊是透過竄改支付頁面，放置與原本信用卡輸入表單位置非常相似的輸入表單，並在按下支付按鈕時將輸入資訊轉發到攻擊者的網站的機制。

Q) 「有可能外洩信用卡資訊」是什麼意思？也有可能沒有外洩嗎？

A) 實際上並未確認資訊確實被轉發到攻擊者的網站，而是針對攻擊檔案存在於伺服器期間完成支付的所有卡，按「有可能」來推進相關手續。因此，在該期間內完成支付的客戶，實際上也有可能並未外洩。經分析實際發生不正使用的客戶購買日期後，集中在12/2、12/3、12/4、12/8、12/9購買的客戶。其他期間可能已撤下偽造表單（※這一點我們公司也已實際確認）。

Q) 如果發生不正使用，將如何賠付？另外，換卡會產生費用嗎？

A) 與本次事件相關產生的所有費用，均不會由客戶承擔。如報告正文所述，請務必確認信用卡使用明細，若發現不正使用，請務必聯繫信用卡公司。

Q) 今後 ApparelX 還會繼續提供服務嗎？

A) 我們嚴肅看待此次事件，已按照第三方調查機構的指示，實施了所有為提升安全性所需的措施。今後也將持續致力於提高安全性，並全力恢復客戶對我們的信任。

Q) 我想退出 ApparelX 並刪除所有資訊，可以嗎？

A) 請在「我的帳戶」的刪除帳戶中刪除帳戶資訊。儲存在本公司網站上的所有資訊都將被刪除。

Q) 什麼時候恢復接受信用卡支付？

A) 目前正在與支付代理公司協商。恢復時會在網站上公告。（4/28補充）經各家卡公司批准後，我們已於2021/4/28恢復信用卡支付。