日本软件开发商 ACCESS 于 10 月 15 日公告，台湾子公司 ACCESS AP TAIWAN 提供给电商业者的业务支援服务「CROS」遭第三方未授权访问，导致台湾、香港、澳门与新加坡网购消费者个资外泄。
根据公告，这次事件涉及 15 万 5,280 笔客户 ID，以及 23 万 1,998 笔订单 ID。与这些 ID 对应的姓名、电话、地址、电子邮件和订单信息均已外泄。ACCESS 将客户 ID 与订单 ID 分开列示，但未换算受影响人数，也未拆分各地区数据。
CROS 外泄资料范围
公告还提到，金流服务账号信息也有外泄，但未说明涉及哪一家业者。
ACCESS 在东京证券交易所 Prime 市场上市。公告将 CROS 定位为面向海外拓点电商业者的业务支援服务；ACCESS 官网产品页则称，这项服务可协助日本业者在台湾经营定期回购型网购业务。
信用卡资料来自未完成付款订单
信用卡资料累计外泄 1,671 笔。扣除重复登录与多笔订单后，涉及 1,305 个账号。外泄字段包括卡号、安全码、有效期、姓名，以及对应的客户 ID 与订单 ID。
其中 4 个账号的上述字段全部外泄，安全码也包含在内；其余 1,301 个账号外泄的是不含安全码的资料。ACCESS 表示，CROS 原本不会保存已完成付款的卡片资料，这次外泄的卡片信息都来自付款未完成、仍存放在系统中的订单。
入侵起点为单一客户专用 BI 工具
ACCESS 表示，ACCESS AP TAIWAN 于 9 月 11 日发现 CROS 服务器出现未授权访问迹象，随后紧急停机、隔离服务器并展开调查。从发现异常到发布公告，间隔 34 天。
调查确认，攻击者取得了这台服务器可读取的个资与部分配置信息。入侵起点是一套 BI（商业智能）数据分析工具，仅提供给 CROS 其中 1 家客户企业使用。ACCESS 称，目前没有确认其他客户企业的个资也遭外泄，公告也未公开该客户名称。
ACCESS 依据调查与日志分析判断，攻击发生在这套工具的应用层。除该工具可读取的数据库外，目前未检测到其他影响，CROS 主体基础系统也未发现遭直接入侵。
寄信密钥被盗用，发出 1.14 万封未授权邮件
公告称，攻击者还从服务器取得寄信服务密钥，并据此寄出 1 万 1,441 封未经授权的邮件。ACCESS 在分析邮件后判断，收件名单是入侵者另行准备，并非直接使用这次外泄的个资。
服务一度全面暂停，现已恢复
事件发生后，ACCESS AP TAIWAN 隔离并停用遭入侵服务器，同时作废并更新寄信用认证信息。为避免损害扩大，CROS 整套服务曾全面暂停，其他客户也一并受到影响。公司随后更换数据库密码，目前服务已经恢复。
使用该 BI 工具的客户企业正在向日本个人信息保护委员会报告。ACCESS AP TAIWAN 也已向台湾当局通报，但公告未说明具体是哪个机关。
ACCESS 预估，这起事件对集团合并财报影响轻微，但仍在评估中；如有需要披露的事项，将另行公告。
已披露的事件问答
CROS 外泄了哪些资料？
依 ACCESS 公告，与 15 万 5,280 笔客户 ID 对应的姓名、电话、地址、电子邮件及订单信息均已外泄，地区涵盖台湾、香港、澳门与新加坡。
这次事件是否包含信用卡安全码外流？
有。1,305 个外泄账号中，有 4 个账号连安全码一并外流，其余 1,301 个账号未包含安全码，且相关卡片资料都来自付款未完成的订单。