你的網購訂單，可能正被全世界看光光！美國時尚品牌 Express 爆出嚴重個資外洩

你查的物流進度，可能別人也在看

在網路上買了件新衣服，滿心期待地每天刷新物流進度，是許多人的日常。但你有想過嗎？當你輸入訂單編號查詢時，你完整的個人資料和購物紀錄，可能正毫無遮掩地暴露在網路上，任何人只要知道一個簡單的技巧，就能一覽無遺。

這不是危言聳聽，而是知名美國時尚零售巨頭 Express 最近發生的真實案例。根據科技媒體 TechCrunch 的獨家報導，Express 的電商系統存在一個嚴重的安全漏洞，導致大量的客戶敏感資訊被洩漏到公開的網際網路上。

這起事件是由資安研究員 Anurag Sen 所發現，他隨即通報了 TechCrunch，並由媒體向 Express 發出警告。雖然 Express 在接獲通知後迅速修補了漏洞，但整起事件的處理方式，卻留下了許多令人不安的問號。

這個漏洞到底有多離譜？簡單來說，問題出在 Express 官網的訂單查詢功能。這個功能背後由一個 API（應用程式介面）驅動，原本應該是安全的，卻出現了致命的設計缺陷。

研究人員發現，只要在訂單查詢頁面的網址中，手動修改一串代表訂單的連續數字，系統就會直接回傳另一位顧客的完整訂單資料。這代表任何有心人士，都能透過簡單的「窮舉法」或自動化腳本，輕易地撈取到海量的用戶數據。

這次外洩的資料範圍相當廣泛，幾乎涵蓋了整個購物流程的關鍵資訊：

這些資料加總起來，就像一份為詐騙集團量身打造的「客戶名單」。他們可以輕易地發動極具說服力的釣魚攻擊，或是進行更複雜的身份盜竊。

你可能會覺得，不過就是買了什麼衣服被看到，好像沒什麼大不了？但事情遠比想像中嚴重。當詐騙集團掌握了你的姓名、電話、Email，甚至你最近買了什麼、包裹送到哪了，他們能做的事情可多了。

最常見的就是「客製化釣魚詐騙」。例如，你可能會收到一封看起來跟 Express 官方信件一模一樣的 Email，或是一則手機簡訊，上面寫著：「親愛的[你的名字]，您訂購的[商品名稱]因地址有誤無法配送，請點擊以下連結更新您的地址資訊。」

由於信件中的資訊完全正確，許多人會不疑有他地點擊連結，進而將自己的信用卡資訊、帳號密碼等更敏感的資料拱手讓人。外洩的物流追蹤號碼，也可能被用來進行包裹劫持或製造其他騙局。

面對如此嚴重的漏洞，Express 的處理態度卻顯得有些被動。在 TechCrunch 聯繫該公司後，他們確實很快地修復了問題，讓這個 API 不再對外開放。然而，當被問及更多細節時，官方卻三緘其口。

Express 的發言人僅提供了一份制式聲明，表示他們「在得知潛在漏洞後，立即展開調查並迅速修復了該問題」。對於這個漏洞存在了多久、有多少客戶受到影響，以及最重要的——公司是否會主動通知受影響的客戶，Express 一概不予置評。

這種「關上門自己處理」的態度，是現代企業危機處理中最糟糕的一種。對消費者而言，他們完全不知道自己的個資是否已經外流、應該採取哪些預防措施。這種資訊不對等，無疑是將風險轉嫁到了最無辜的消費者身上。

事實上，Express 遇到的這種漏洞類型，在資安領域被稱為「不安全的直接物件參考」（IDOR），是一種相當常見卻極度危險的漏洞。它通常源於開發人員為了方便，而忽略了在存取資料時進行嚴格的權限驗證。

在電商產業追求快速迭代、頻繁上線新功能的壓力下，開發團隊有時會為了趕進度而抄捷徑，犧牲了資訊安全的基本功。他們可能認為，只要網址中的那串 ID 夠長夠亂，就不會有人發現。但他們顯然低估了駭客與資安研究員的能耐。

這也給所有電商平台敲響了一記警鐘：在追求酷炫功能與流暢體驗的同時，最基本的使用者資料保護，才是維繫品牌信任的基石。一次嚴重的個資外洩，足以摧毀多年建立起來的商譽。

在企業普遍不夠透明的今天，學會自保是我們的必修課。雖然我們無法阻止企業系統出包，但可以採取一些措施來降低損害。

首先，對所有聲稱來自你消費過的品牌的訊息保持警惕。無論是 Email、簡訊還是社群私訊，只要內容涉及要求你點擊連結、提供密碼或個資，都先把它當成詐騙。最好的做法是，不要點擊任何可疑連結，而是自己手動打開官方網站或 App 進行確認。

其次，建立良好的密碼管理習慣。為不同的網站設定獨一無二的強密碼，並善用密碼管理器。這樣即使某個網站的資料外洩，也不會波及到你的其他帳號。對於線上購物，也可以考慮使用一個專門的「購物用信箱」，將日常通訊和商業活動分開。

最終，我們對品牌的信任，不應只建立在光鮮亮麗的廣告或產品上，更應取決於他們如何對待我們的隱私。這次 Express 的事件再次提醒我們，數位時代的每一次消費，都伴隨著隱形的風險。保持警覺，才是保護自己的不二法門。

參考來源：TechCrunch