Zara 資料外洩：197,400 筆紀錄受影響，第三方供應商成關鍵

據目前報導，外洩欄位包括：

• 電子郵件地址。
• 地理市場或位置相關資料。
• 購買與訂單資訊；部分報導提到可能包含訂單 ID、商品或 SKU。
• 客服工單資料。

這些資料看似不像信用卡號那樣「一眼高風險」，但對詐騙者很有用。若攻擊者能在郵件中寫出你的真實電郵、購買市場、訂單編號、商品或客服互動內容，釣魚訊息就更容易取得信任。Cloaked 的分析也提醒，即使沒有密碼或卡號，這類細節仍可能被用於釣魚與帳號接管嘗試。

目前哪些資料據稱沒有被存取？

Inditex 據報表示，密碼與支付卡資訊未被存取。 Daily.dev 的整理也稱，姓名、電話號碼、地址、登入憑證與付款資料未遭外洩；不過，這仍應與另一個前提一起看：Inditex 尚未公開完整的技術細節與鑑識報告。

因此，就目前已知資訊來看，這不像是支付卡外洩事件。對一般顧客而言，更直接的風險是社交工程：有人可能寄出看似與 Zara 訂單、退款、配送異常或客服案件有關的郵件或簡訊。

ShinyHunters 疑似如何取得資料？

Inditex 已確認的說法，是事件源頭不在 Zara 自家核心系統，而是與前技術供應商或外部承包商所持有的資料庫遭未授權存取有關。

後續資安報導把事件與勒索組織 ShinyHunters 連結起來。BleepingComputer 報導稱，ShinyHunters 聲稱對事件負責，並外洩一份 140GB 檔案；該檔案據稱來自 BigQuery 執行個體，攻擊者使用的是遭入侵的 Anodot 驗證權杖。 其他報導也將 Anodot 這家分析服務供應商列為疑似第三方路徑，指向下游客戶資料被接觸的可能性。

用白話說，報導中的攻擊路徑比較像是：攻擊者取得或濫用第三方驗證權杖，透過這些有效憑證進入相連的雲端資料環境，再匯出其中資料；而不是直接攻破 Zara 的購物車或付款頁。這也與 Inditex 指稱事件來自前供應商、而非自家基礎設施內部遭入侵的說法相符。

還有哪些不確定之處？

公開資訊仍未達到完整鑑識報告的程度。BleepingComputer 指出，Inditex 與 Zara 尚未揭露事件的所有細節，包括官方確認的完整受影響人數。

ShinyHunters 的具體入侵方式，也有一部分來自威脅行為者自身說法與二手資安報導；因此，應把「遭竊 Anodot 權杖存取 BigQuery」視為目前最主要的報導版本，而不是已由官方完整確認的技術結論。

各方對外洩壓縮包大小的說法也不完全一致：BleepingComputer 與 Daily.dev 提到 140GB；Cork Safety Alerts 則報導 ShinyHunters 宣稱從 BigQuery 雲端執行個體取得 192GB 資料。 對個別顧客而言，更有參考價值的數字仍是 Have I Been Pwned 所列的紀錄數：約 197,400 筆。

Zara 顧客現在該怎麼做？

如果你的電子郵件可能出現在這批資料中，接下來一段時間要特別留意任何自稱來自 Zara 的訊息。不要直接點擊郵件或簡訊中的退款、配送問題、付款失敗、會員獎勵或客服案件連結；比較安全的做法是自行打開 Zara 官方網站或 App 查詢。

由於目前報導稱密碼與支付卡資料未被存取，單就已知事實來看，大規模更換信用卡並不是最明顯的第一步。 但如果你曾在 Zara 或其他零售帳號重複使用同一組密碼，仍應立即更換；可用多因素驗證的服務，也應盡量開啟。

為什麼這件事不只關乎 Zara？

這起事件再次說明，第三方分析工具與雲端資料連線，即使不是品牌本身的核心系統，也可能成為顧客資料曝險的入口。

對企業資安團隊來說，報導中的「權杖＋資料倉儲」路徑也指向幾項老問題：離職或停用供應商的存取權是否真的撤銷？驗證權杖是否定期輪替？雲端資料倉儲權限是否過大？異常大量匯出是否會被監控？誰能接觸顧客資料集，是否有定期稽核？

結論是：Zara 這次外洩的資料，從目前報導看來沒有密碼或支付卡那麼敏感；但它仍足夠個人化，足以被拿來做更有說服力的詐騙。真正值得警惕的，不只是外洩了什麼，而是第三方連線如何讓全球零售品牌的顧客資料變得可被接觸。