服装业巨头J.Crew表示，大约一年前，数量未知的客户“未经授权的一方”访问了他们的在线帐户，但现在才披露此事件。

该公司在周二向加利福尼亚州检察长提交的一份文件中表示，黑客在2019年4月左右获得了对客户帐户的访问权限。

根据这封信，黑客获得了在客户的在线帐户中找到的信息，包括卡类型，卡付款号的后四位，有效期和相关的账单地址。在线帐户还存储客户订单号，运输确认号和运输状态。

该公司的一位发言人证实，黑客使用了一种称为“凭证填充”的技术，该技术可将现有的暴露或破坏的用户名和密码集与不同的网站进行匹配，以访问帐户。

发言人说，“一小部分”客户受到影响，但没有具体说明有多少客户。

在该州运营的公司受权警告该州总检察长办公室涉及500多名加利福尼亚州居民的安全事件。致司法部长办公室的信说这是“多州”通知，表明其他州的客户也受到了影响。

一个更大的未解决的问题是，为什么J.Crew花了将近一年的时间来检测并向监管机构和客户披露该事件。

发言人说，“常规网络扫描”检测到访问不当，并“及时通知了客户”。目前尚不知道何时进行扫描，或者为什么不早发现帐户违规。根据加利福尼亚州和纽约市(J.Crew总部所在地)的法律，公司没有特定的时间段必须披露违规行为，只有在“可能的最方便的时间且没有不合理的延迟”通知客户。

J.Crew成为披露证书填充导致安全事件的一系列公司中的最新公司。亚马逊旗下的门铃制造商Ring，Chipotle，Spotify和游戏流媒体服务Twitch都在过去一年中看到客户抱怨帐户被盗。

初创企业面临与大公司相同的网络钓鱼风险