8fit 数据泄露

经核实，泄露的数据类型包括电子邮箱地址、姓名、性别、地理位置、IP地址、bcrypt密码哈希值、已过期的身份验证令牌和个人资料照片。目录中的标准统计为15,025,407个不重复的电子邮箱地址，而公司公告称，约2000万条用户信息可能受到影响；这些数字的统计范围不同，不应合并为一个总数。密码以bcrypt哈希值而非明文形式存储。弱密码或重复使用的密码仍可能被离线猜解，进而危及其他服务上的账户。公司表示，部分Facebook身份验证令牌已过期，因此这些令牌出现在泄露数据中，并不意味着一定能访问仍然有效的会话。公司还表示，支付信息、社会保障号码以及用户与教练之间的对话并未被获取。

此次泄露发生于2018年7月，据报告，在该月之后创建的账户未受影响。8fit于2019年2月8日得知可能发生了安全事件；同月，这些数据出现在暗网市场上出售，并于2019年3月21日被收录到已核实的泄露事件目录中。公司表示，已启动调查，与安全公司及执法机构合作，联系用户并加强系统安全。证据证实8fit用户数据发生了直接泄露，但导致数据被访问的具体技术漏洞尚未得到公开核实。因此，该事件被归类为数据库泄露，而非第三方供应商泄露；这一分类并未认定访问是通过SQL注入、员工账户、云配置或其他方式实现的。

如果用户在邮箱、社交媒体、购物或工作账户上重复使用了2018年的8fit密码，其面临的风险最高。Bcrypt提供了较强的保护，但只要有足够的时间和计算能力，简短、容易预测或常见的密码仍可能被猜出。姓名、性别、位置、IP地址和个人资料照片可能帮助攻击者编写看似可信的健身会员、订阅、教练支持或密码重置消息。查询到匹配记录并不能证明账户目前已被接管、支付信息已遭窃取或健康记录已泄露。过期令牌无法直接用于访问当前有效的Facebook会话，但检查关联账户和应用权限仍然有帮助。即使8fit账户已不再使用，只要其他地方仍在使用相同的邮箱和密码模式，就仍需重视。合理的风险评估应综合考虑密码复用情况、上次修改密码的时间、活跃会话以及针对个人的可疑消息。

如果您在其他服务上重复使用了2018年8fit账户的密码或相近变体，请为每项受影响的服务设置一个足够长且独一无二的密码。优先保护主要邮箱账户、密码管理器、金融服务账户，以及其他可用于重置账户的身份凭据。检查活跃会话和已识别的设备，核实账户恢复信息，并在支持的服务上启用通行密钥或多因素身份验证。不要以为在原密码上添加一个数字或符号，就成了独立的新密码。对于以8fit、健身计划、会员续费、支付问题或教练联系为由发送的消息，不要点击其中的链接；请直接打开您熟悉的网站或应用。检查关联的Facebook及其他社交账户中的应用权限，并撤销不再使用的访问权限。如果您发现意外的密码重置、新设备提醒或邮件转发规则通知，请启动该服务的官方账户恢复流程。

使用能够为每项服务生成独立随机密码的密码管理器，即使旧bcrypt哈希值对应的密码最终被猜出，也能限制账户被连带接管的风险。在支持的服务上改用通行密钥，并为主要邮箱账户使用抗钓鱼的身份验证方式。离线保存恢复代码，定期检查关联应用和社交登录权限。请记住，个人资料照片、位置和健身兴趣可能让针对您的消息更具迷惑性；涉及敏感事项的请求，应通过独立渠道核实。组织在处理员工邮箱地址与泄露记录匹配的情况时，应将密码重置与会话撤销、防止密码复用及可疑登录监测结合起来。服务提供商应结合使用现代密码哈希参数、唯一盐值、访问隔离、数据最小化和安全事件检测措施。应定期删除不再使用的账户和不必要的个人资料字段。

通过安全搜索框查询您的电子邮箱地址，了解它是否出现在8fit记录中；如果查到匹配记录，应优先修改密码。查询结果并不意味着bcrypt哈希值一定已被破解、账户已被接管，或支付和健康数据已泄露；它表明该邮箱地址存在于已核实的数据集中。回想当时使用的密码模式，在所有仍使用相同或相似密码的地方更换密码，并检查主要邮箱账户的近期会话。对于意料之外的健身或订阅消息，请直接打开应用进行核实。没有查到结果，也不能保证该邮箱地址未出现在其他任何事件中。持续监测、使用独立密码和强身份验证，以及检查关联应用，有助于在旧数据多年后被再次利用时提供有效防护。