Behrman House 数据泄露

泄露的 Drupal 用户表数据库导出文件暴露了302,820 份不重复的用户资料，涉及以下类别的个人数据：

• 账户标识符：用户名、显示名称以及 Drupal 内部的数字用户 ID（uid）。
• 联系信息：规范化电子邮件地址（包括主要联系邮箱和注册初始化时的邮箱）。
• 安全凭据：使用 Drupal 的 phpass / scrypt 哈希方案生成的密码哈希值。
• 元数据与遥测数据：账户创建、最后访问和最后登录的时间戳，设置的时区，以及头像图片路径。

经过严格的去重和核验，在 298,556 条原始客户及教育工作者记录中，确认存在302,820 个不重复的规范化电子邮件地址。

此次泄露源于对 CMS 核心用户表的直接 SQL 导出。虽然密码使用 Drupal 的加盐哈希实现进行了加密，但经过核验的姓名、用户名和电子邮件地址的暴露，仍带来了显著风险，包括定向鱼叉式网络钓鱼、教育场景下的身份冒用，以及针对相关教育和机构系统的自动化撞库攻击。

在 Behrman House 门户上拥有账户的教育工作者和客户应：

• 立即更改任何可能重复使用了 Behrman House 密码的外部服务密码。
• 对未经请求、要求核验发票或更新账户的电子邮件保持警惕。
• 使用密码管理器，为各个账户设置高强度且互不相同的凭据，并在支持的情况下启用多因素身份验证（MFA / 2FA）。