bigbasket 2020年数据泄露

已核实的数据类型包括出生日期、电子邮箱地址、IP 地址、姓名、密码、电话号码和实体地址。 攻击者可以结合真实姓名、联系方式和配送信息，编造虚假的发货、订单取消、退款或地址更新消息。密码并非以明文形式存储，而是采用旧版 Django(SHA-1) 哈希格式。该格式不符合现代密码存储应有的安全要求，也无法消除弱密码被离线猜解的风险。支付卡和银行账户不属于本记录中已核实的数据类型。

本记录采用的泄露日期为2020年10月14日。2020年10月底前后，一个据称约为 15 GB、包含近 2000万行客户记录的数据库被挂出出售。2020年11月，bigbasket 表示正在评估一起可能的数据泄露事件，与安全专家共同调查其影响范围，并已向班加罗尔网络犯罪部门报案。该公司还表示，其并未存储金融数据或卡号。2021年4月，这批数据被更广泛地分享，本记录所依据的分析确认其中包含 24,500,011 个唯一电子邮箱地址。最初估计的近 2000万行记录与 24,500,011 个唯一电子邮箱地址，既不是同一种统计指标，也不是同一分析阶段的结果。 具体的技术入侵方式并未公开披露。

在受影响期间拥有 bigbasket 账户，并提供过电话号码或配送地址的客户，面临最直接的风险。在电子邮箱、购物、支付或工作账户上重复使用同一密码的用户，更容易遭遇利用重复密码进行的登录尝试。结合姓名、电话号码、出生日期和地址，可以让假冒客服来电及以配送为主题的消息更具迷惑性。IP 地址本身无法揭示精确位置，但与其他个人资料字段结合后，可为关联账户和选择攻击目标提供线索。

如果你在泄露期间用于 bigbasket 的密码仍在任何账户上使用，请立即更改，并停用相似的密码变体。优先保护电子邮箱账户，检查当前登录会话和账户恢复选项，并在支持的服务上启用多因素身份验证。不要打开以订单、优惠券、退款、付款更正或地址更新为由发送的链接；请自行打开你已知的网站或官方应用。消息中包含你的真实姓名、电话号码或地址，并不能证明发送者可信，切勿向他人透露一次性验证码。

使用密码管理器，为每项服务生成不同的密码；在可行的情况下，为购物账户使用专用邮箱别名，将其与其他账户区分开来。从不再使用的旧账户中删除配送地址和电话号码，并及时更新账户恢复信息。保持电子邮箱和金融账户的登录提醒处于开启状态，通过独立渠道核实意外收到的密码重置或订单通知。地址、出生日期等难以更改的信息，即使多年后仍可能被用于社会工程攻击，因此不要认为更改一次密码就能消除这起事件带来的风险。

使用你在 bigbasket 使用过的电子邮箱地址查询本记录。匹配结果表示该地址出现在本记录所依据的 bigbasket 数据集中，并不意味着支付卡或银行信息已经暴露。 如果查询结果显示匹配，请在所有重复使用过旧密码的账户上更换密码，优先保护电子邮箱，并警惕以配送为主题的诈骗。如果查询结果未匹配，请记住，这一结果仅适用于该数据集，不能排除你的信息在其他泄露事件中暴露的可能性。