Bukalapak 数据泄露

已核实的数据集包含邮箱地址、用户名、IP 地址、姓名，以及使用 bcrypt 和加盐 SHA-512 保护的密码哈希值。没有证据表明明文密码曾被传播，但强哈希保护并不能消除弱密码或重复使用密码带来的风险。论坛上的售卖信息还声称包含地址、出生日期或电话号码等字段，但这些字段尚未在标准数据分类中得到充分确认，因此未予列入。13,369,666指的是唯一邮箱地址的数量，并非数据总行数、Bukalapak 的全部用户数，也不代表每个字段涉及的受影响人数。

这条记录涉及截至2017年10月23日的 Bukalapak 备份数据。事件于2019年3月被发现，并于2019年4月被收录到公开的数据泄露目录。最初的访问方式、被利用的安全弱点，以及备份究竟从哪个系统被取走，均未得到确认，因此不能将任何详细的攻击路径表述为事实。2020年5月，约1300万条 Bukalapak 记录再次出现，被认为是一起新事件。该公司表示，调查发现当时流传的报道源于前一年的入侵尝试，并未发生新的数据泄露。同一时期报道的另一份包含9100万条记录的数据集属于另一家印度尼西亚电商平台，不应计入 Bukalapak 的总数。

2017年末之前已拥有 Bukalapak 账户、且在其他服务中重复使用相同密码的人面临的风险最高。即使多年前已经关闭或弃用该账户，用户仍可能受到影响，因为邮箱地址、用户名和密码哈希值可能保持原样，持续流传。即便使用 bcrypt 或加盐 SHA-512 保护，简短、容易猜测或基于字典词汇的密码也更难抵御离线猜测。如果邮箱账户也使用相同密码，风险会进一步上升，因为获取邮箱访问权限后，就可能接触到许多服务的密码重置链接。包含姓名和 IP 地址的记录，更容易被用于提及用户所在地或过往购物活动的定向钓鱼。查询匹配并不意味着支付卡、银行账户或身份证件已泄露；这些字段不在已核实的数据类别中。

如果你还记得2017年在 Bukalapak 使用的密码，请找出所有仍在使用相同或相似密码的账户。从邮箱、银行、购物和社交账户开始，为每项服务设置一个足够长的独立密码；使用可信的密码管理器可以更轻松地避免重复使用密码。在 Bukalapak 和邮箱账户上启用两步验证，然后检查活跃会话及已连接的设备。检查邮箱的恢复地址、电话号码和转发规则，确认是否出现你不知情的变更。对于以 Bukalapak 订单、退款、卖家收款或泄露赔偿为由，索要密码、一次性验证码或付款的消息，不要回应。应自行打开应用或输入官方网址，而不是点击消息提供的链接。如果收到登录失败提醒、意外的密码重置通知或新设备通知，请立即更改相关密码并结束其他会话。保留可疑消息的日期和发件人信息，并向服务提供商举报。

从备份中获取的旧登录凭据可能流传多年，因此不能在事件热度消退后就停止防护。定期利用密码管理器的安全报告，更换重复使用、强度不足或曾经泄露的密码。将邮箱账户视为数字身份的核心，使用高强度密码、两步验证和保持更新的账户恢复选项加以保护。如果你在多个平台使用同一个用户名，要记住攻击者可能将这些账户关联起来。购物相关消息即使准确写出了姓名或订单详情，也不一定可信；请在应用中查看订单历史，独立核实。关闭不再使用的账户前，应删除已保存的支付方式、已连接的应用和不必要的个人资料字段。备份保留和访问策略需要与生产系统同等程度的保护。出现新的 Bukalapak 泄露说法时，应对比其日期、唯一账户总数和泄露字段，以判断这是新事件，还是旧数据再次流传。

使用你在2017年前后注册或使用 Bukalapak 时的邮箱地址，在 LeakData.io 上搜索，查看是否与这条记录匹配。匹配结果表明该地址存在于已核实的数据集中；这并不意味着同一条数据记录中的用户名、IP 地址、姓名和密码哈希值都完整存在。未查到结果并不能证明使用其他邮箱地址创建的账户不在数据集中，因此应分别检查过去使用过的工作和个人邮箱地址。无论搜索结果如何，都不要因此提供密码、密码哈希值、一次性验证码、支付信息或身份证件。如果查到匹配结果，应优先停止重复使用旧密码、保护邮箱账户并启用两步验证。不要将2020年的 Bukalapak 数据售卖信息视为另一起涉及1300万个账户的事件，再次计入总数。同样，不要将属于另一平台的9100万条记录归入这条记录。明确区分不同事件和统计口径，有助于避免夸大风险或将风险归于错误的组织。