Canva 数据泄露

经核实的数据类别包括电子邮件地址、地理位置信息、姓名、密码和用户名。对于未使用社交账号登录的账户，密码以 bcrypt 哈希值的形式存储。虽然 bcrypt 被认为比旧式、运算速度更快的密码存储方法更能抵御破解，但弱密码或在其他服务中重复使用的密码仍然存在风险。电子邮件地址、用户名和姓名的组合可帮助攻击者关联同一用户在不同平台上的账户。位置信息也可能被用于伪造客服消息、实施区域性营销活动诈骗，或发起个性化网络钓鱼。因此，不应将此次事件仅视为设计平台账户的问题；如果其他账户使用相同的电子邮件地址或密码，就会产生更广泛的账户接管风险。

在 Canva 事件中，已核实的账户数量为137,272,116。主要泄露日期应以2019年5月24日为准，已核实的收录日期为2019年8月9日，来源的最后更新日期同样为2019年8月9日。数据字段仅限于电子邮件地址、地理位置信息、姓名、密码和用户名。设计文件、支付卡信息、团队私有内容、官方身份证件或企业合同数据，均不属于这条账户安全记录中已核实的数据类别。后来，一些另行破解的 Bcrypt 密码哈希被分享，构成了额外的风险因素；不过，向用户显示的主要数据字段仍应按密码处理。这些范围限制让用户能够清楚、切实地了解风险。

风险最高的是在其他服务中使用 Canva 账户的电子邮件地址以及相似密码的人。设计师、社交媒体管理员、教师、学生、营销团队和负责管理品牌账户的员工，都是应优先关注的群体。如果 Canva 账户使用工作邮箱注册，攻击者就可能将该地址与公司名称、用户名和位置信息结合起来，发送更具迷惑性的消息。如果相同的用户名也出现在作品集网站、社交网络或工作工具中，账户被关联的风险就会增加。旧 Canva 账户也值得关注，因为过去使用的密码可能仍在其他服务中有效。对于有权访问团队账户的用户，重复使用密码不仅可能危及个人账户，还可能危及共享的品牌资产。

受影响用户应先将 Canva 账户密码更改为独一无二的强密码。如果曾在其他服务中使用相同或相似的密码，应优先更换电子邮件账户、社交媒体账户、云存储、协作工具、广告账户以及关联支付功能的服务中的密码。应使用密码管理器为每项服务设置不同的密码，并在账户支持的情况下启用多步验证。对于看似来自 Canva 或设计团队的通知消息，点击其中的链接前应先核查地址。应仔细检查伪装成模板分享、品牌文件邀请、账单、团队邀请或账户暂停通知的邮件。企业团队还应检查管理员账户的登录会话、已连接的应用程序以及团队成员情况。

从长远来看，保护设计和内容创作平台账户时，应与保护主要邮箱和金融账户一样谨慎。为每项服务使用独一无二的密码，可以限制单次数据泄露造成的损害。团队账户应优先采用基于角色的访问控制，撤销离职员工的权限，并禁止共用密码。对于企业品牌，设计文件、社交媒体账户和广告管理后台应被视为同一安全链条的组成部分。用户应定期检查旧 Canva 账户，以及使用同一电子邮件地址创建的其他创作工具账户。使用密码管理器、启用多步验证、监控登录会话和跟踪团队访问情况，都应成为长期保持的安全习惯。

当 LeakData 显示 Canva 结果时，表示该电子邮件地址包含在2019年的 Canva 账户数据集中。这一结果并不能证明用户的设计文件或支付信息已遭泄露；其范围仅限于已核实的风险信息和账户安全字段。用户应先检查 Canva 账户，再检查同一时期使用的密码，以及使用相同电子邮件地址注册的重要账户。应优先检查电子邮件账户、社交媒体账户、品牌管理后台、云存储和团队协作工具。此次事件的主要发生时间为2019年5月，已核实的收录日期为2019年8月。这条时间线可避免账户安全页面将该记录误判为近期事件，并帮助用户确定正确的处理优先顺序。