CarGurus 2026 数据泄露事件

已确认泄露的数据类型包括电子邮箱地址、姓名、电话号码、实际地址和IP地址。据报道，相关文件还包含账户映射、融资资格预审信息、申请结果，以及经销商账户和服务计划的相关信息。12,461,887这一数字统计的是唯一电子邮箱地址，并不意味着每条记录都包含相同字段，也不意味着这些邮箱地址与同等数量的个人一一对应。已确认泄露的数据类型不包括密码或支付卡信息，但这些数据可能被用于个性化网络钓鱼、冒充客服的诈骗电话，以及围绕购车或融资过程设计的骗局。不能因为某个文件中出现了某一字段，就认定每个受影响的邮箱地址都关联该字段。

涉事方声称于2026年2月13日获得了访问权限，而经核实的记录将2026年2月14日列为泄露日期。早期报道提到约170万条企业记录；随后对已公开文件进行统计，发现其中包含12,461,887个唯一电子邮箱地址。前者是早期关于企业记录数量的说法，后者则是去重后的邮箱地址数量，两者不应混用。据报道，事件过程是先尝试勒索，随后公开了数据。CarGurus表示，一项由独立第三方提供支持的调查发现，事件已得到控制，影响仅限于公司内部的一个数据库，各项服务仍正常运行。该公司还表示，没有证据表明经销商数据源、集成连接、经销商客户管理系统、核心产品或消费者服务的安全受到侵害。这一评估并不否定已公开文件中经核实的邮箱地址数量。

最直接的风险涉及曾在CarGurus上查询车辆、创建账户、提供联系方式或使用融资资格预审的消费者。经销商员工及与经销商账户有关联的人，也可能因工作邮箱、电话号码或服务计划相关信息而成为目标。在数据集中发现某个邮箱地址，并不能证明该用户提交过融资申请，也不能证明其实际地址已泄露；不同文件包含的字段并不相同。当多个字段的信息相互吻合时，攻击者就可能假装了解用户的车辆偏好、与经销商的关系、申请进度或所在地区。因此，虚假的定金支付要求、贷款批准通知、身份证件上传链接或账户验证来电，可能显得可信。评估风险时，应考虑使用过的服务和可能关联的沟通渠道，而不能只看报道中的总数。

对于自称来自CarGurus、经销商、融资服务提供方或车辆卖家的意外邮件、短信或来电，应通过独立渠道核实。手动输入已知的网站地址，而不是点击消息中的链接；使用官方网站上的电话号码，而不是来电者提供的号码。在通过另一渠道确认之前，不要打开意外收到的附件、安装远程访问软件、透露一次性验证码，也不要按紧急付款要求操作。密码不在已确认泄露的数据类型之列，但在多个账户中重复使用同一邮箱和密码组合的人，应为每个账户设置独有的长密码，并启用多因素身份验证。如果你使用过融资资格预审，应留意信用报告、新账户通知和地址变更提醒，并直接向金融机构报告你不知情的申请。

即使没有密码，联系信息也可能带来持续的社会工程攻击风险。为购车、融资和一般会员服务分别使用不同的邮箱别名，有助于识别冒充服务方的情况。密码管理器可以为每个账户保存独有的登录凭据，并帮助检查账户恢复方式。如果移动运营商支持，可设置号码转出锁定或账户安全码，以防知道你电话号码的人尝试转移该号码。不要将知晓地址、电话号码或出生日期视为可靠的身份证明；应使用随机生成的安全问题答案并将其保存在密码管理器中，而不是使用能在网上查到的真实答案。经销商应培训员工防范邮件钓鱼和语音钓鱼，在敏感流程中分离职责，审查访问权限，并针对异常数据导出或会话设置告警。缩短数据保留期限、减少可选字段，可以降低未来事件的影响。联系信息难以更换，因此看似可信的诈骗接触可能在数月后才出现。

使用本页面的记录查询功能，查看你的邮箱地址是否与此次泄露事件有关。匹配结果不意味着你的记录包含所有列出的数据类型，也不能证明有人访问过你的账户；它只表示所查询的标识符与经核实的数据集中的记录相匹配。未匹配到记录也不能绝对保证未受影响，因为后续可能出现更多文件，格式或去重方式的差异也可能导致部分记录无法匹配。不要向不可信的网站、论坛或主动联系你的陌生人提交完整邮箱地址。如果出现匹配结果，应列出重复使用该邮箱的服务，检查当前有效会话和账户恢复选项，过滤相关消息，并直接向有关机构报告异常的融资或经销商联系。判断一条消息是否可信，应查看发件人域名、链接指向的地址、是否催促你立即处理，以及要求你采取的操作，而不是只看显示的发件人姓名。定期查询、使用独有密码和高强度多因素身份验证，以及通过独立渠道确认敏感请求，相互配合有助于降低网络钓鱼和欺诈风险。