Condo.com 数据泄露

已核实的数据类型包括电子邮箱地址、姓名、电话号码和实体地址。电子邮箱地址可用于关联用户的其他网络账户。姓名和电话号码可被用于假冒客服来电、房源核验消息、冒充房地产中介或试图诱导用户向其他收款账户付款。对于包含实体地址的记录，可以从中获得关于用户居住地或意向地区的更直接信息。

本记录中未核实存在密码这一数据类型，因此主要风险是网络钓鱼、电话诈骗和以房地产为主题的社会工程攻击，而非账户密码泄露。姓名、电子邮箱地址和电话号码的组合，提供了足够多的途径来联系一个人。如果攻击者推测用户有寻找住房、租房、买房或寻找公寓的意向，就可能据此定制消息。与一般广告或群发钓鱼消息相比，这类定制消息可能更有说服力。

本记录涵盖1,481,555个受影响账户，事件日期记录为2019年6月1日。据了解，这些数据后来又出现在一份规模更大的泄露数据汇编中，并再次流传。这意味着，尽管事件发生已久，电子邮箱和电话号码信息仍可能被重新用于当前的诈骗名单。评估本记录的覆盖范围时，应以不重复的账户数量为依据，不应假定每一行数据都代表一份当前仍在使用、处于活跃状态或信息完整的用户资料。

已核实的字段包括电子邮箱地址、姓名、电话号码，以及少量实体地址。本记录中，密码、支付卡、银行账户、社会保障号码、出生日期、身份证件或房地产交易文件均不属于已核实的数据类型。此外，并非所有记录都包含实体地址，该字段仅见于少量记录。这一区别十分重要：向用户说明实际风险时，既不能低估联系方式的价值，也不能将未经核实的数据类型说成确实存在。

风险最高的是在 Condo.com 上使用了真实姓名、主要电子邮箱地址和仍在使用的电话号码的人。正在寻找房产的用户通常关注搬家、投资、租房或买房等涉及较高金额的决策。因此，攻击者可能以虚假咨询、虚假房源、诱导向其他账户支付定金、信贷预审批、估价费、维护费通知或搬家服务等主题来针对这些用户。

对于记录中还包含实体地址的用户，风险会更具针对性。如果地址信息准确，攻击者可能利用所在社区、楼栋、配送、维护、订阅或管理公告等内容，让消息显得可信。记录中包含电话号码的用户可能直接成为短信和电话攻击的目标。对于使用工作邮箱注册的用户，还存在针对企业的网络钓鱼风险，因为以房地产和设施管理为主题的消息在工作环境中可能显得合情合理。

如果用户在本记录中发现匹配结果，首先应警惕通过电子邮件和电话收到的房地产相关消息。对于意外收到的房源推荐、定金要求、催促快速付款的指示、贷款申请链接、租赁合同文件或账户验证消息，不应直接信任。如果要进行房地产交易，应通过独立渠道核实对方身份、房源来源、付款信息和沟通渠道。

应为电子邮箱账户启用多因素身份验证，并检查是否存在可疑会话。即使本记录中没有已核实的密码字段，电子邮箱账户仍可能成为诈骗消息的主要目标。不应向他人透露手机收到的一次性验证码，也不应转发身份证件请求、定金支付指示或远程访问请求。实体地址可能已泄露的用户，也应警惕以地址核验或配送为名发来的消息。

Condo.com 事件表明，即使不包含密码，联系方式也可能带来严重的安全与隐私影响。在使用房地产、房源信息、订阅和购物服务时，用户应尽可能使用单独的电子邮箱地址或邮箱隐藏方案。除非必须提供，否则不应分享电话号码；如果必须提供，则应意识到日后可能收到营销、诈骗和钓鱼消息。实体地址只应在确有必要的交易中提供。

从长远来看，用户应检查以往注册的房地产服务账户，以及房源平台上的个人资料。应关闭不再使用的账户，减少公开的个人资料信息，并留意哪些服务使用了相同的联系方式注册。由于房地产交易涉及较高金额，绝不能仅凭电子邮件或短信中的指示完成付款。应通过其他独立渠道核实对方的执业许可、房源权属、银行信息和合同细节。

本记录中出现匹配结果，表明相关电子邮箱地址存在于与 Condo.com 泄露事件有关的记录中。匹配结果所对应的已核实范围仅限于联系方式和身份信息；密码或支付信息不在本记录已核实的数据类型之列。不过，电子邮箱地址、姓名和电话号码结合后，可能已足以生成看似专门针对该用户的消息。因此，即使记录较旧，也仍需保持警惕。

用户应首先保护电子邮箱账户，通过其他独立渠道核实意外收到的房地产和搬家相关消息，并拒绝通过电话提出的付款或提供身份信息的要求。如果用户认为他人可能已掌握自己的实体地址，应仔细审查与配送、维护、楼宇管理或订阅有关的消息。在房地产交易中，转账前应通过独立来源核实房源、相关个人、公司以及账户信息。