Couchsurfing (2020) 数据泄露

当时审查的样本和同期报道显示，待售数据包含电子邮件地址、真实姓名、用户 ID 和账户设置。报道明确指出，出售的数据包中不包含密码，因此本记录不得声称密码哈希值、明文密码或可直接用于登录的凭据遭到泄露。也没有可靠证据证明其中包含电话号码、支付卡信息、私信、身份证件、精确位置、旅行记录或个人资料中的自我介绍文本。即使如此，将电子邮件地址、姓名和该平台的用户 ID 结合起来，仍可用于定向网络钓鱼、垃圾邮件、冒充客服的诈骗消息，以及与公开来源中的个人资料进行关联。约1700万这一数字指的是卖家宣称出售的账户记录数量，而非经过全面核实、去重后的个人总数。

这批数据于2020年7月上旬出现，最初在私密消息渠道中流传，随后出现在公开的犯罪论坛上。卖家声称这些记录取自 Couchsurfing 服务器，并以 US$700 的价格出售数据包。提供给安全领域记者的一小部分样本包含用户 ID、真实姓名、电子邮件地址和账户设置字段。该公司表示，已聘请一家外部网络安全公司开展调查，并已联系执法部门。没有公开的最终事件报告确定具体的访问日期，也没有确认入侵方式。有观点提出，放错位置的备份文件可能是数据来源之一，但这只是一种推测，并非已证实的根本原因。因此，本记录将事件发生时段记为2020年7月上旬，不声称能够精确到某一天。这些结构化的 Couchsurfing 账户字段，使这批数据有别于一般的凭据合集；但由于缺乏公开且确凿的验证，本记录仍需保留相应限定。

在2020年之前拥有 Couchsurfing 账户，并使用真实姓名和主要电子邮件地址的用户，受到这次数据暴露影响的风险最大。攻击者一旦知道用户使用的平台、账户的存在及用户 ID，就能编造看似可信的通知，内容可能涉及安全、会员费用、个人资料验证、借宿请求或旅行消息。据报道，这批数据中没有密码，但这并不意味着账户不存在被接管的风险：攻击者仍可通过电子邮件窃取密码重置链接、索取一次性验证码，或将会员引导至虚假的登录页面。如果同一电子邮件地址也用于其他服务，这些记录就可能被用于关联个人资料和实施针对性诈骗。即使多年过去，历史身份数据仍可能让骗局显得可信。账户信息出现在出售的数据包中，并不能证明该账户曾被访问或私信曾被读取；这些结论需要另外的证据支持。

如果您在2020年前后使用的 Couchsurfing 密码至今仍在使用，或曾在其他服务上重复使用，即使据报道这批数据中不包含密码，也应作为预防措施，将所有使用该密码的账户都改为各自独有的长密码。首先保护主要电子邮件账户：检查陌生会话、邮件转发规则和账户恢复邮箱地址，然后启用多因素身份验证。检查 Couchsurfing 中的个人资料、隐私和通信设置，并通过官方支持渠道报告并非由您本人做出的更改。不要点击有关会员续费、付款问题、个人资料审核、借宿请求或紧急旅行援助的消息中的链接。请自行打开网站或应用，并检查发件人的域名。不要因为对方知道您的姓名或用户 ID，就认定其是真正的员工、接待者或旅行者。面对未经请求而收到的消息，切勿提供密码、一次性验证码或支付信息；应通过另一个可信渠道核实请求。

使用密码管理器，为每项服务生成独有的登录凭据，避免今后其他来源的凭据泄露波及多个账户。保持电子邮件账户的多因素身份验证处于启用状态，并定期检查账户恢复选项；与旅行有关的消息可能是攻击者尝试入侵关联邮箱的起点。对于公开可见的非必要真实姓名信息、个人链接和个人资料文本，应降低其可见性。关闭不再使用的旅行类账户，移除过时的第三方关联，并定期结束旧会话。消息包含真实的账户信息，并不能证明发件人身份可信；泄露数据可以帮助犯罪分子编造看似准确的背景信息。留意意外收到的密码重置、新会话和电子邮件地址变更提醒。后续安全通知也应仅通过该组织的官方域名查看和处理。

使用本页的安全查询框，逐一检查您在2020年之前可能用于 Couchsurfing 的现用和历史电子邮件地址。匹配结果可能表明该地址出现在与本事件相关的记录中，但并不意味着密码已泄露、账户已被接管，或完整个人资料已被公开。如果查到匹配结果，请确定该账户使用的邮箱，检查邮箱的安全历史记录和 Couchsurfing 设置，并停止重复使用密码。未查到匹配结果也不能保证绝对安全，因为数据集可能不完整、地址的记录方式可能不同，或该地址可能涉及其他事件。只输入查询工具支持的标识信息；切勿向泄露查询工具提交密码、一次性验证码、支付卡信息或私信内容。如果收到意料之外的提醒，不要点击其中的链接，应通过官方应用或域名访问您的账户。