DaFont 数据泄露

已核实的数据类型包括电子邮件地址、用户名和密码。密码字段采用未加盐 MD5 哈希格式，这并不意味着密码以可直接读取的形式公开。不过，由于 MD5 是一种运算速度快且安全性较弱的哈希算法，简单密码或此前已泄露的密码尤其容易被攻击者猜出。未加盐也使人们更容易通过相同的哈希值，关联使用相同密码的账户。

当电子邮件地址与用户名同时出现时，就有可能将用户与其他创意平台、论坛、设计社区或社交媒体个人资料关联起来。单独一个 DaFont 账户可能看起来价值不高，但如果其他服务也使用了相同密码，风险就会增加。围绕字体、许可证、下载链接或账户提醒发送的定向虚假消息可能很有迷惑性，尤其是对设计师、代理机构员工，以及在工作工具中使用同一邮箱的人而言。

本记录涵盖637,340个受影响账户，记录的事件发生日期为2017年5月16日。虽然部分技术报告提到了更高的原始数据库行数，但本记录采用的数值代表已核实的账户范围。此次事件涉及的主要数据类型为电子邮件地址、用户名和未加盐 MD5 密码哈希值。网站随后表示，已加强密码存储机制，并强制要求用户更改密码。

本记录未将 IP 地址、电话号码、实际地址、支付卡、银行账户、出生日期、真实姓名或私信内容列为已核实的泄露数据类型。应将此次事件视为仅涉及 DaFont 用户账户数据。匹配结果表示相关电子邮件地址出现在 DaFont 数据集中，并不意味着用户的字体文件、支付信息或设备受到影响。

风险最高的是在其他账户中重复使用 DaFont 账户密码的用户。用户往往会忘记旧账户或不太重要的账户所用的密码，但攻击者可以利用这些密码进行自动化登录尝试。如果邮箱和用户名也相同，不同设计社区或社交媒体上的账户还可能被关联起来。

设计师、代理机构员工、字体制作者，以及活跃于创意社区的用户，遭遇定向网络钓鱼的风险更高。虚假的字体许可证、版权通知、下载包、设计文件或账户安全消息可能看起来很真实。对于使用工作邮箱注册的用户，这种风险还可能延伸到企业安全。因此，需要考虑的不仅是 DaFont 账户，还包括使用同一邮箱及相同或类似密码的所有账户。

用户如果在本记录中看到匹配结果，应更改 DaFont 账户的密码，以及所有使用相同或类似密码的账户密码。新密码应独一无二、足够长且难以猜测。应优先保护邮箱账户，启用多因素身份验证，并检查近期会话。仅对旧密码做小幅修改而形成的变体，也不应被视为安全密码。

应警惕意外收到的、以字体下载、许可违规、版权通知、免费资源包、设计文件或账户验证为主题的消息。打开链接和附件前，应核实域名和发件人。即使发件人知道用户名或过去的 DaFont 注册信息，也不能信任对方。不要向第三方提供密码、验证码、邮箱访问权限或账户恢复信息。

DaFont 事件表明，即使是不太受重视的创意社区账户，其密码安全也很重要。用户应为每个论坛、下载网站、设计社区和工作工具使用独一无二的密码。使用密码管理器，可以更方便地查看哪些地方重复使用了旧密码，并生成强密码。不再使用的账户应关闭，或至少改用独一无二的密码。

从长期来看，避免在不同平台重复使用相同的用户名和电子邮件地址也有帮助。如果在不同设计社区中重复使用同一组用户名和邮箱，个人资料就容易被关联。创意工作中使用的文件和字体链接可能包含恶意软件或网络钓鱼内容，因此用户应仅从可信来源下载，并通过其他独立渠道核实意外收到的许可或版权消息。

本记录中的匹配结果表示，相关电子邮件地址出现在2017年5月 DaFont 数据泄露所涉及的账户中。匹配结果并不表示事件发生于当前年份；本记录中的事件日期为2017年5月16日。已核实的范围仅限于电子邮件地址、用户名和未加盐 MD5 密码哈希值。

用户应首先更改所有使用相同密码的账户密码，为邮箱账户启用双因素身份验证，并检查过去在创意平台上使用的用户名和密码组合。即使已不再经常使用 DaFont 账户，只要其他服务使用了相同密码，风险就仍然存在。未加盐 MD5 哈希格式与弱密码相结合，可能造成长期的账户安全风险。