Dave 数据泄露
Dave 数据泄露事件涉及用户数据在2020年6月被未经授权获取。Dave 是一款来自美国的数字银行与现金预支应用，此次事件与经由 Dave 原第三方服务提供商发生的安全事件有关。经核实，泄露范围涵盖 2,964,182 个唯一电子邮箱地址；据报道，与事件相关的原始数据约有750万行。数据行数并不等同于人数，同一用户可能对应多行数据或不同的记录片段。记录包含出生日期、电子邮箱地址、姓名、使用 bcrypt 保护的密码哈希值、电话号码、实体地址，以及一个加密的社会保障号码字段。
暴露的数据类型
7- 出生日期
- 电子邮箱地址
- 姓名
- 密码
- 电话号码
- 实际地址
- 社会保障号码
关于此次数据泄露
泄露的数据类型与风险
由于涉及金融应用，Dave 记录中列出的数据类型具有较高风险。姓名、电子邮箱地址、电话号码和实体地址结合起来，可以表明用户的身份，并提供直接联系用户的方式。在某些服务中，出生日期可用于账户恢复或客服身份核验。社会保障号码字段被明确标注为加密状态；这并不意味着泄露了可读取的号码，但该字段出现在记录中，本身就增加了事件的敏感性。密码字段也应理解为 bcrypt 哈希值，而非明文密码。
虽然 Bcrypt 是一种安全性较强的密码存储方式，但密码相关风险并不会因此完全消失。弱密码或曾经使用过的密码可能更容易受到攻击。如果用户在电子邮箱、金融、购物、社交媒体或工作账户中重复使用同一密码，攻击者可能会将破解或猜测出的密码用于尝试登录不同平台。实体地址和电话号码会让社会工程攻击更具迷惑性，例如冒充金融机构工作人员来电，发送账户核验消息、现金预支通知或信贷优惠信息，或以身份核验为借口联系用户。
已核实的范围与限制
本记录中的 2,964,182 表示已核实的唯一电子邮箱地址数量。据报道，与事件相关的原始数据约有750万行，但这些行数不等于唯一用户数。明确这一区别，既有助于避免用户产生不必要的恐慌，也有助于准确反映泄露的实际范围。事件日期记为2020年6月，数据随后出现在不同论坛或数据索引中，并不改变泄露实际发生的时间。本记录专门涉及 Dave 的用户数据，不应与该第三方服务提供商其他客户的数据混淆。
对数据字段的含义和范围也应谨慎解读。本记录已核实包含出生日期、电子邮箱地址、姓名、bcrypt 密码哈希值、电话号码、实体地址和加密的社会保障号码字段。字段经过加密，并不意味着其中的号码可以明文读取。同样，事件涉及金融应用，并不意味着本记录包含交易流水或可直接访问账户的信息。应向用户准确传达的是：个人身份和联系方式字段具有较高风险，用户应检查是否重复使用密码，并警惕以金融业务为主题的诈骗企图。
面临风险的用户群体
风险最高的是使用过 Dave 应用，并在其他金融或个人账户中使用相同电子邮箱或密码的人。攻击者可能针对金融应用用户，编造账户核验、付款问题、现金预支更新、信用评分、身份检查或客服来电等情境。攻击者若知道用户的姓名、电话号码、地址和出生日期，这些联系就会显得更可信。因此，用户不仅应警惕收到的电子邮件，也应警惕电话和短信。
对于使用企业电子邮箱开设 Dave 账户的人，风险可能涉及更广的范围。员工在个人金融应用中的数据暴露，并不意味着组织的系统已遭入侵；但如果工作账户也使用相同密码，或攻击者向企业邮箱发送定向消息，组织就可能面临风险。若存在共用地址、共用电话或家庭账户等情况，风险也可能波及其他人。实体地址信息还可能被用于通过伪造邮件、虚假配送或身份核验借口实施的诈骗企图。
应立即采取的措施
如果用户的信息与 Dave 记录匹配，第一步是更改 Dave 账户的密码，以及所有使用相同或相似密码的账户密码。应优先检查电子邮箱账户、金融应用、银行服务、支付平台、购物网站和社交媒体账户。新密码应足够强且不与其他账户重复，条件允许时可使用密码管理器生成。重要账户应启用多因素身份验证，结束不明会话，并更新账户恢复选项。
第二步是防范以金融业务为主题的社会工程攻击。即使来电者或消息发送者自称代表 Dave、金融机构、客服团队或身份验证部门，用户也不应分享验证码、密码、账户访问权限或额外的个人信息。如需检查账户状态，应使用自己熟悉的应用或官方登录渠道。还应检查电子邮箱账户中的转发规则、恢复邮箱地址和近期登录活动。如果怀疑存在欺诈性金融交易或身份被冒用，应直接联系相关服务提供商。
长期安全策略
Dave 事件表明，金融应用中存储的个人数据，其安全问题并不只涉及密码。用户应为所有用于金融、电子邮件和身份验证的账户设置不重复的密码，并启用多因素验证保护。也不能忽视电话号码和实体地址被用于诈骗的可能性。养成监测信用和身份信息的习惯，有助于发现非预期的开户、虚假申请或可疑金融通知。对于不再使用的旧金融应用账户，应将其关闭，或检查数据保留设置。
金融科技公司应从中吸取的教训是，第三方服务提供商的风险可能直接影响客户安全。对于承担分析、开发或支持工作的供应商，应明确限定其可以访问哪些客户数据。密码应采用安全性较强的方法存储，敏感身份字段应保持加密，应尽量减少不必要的数据共享，并定期审查第三方访问权限。发生泄露后，应向用户清楚说明哪些部分受到影响，以及哪些部分明确未受影响。
记录核验与用户行动
如果本页的核验结果与 Dave 记录匹配，用户应将该结果视为敏感信息。首先应消除密码重复使用的情况，然后为电子邮箱和金融账户启用额外的身份验证。对于以 Dave 或其他金融服务名义发来的非预期链接、验证码索取请求、账户锁定消息和身份信息更新表单，用户应保持警惕。由于实体地址和电话号码也在风险范围内，除了电子邮件，还应留意来电和短信渠道。
虽然 Dave 泄露事件已发生多年，个人身份和联系信息仍会在很长时间内保有价值。Bcrypt 密码哈希值并不直接意味着密码可被读取，但弱密码或重复使用的密码仍存在风险。加密的社会保障号码字段也不直接意味着号码已以明文暴露，但它使这条记录具有敏感性。用户应将本记录视为一项具体警示：调整密码使用习惯，保护金融账户，留意身份被冒用的迹象，并在遇到非预期的金融相关联系时采取更严格的核验措施。
