DemandScience by Pure Incubation 数据泄露

DemandScience by Pure Incubation 记录所涵盖的数据类型包括电子邮件地址、雇主信息、职位、名字和姓氏、电话号码、实际地址以及社交媒体个人资料链接。电子邮件地址可被用于定向网络钓鱼、密码重置骗局，以及跨服务匹配账户。雇主信息可被用于针对企业的网络钓鱼、冒充供应商的消息，以及定向施加销售压力。职位信息有助于判断权限级别、所属部门和决策职责。名字和姓氏信息会让冒充客服的消息、虚假配送通知和虚假发票消息更具可信度。电话号码可被用于通过短信、电话和即时通讯应用设计个性化诈骗情境。实际地址可被用于与配送、账单、订阅和本地服务有关的社会工程学消息。社交媒体个人资料链接可以将个人的真实身份、工作和网络账户关联起来。

当雇主、职位、电话、地址和社交媒体个人资料链接汇集在一起时，冒充供应商、销售人员、招聘人员、会议组织方或高管的消息，以及虚假发票消息会显得更加真实。企业电子邮件地址可能使攻击面从个人账户延伸至公司。

DemandScience 记录与域名 demandscience.com、Pure Incubation 的历史沿革，以及2024年初出现的 B2B 数据集有关。其范围仅限于企业电子邮件地址、雇主、职位、全名、电话、实际地址和社交媒体个人资料链接。应视为不包含密码、银行信息或私人账户内容。

不应将 DemandScience 记录中不存在的字段描述为已经泄露。完整支付卡信息、官方身份证件、私人消息、健康数据、银行信息或设备内容等类别，只有在记录明确包含这些数据时，才应纳入风险评估。本文依据可核实的数据类型和该事件的已知边界撰写。

企业电子邮件地址被列入记录的员工，从事销售、营销、财务、管理、人力资源和采购工作的人员，LinkedIn 个人资料与工作邮箱相对应的用户，以及接收外部邀约消息的团队，面临较高风险。

在不同服务中使用同一电子邮件地址、重复使用旧密码、不区分工作账户与个人账户，或在多个平台分享电话和地址信息的用户，面临较高风险。在数据收集或 B2B 个人资料登记的情境下，也应根据不同来源的数据汇总后形成的画像效应来评估风险，而非仅考虑单个账户。

查询结果显示匹配的用户，应通过内部核验流程核实意料之外的工作邀约、销售、发票、会议、供应商变更和付款审批消息。由于 DemandScience 记录不包含密码，首要任务是提高对社会工程学和针对企业的网络钓鱼的防范意识。

查询结果显示匹配的用户，应更新使用相同或相似密码的账户密码，在条件允许时启用双重身份验证，并检查近期会话。对于不包含密码但包含联系信息或个人资料数据的记录，应警惕意料之外的来电、邀约、退货、合作和验证消息。

从长期来看，养成使用密码管理器、为各账户设置独立密码、启用双重身份验证，以及从账户中移除不必要个人信息的习惯，有助于降低风险。在不同平台重复使用同一电子邮件地址，会使不同泄露事件中的数据更容易被关联；可考虑为关键账户使用单独的邮箱或邮箱别名。

企业应减少员工联系数据的公开可见性，在财务和采购交易中采用二次审批机制，并培训员工防范针对特定职位的网络钓鱼尝试。个人用户应将工作账户与个人账户分开。

LeakData 查询会显示所查询的电子邮件地址是否存在于 DemandScience 记录中。匹配结果并不一定意味着所有数据字段都确实属于该用户，但已足以提醒用户采取保护措施。未匹配结果仅表示该数据集中没有匹配项，并不能排除该地址出现在其他泄露事件中的可能性。

匹配结果表明，该电子邮件地址存在于与 DemandScience/Pure Incubation 相关的 B2B 数据集中。这一结果并不意味着密码已经泄露，但应将其纳入对针对企业的定向攻击和社会工程学风险的考量。