Disqus 数据泄露

泄露的数据库快照中包含以明文存储的电子邮箱地址、Disqus 用户名、注册日期和最后登录日期。已确认受影响的账户数量为17,551,044 个，每个账户对应一个不同的电子邮箱地址。其中约三分之一的账户包含加盐的 SHA-1 密码哈希值，而非明文密码；因此，“密码”这一数据类别指的是这些哈希值，并非可直接读取的登录凭据。对于通过社交平台身份验证服务登录的用户，记录中存有对应外部账户的引用，而非 Disqus 密码。SHA-1 哈希处理和加盐不会直接显露密码，但也无法让简短或常见的密码完全抵御离线猜测攻击。将电子邮箱地址、用户名和活动日期结合起来，可用于定向网络钓鱼、发送垃圾邮件、关联历史账户，以及针对其他服务发起撞库攻击。尚未证实本事件涉及支付信息或银行卡信息。

泄露的快照来自 2012年的用户数据库，包含最早可追溯至 2007年的信息，且没有晚于 2012年7月的数据。因此，本记录以 2012年7月1日代表按月份记录的事件日期；可靠的公开证据并未确定数据被访问的具体日期或入侵所用的技术方式。多年后，一名独立研究人员于 2017年10月5日向 Disqus 报告了该数据集，公司才得知此事。公司当天获取数据并开始核验；10月6日，公司重置了快照中包含密码哈希值的账户的密码，联系了受影响用户，并发布了公开通知。Disqus 表示，公司已于 2012年底从 SHA-1 转向更强的 bcrypt 密码哈希算法。截至披露时，尚未发现与此次泄露有关的未经授权登录证据，但由于仍有通过离线破解还原密码的可能，有必要防范密码复用带来的风险。

风险最高的是在 2012年或更早时直接使用电子邮箱地址和密码注册，并在其他地方重复使用相同或相似密码的用户。约三分之一账户中的加盐 SHA-1 哈希值，尤其容易在密码较短或基于常见词语时被破解。如果密码被还原，攻击者就可以尝试用它登录电子邮件、社交媒体、论坛或购物账户。快照中不包含外部社交登录服务的密码，但电子邮箱地址、用户名和账户引用仍可能已经泄露。注册日期和最后登录日期可以帮助攻击者区分活跃账户与弃用账户，并让消息显得更可信。后来更改了密码、且在所有服务上都使用不同登录凭据的用户，账户被接管的风险较低，但针对旧电子邮箱地址的网络钓鱼仍可能奏效。

如果你在 2012年使用的 Disqus 密码至今仍用于其他服务，请将所有复用该密码的账户改为各自独有的长密码。Disqus 在 2017年重置了受影响账户的密码，但这一操作无法更改其他网站上复用的密码。优先处理你的主要电子邮件账户、密码管理器、社交网络，以及保存了付款方式的服务。为电子邮件和其他关键账户启用多因素身份验证，然后检查活跃会话、账户恢复邮箱和已识别的设备。不要仅因为一条消息提及旧的 Disqus 评论、用户名或注册日期就信任它。对于声称提供密码重置、账户验证或评论删除功能的消息，不要点击其中的链接，而应自行前往该服务的官方地址。切勿通过消息或电话透露一次性验证码、当前密码或密码管理器的主密码。

使用能为每项服务生成随机且独一无二密码的密码管理器，即使某个旧密码哈希被破解，也能避免波及其他账户。为关键服务持续启用多因素身份验证，并将恢复码安全地保存在离线位置。关闭不再使用的评论、论坛和社交账户，或尽量减少其中留下的个人资料，因为被遗忘的账户也可能被用于关联身份。不要仅因泄露发生在 2012年、距今已久，就认为它无害；只要同一个密码或邮箱与账户的关联关系至今仍在使用，这些数据就仍有利用价值。留意意外出现的登录和密码重置提醒，定期检查邮件转发规则，并避免重复使用容易查到的安全问题答案。应假定过去使用的用户名可能与公开个人资料关联起来，并对利用这些历史细节编写的消息进行额外核实。

使用本页的安全搜索框，检查你目前及过去在 Disqus 使用过的每个电子邮箱地址。匹配结果意味着该地址属于已核实数据库快照中的 17,551,044 个不同邮箱地址之一；这并不能证明密码已被还原或账户已被接管。如果查到匹配结果，请找出哪些服务复用了 2012年前后使用的密码，并更改所有仍在使用的重复密码。未查到结果也不能绝对保证安全，因为邮箱地址可能采用了不同写法，也可能存在未包含在该数据集中的记录或其他泄露事件。切勿在泄露查询中输入密码、社交登录凭据或验证码。定期重新查询旧邮箱地址，有助于及早发现新公布的泄露记录，让你有时间在被盗数据遭到滥用前加强账户安全。