Drizly 数据泄露
Drizly 数据泄露事件发生于2020年7月，涉及这家总部位于美国的在线酒类订购平台的客户数据。本记录包含2,479,044个不重复的电子邮箱地址。公开的监管文件和泄露记录表明，此次事件涉及员工开发者账户中的云访问凭据被滥用，进而导致客户数据库遭到访问。已核实的数据字段包括出生日期、设备信息、电子邮箱地址、IP 地址、姓名、电话号码、实际地址以及 bcrypt 密码哈希值。因此，无论从账户安全，还是地址和年龄信息隐私的角度来看，Drizly 数据泄露事件都应受到高度重视。
暴露的数据类型
9- 出生日期
- 设备信息
- 电子邮箱地址
- IP 地址
- 姓名
- 密码哈希值
- 密码
- 电话号码
- 实际地址
关于此次数据泄露
尽管 Drizly 后来被 Uber 收购，并于2024年停止作为独立应用运营，但2020年泄露的数据仍可能带来风险。旧客户记录可以将一个人的年龄、地址、电话号码、设备和网络信息以及电子邮箱账户关联起来。据报告，密码字段以 bcrypt 哈希值而非明文形式存储；这种保护方式能够降低风险，但并不意味着重复使用密码就完全安全。本记录中，信用卡号、银行账户或官方身份证件号码不属于已核实的数据类别。主要风险集中在客户画像、地址隐私、网络钓鱼以及重复使用的密码上。
泄露的数据类型与风险
已核实的 Drizly 账户数据类型包括出生日期、设备信息、电子邮箱地址、IP 地址、姓名、电话号码、实际地址以及 bcrypt 密码哈希值。出生日期和地址信息能够使个人身份画像更加完整。当电话号码和电子邮箱地址同时泄露时，冒充客服、配送、年龄验证或账户更新的消息可能显得更可信。IP 地址和设备信息还可能提供额外线索，帮助推测用户所处的大致网络环境及其使用的设备类型。
与明文密码泄露相比，泄露的是经 bcrypt 保护的密码哈希值，风险相对较低。不过，对于强度不足、过短或重复使用的密码，风险依然存在。如果用户在其他购物、配送、电子邮箱或社交账户上使用了相同的邮箱地址和密码，攻击者可能会尝试用这一组合登录。酒类订购服务的性质也使隐私问题更加突出：用户的年龄、地址以及消费情境可能被用于构造更有针对性的消息。因此，评估 Drizly 数据泄露事件时，不仅要考虑修改密码，也应关注通信和地址信息的安全。
已核实的范围与界限
已核实的事件发生于2020年7月，涉及2,479,044个不重复的电子邮箱地址。不同来源可能会提到约250万名客户；这一取整表述与本记录中的不重复邮箱数量相符。监管文件还涉及 Drizly 此前的安全漏洞，以及员工账户安全方面的不足。这些信息提供了技术背景，但向用户说明的主要风险，应集中在已核实的客户数据字段及其可能遭到滥用的情况。
不应扩大事件范围。本记录并未将完整信用卡号、银行账户、官方身份证件号码、订单内容或明文密码列为已核实的数据类别。密码风险应结合 bcrypt 哈希保护来理解。Drizly 后来的关闭并不意味着2020年数据泄露的影响已经消失，因为电子邮箱、电话号码、出生日期和地址等字段可能长期不变。本记录仅涉及 Drizly 在2020年发生的客户数据事件，不应与 Uber 的其他服务或后来发生的独立事件混淆。
面临风险的用户群体
风险最高的群体是2020年之前创建过 Drizly 账户或通过 Drizly 订购过酒类的客户。在其他配送、生鲜杂货、购物或电子邮箱账户中使用相同邮箱地址的人，更容易成为攻击目标。出生日期和地址信息可能让诈骗消息看起来像是专门为某个人发送的。对于记录中包含电话号码的用户，可能会接到冒充配送、年龄验证、账户更新或促销活动的电话。
在不同服务中重复使用同一密码的用户也面临风险。虽然 bcrypt 哈希保护使密码难以被立即读取，但旧密码和弱密码仍可能遭到破解或被尝试用于登录。即使 Drizly 已不再作为独立服务使用，你的电子邮箱账户、Uber 账户、配送平台或其他商店账户仍可能沿用旧的 Drizly 密码。实际地址和出生日期等不会改变的字段，即使在事件发生多年后，也可能被用于个性化的网络钓鱼消息。
需要立即采取的措施
如果 Drizly 账户使用过的密码仍在其他地方使用，应立即更改。如果电子邮箱、购物、配送、关联支付方式的账户或 Uber 账户使用过相同或相似的密码，应为每个账户设置独有的密码。电子邮箱账户应启用双重身份验证。如果无法访问旧的 Drizly 账户，应检查使用同一邮箱地址的其他账户，并退出所有可疑会话。
对于通过电话和电子邮件收到的配送、年龄验证、会员信息更新或营销活动消息，应保持警惕。即使消息中的出生日期、地址或电话号码准确无误，也不应因此认定消息可信。不要点击消息中的链接，而应直接打开相关服务的网址。对于索要银行卡号、一次性验证码、银行信息或密码的请求，应予以拒绝。即使本记录未核实金融数据泄露，泄露的个人信息也可能在日后被用来诱骗用户提供金融信息。
长期安全策略
长期来看，应定期检查配送和零售账户中保存的地址、电话号码和出生日期信息。关闭不再使用的账户，删除过时的地址；用于营销活动的账户，应优先使用单独的邮箱地址，而不是主要邮箱。密码管理器有助于检查其他账户是否仍在使用旧的 Drizly 密码。由于实际地址和出生日期属于不会改变的信息，即使多年以后，也应谨慎对待利用这些信息制作的个性化消息。
对企业而言，Drizly 事件表明，开发者账户和云访问凭据信息可能直接威胁客户数据库的安全。最小权限原则、定期轮换访问密钥、为员工账户实施强身份验证、针对异常数据访问设置告警，以及删除不必要的客户数据，都是关键措施。针对 Drizly 的监管决定也强调了数据最小化和个人责任的重要性。尽量减少客户数据的存储量，也能在发生泄露时缩小影响范围。
记录核对与用户行动
如果你在本记录中看到匹配结果，你的邮箱地址可能属于与 Drizly 数据泄露事件相关的2,479,044个不重复邮箱之一。匹配结果并不意味着你的完整银行卡号或明文密码已经泄露。不过，它表明出生日期、地址、电话号码、设备信息、IP 地址以及 bcrypt 密码哈希值等字段存在安全风险。第一步是检查你在使用 Drizly 时设置的密码是否仍用于其他账户。
即使 Drizly 已不再是独立应用，泄露的旧邮箱地址、电话号码和地址信息仍可能被利用。应谨慎对待配送、年龄验证、账户更新或营销活动主题的消息。消息包含你的个人细节，并不意味着它值得信任。请保护相关的电子邮箱账户、配送账户以及关联支付方式的账户。对 Drizly 数据泄露事件，正确的认识不是将其视为一家已关闭服务留下的旧记录，而是承认这些长期有效的个人数据字段仍可能被用于社会工程攻击。
