Dropbox 数据泄露
Dropbox 数据泄露是一起重大的账户凭据泄露事件，相关数据于2012年7月被获取，事件涉及的更大范围于2016年才曝光。已核实的范围为68,648,009个不同账户。该记录包含电子邮件地址和加盐密码哈希值；文件内容、支付信息、私密文档和共享链接均不属于已核实的数据类别。因此，评估这起事件的主要风险时，应着重考虑旧密码被猜解以及相同密码被用于尝试登录其他服务的风险，而不是云存储文件直接泄露的风险。
暴露的数据类型
2- 电子邮箱地址
- 密码
关于此次数据泄露
公司于2016年为可能面临风险的用户实施了密码重置流程，并开始保护长期未更改密码的账户。约一半的密码哈希值使用 bcrypt 存储，另一半使用 SHA-1 方法。虽然使用 bcrypt 的部分被认为更能抵御攻击，但按现代标准衡量，使用 SHA-1 的部分安全性较弱。此外，即使密码哈希值采用了安全性较强的存储方式，用户选择的密码如果过短或重复性较高，仍可能带来长期的账户失陷风险。因此，尽管 Dropbox 数据泄露事件发生已久，这条记录仍具有实际的安全意义。
泄露数据类型与风险
已核实的数据类型为电子邮件地址和密码哈希值。仅凭电子邮件地址无法访问账户，但攻击者可以利用它发送网络钓鱼消息、开展有针对性的密码尝试，以及关联不同服务上的账户。密码哈希值不是可直接读取的密码形式；然而，弱密码、过时的哈希方法或在其他网站上重复使用密码，都可能给攻击者带来优势。在 Dropbox 事件中，并未证实密码以明文形式存在；风险来自加盐哈希值被纳入用于离线攻击的列表。
最主要的危险来自密码重复使用。如果用户曾将 Dropbox 的旧密码用于电子邮件账户、社交网络、工作工具、购物账户、云存储服务或游戏账户，攻击者就可能在不同平台上尝试相同的电子邮件地址和密码组合。电子邮件地址暴露后，虚假的安全警报和文件共享消息也会更具迷惑性。在这起事件中，文件内容不属于已核实的数据字段，因此不能据此断定文件已经泄露；但如果该密码在其他服务上仍然有效，影响就可能扩展到 Dropbox 以外的账户。
已核实的范围与界限
这起泄露事件的日期记录为2012年7月。数据集更广泛地进入公众视野、密码重置流程成为关注焦点的时间为2016年8月。已核实的账户数量记录为68,648,009。各类新闻报道中可能会出现6800万或6860万等取整数字；用户查询逻辑采用的基准数量为68,648,009。这起事件被认为与某个员工账户重复使用的密码遭到滥用，以及包含用户凭据的数据被访问有关。
在该记录中，支付卡、银行账户、官方身份证件号码、电话号码、完整地址、文件内容或私密文档字段均未得到核实。已核实的字段为电子邮件地址和密码信息的密码学表示形式（即密码哈希值）。部分密码哈希值使用 bcrypt 保护，其他部分则使用 SHA-1；因此，每个账户面临的失陷风险并不相同。不过，如果旧密码仍在不同账户上使用，即使多年以后，这起事件仍可能带来当前账户被接管和遭遇网络钓鱼的风险。
面临风险的用户群体
风险最高的群体是2012年以前就拥有 Dropbox 账户、之后又在其他地方使用该密码的用户。虽然密码重置流程降低了 Dropbox 账户本身的风险，但如果其他服务上仍在使用相同的旧密码，问题就依然存在。使用企业域名的电子邮件地址也可能更容易收到有针对性的消息，因为攻击者可以根据邮件域名尝试推测所属组织、可能的部门或云端文件使用习惯。
旧账户也需要特别关注。风险评估应涵盖已不再使用的电子邮件地址、被遗忘的个人账户、与团队文件夹关联的用户，以及长期未进行会话审计的设备。电子邮件账户也使用相同密码的人面临更大风险，因为一旦电子邮件账户失陷，其他账户的密码恢复流程也可能受到威胁。应对 Dropbox 数据泄露时，不应只将其视为云存储账户的问题，还应从良好的密码使用习惯和相互关联账户的安全角度加以处理。
应立即采取的措施
第一步是确保2012年用于 Dropbox 的密码已不再用于任何账户。如果其他服务上仍在使用相同或相似的密码，应为每个账户设置独立且强度高的密码。应为 Dropbox 账户启用两步验证，并检查已连接的设备、活跃会话和第三方连接。移除不认识的设备，检查旧共享链接，并停用不必要的链接。
电子邮件账户也应得到保护，因为账户恢复消息和密码重置链接通常通过电子邮件发送。对于冒用 Dropbox 名义发送的存储配额、文件共享、密码警报或账户暂停消息，应保持警惕。不要点击消息中的链接，而应通过浏览器直接访问服务；对于可疑消息，应在不打开的情况下将其删除。如果工作或学校账户也使用过相同的旧密码，应通知安全团队，并检查相关账户的登录历史记录。
长期安全策略
长期防护应以独立密码、两步验证和定期会话检查作为云存储账户的基本安全措施。使用密码管理器有助于确认其他账户是否仍在使用旧的 Dropbox 密码。应定期检查共享链接，关闭不必要的链接，并从账户中移除旧设备。如果个人文件和工作文件保存在同一账户中，应更严格地监督权限，确保团队文件夹不存在不必要的访问权限。
从企业角度看，这起事件表明，员工重复使用密码可能演变为涉及客户凭据的重大安全问题。员工账户需要采用强身份验证、独立密码、访问限制、异常登录警报，以及对敏感数据访问的严格管控。采用强度高的方法保护密码哈希值可以减轻损害，但仅靠这一点并不足够。及时通知用户、强制更改密码、检查弱密码，以及防止密码重复使用的政策，都应纳入同一套防护体系。
记录核查与用户应对
如果您看到匹配结果，您的电子邮件地址可能已在与 Dropbox 数据泄露相关的68,648,009个账户中被找到。该结果并不意味着您的文件、私密文档或支付信息已经泄露。已核实的数据字段为电子邮件地址和加盐密码哈希值。首先，回想您当时用于 Dropbox 的密码，并检查其他账户是否仍在使用相同或相似的密码。
如果您的 Dropbox 账户仍在使用，请为其设置独立密码、启用两步验证，并检查已连接的设备和共享链接。如果您曾在其他服务上使用旧的 Dropbox 密码，也应更改那些服务上的密码。尤其要保护好电子邮件账户，因为其他账户的恢复流程大多从这里开始。应对这起事件的正确方式，不是因认定文件已经泄露而恐慌，而是有条不紊地降低电子邮件地址与密码组合所带来的长期账户安全风险。
