Dungeons & Dragons Online 数据泄露
Dungeons & Dragons Online 数据泄露事件涉及这款简称为 DDO 的在线角色扮演游戏的玩家账户，这些账户于2013年4月遭到泄露。本记录包含1,580,933个唯一账户。已核实的数据字段包括出生日期、电子邮箱地址、IP 地址、用户名、网站活动记录和密码哈希值。因此，评估 Dungeons & Dragons Online 数据泄露事件时，应关注旧游戏账户、论坛身份、用户活动和密码重复使用带来的风险，而不是支付卡或游戏内物品泄露的风险。
暴露的数据类型
7- 出生日期
- 电子邮箱地址
- IP 地址
- 密码哈希值
- 密码
- 用户名
- 网站活动
关于此次数据泄露
在2016年被加入已核实的数据泄露事件列表之前，已有人发现该事件涉及的数据集在地下论坛被频繁交易。这表明，数据并非仅在理论上存在暴露风险，而是已经进入可能被滥用的流通渠道。据报告，密码字段存储的是密码哈希值，而非明文密码。即便如此，如果旧游戏密码也被用于其他账户，风险就仍然存在。本记录没有已核实的支付信息、信用卡、官方身份证明、游戏内库存或私密聊天内容等数据字段。
泄露的数据类型及风险
已核实的数据类型包括出生日期、电子邮箱地址、IP 地址、用户名、网站活动记录和密码哈希值。将电子邮箱地址与用户名结合起来，可能更容易把某个人与其他游戏论坛、社交平台或社区账户关联起来。出生日期可被用于以账户恢复或年龄验证为主题的社会工程学攻击消息。IP 地址可提供大致的网络和位置信息。网站活动记录则可进一步反映用户如何与网站互动。
密码哈希值并非明文密码；但在哈希类型和密码强度未知的情况下，不能认为风险为零。弱密码或重复使用的密码，即使多年后仍可能被加入自动化密码尝试列表。游戏账户可能尤其容易成为目标，因为玩家可能在论坛、游戏客户端、聊天平台和社交网络上使用相同的用户名。因此，Dungeons & Dragons Online 数据泄露事件的重要性不仅在于它是一条旧游戏数据记录，还在于用户名和密码重复使用所形成的关联链条。
已核实的范围与边界
已核实的事件日期记为2013年4月2日。本记录于2016年3月12日被加入已核实的数据泄露事件列表。受影响账户数记为1,580,933；部分叙述可能会使用约160万玩家账户的说法。本页面以查询所使用的记录总数为依据。事件范围限于与 Dungeons & Dragons Online 相关的账户和网站数据，不应将其与范围更广的品牌、桌面角色扮演产品或其他游戏服务混淆。
对于范围边界，仍应保留未确定之处。在本记录中，支付卡、银行账户、官方身份证件、实际地址、电话号码、游戏内物品库存和私密聊天内容都不是已核实的数据类别。密码字段也应视为密码哈希值，而非明文密码。网站活动记录指用户在该网站上的相关操作，不应假定每位用户的记录都具有相同的详细程度。风险描述应限于这些已核实的字段。
面临风险的用户群体
风险最高的群体是2013年之前拥有 Dungeons & Dragons Online 账户或相关网站账户的玩家。在 DDO 论坛、其他游戏社区、聊天应用或社交网络上使用相同用户名的人，更容易被关联并形成用户画像。出生日期和电子邮箱信息可被用于伪造的账户恢复消息或旧游戏账户提醒。IP 地址也可能帮助对方根据用户所在地区定制消息。
在不同服务上重复使用同一密码的玩家也面临风险。即使旧 DDO 密码仍留在一个如今看似不再活跃的账户上，同一密码仍可能用于电子邮箱账户、游戏商店、其他 MMO 账户或论坛。游戏账户有时会被遗忘很久，但由于其中的好友列表、游戏历史、用户名声誉和关联邮箱，它们仍可能对攻击者有价值。因此，检查活跃账户时，也应一并检查旧游戏密码。
应立即采取的措施
如果 Dungeons & Dragons Online 的旧密码目前仍用于任何其他账户，应立即更改。如果电子邮箱、游戏商店、社交媒体、论坛或即时通信账户使用过相同或相似的密码，应为每个账户设置独立的密码。主要电子邮箱账户应启用双因素身份验证。如果仍能访问旧游戏账户，应检查其关联邮箱、账户恢复设置和会话历史记录。
应警惕以游戏账户验证、旧角色、账户停用、免费物品、可疑会话或密码重置为主题的消息。即使消息中的用户名、出生日期或旧游戏相关信息准确无误，也不应据此认为消息可信。不要点击消息中的链接，而应直接访问相关服务的网址。由于本事件尚未核实涉及支付信息，因此应重点完成密码重置、保护电子邮箱账户并检查游戏社区账户，而不是因财务风险而恐慌。
长期安全策略
从长远来看，游戏账户、论坛账户和主要电子邮箱账户应使用各自独立的密码。使用密码管理器可以避免其他账户继续沿用旧游戏密码。在每个平台上使用相同用户名，会增加个人资料被关联的风险；重要账户应优先使用不同的用户名和更强的验证措施。不再使用的游戏和论坛账户应关闭，或至少更新为强密码。
对于平台管理员而言，这起事件表明，不应把玩家社区中的账户仅仅视为娱乐账户。出生日期、IP 地址、用户名和网站活动记录等字段应作为个人数据加以保护。密码哈希值应采用安全性强的方法存储，旧论坛和账户系统应保持更新，用户数据访问应受到限制，并应监测异常的数据流动。即使游戏账户看似不起眼，密码重复使用也可能影响用户的其他账户。
记录核查与用户应对
如果你在本记录中看到匹配结果，你的账户可能属于与 Dungeons & Dragons Online 数据泄露事件相关的1,580,933条记录之一。匹配并不意味着你的支付信息、游戏内物品或私密聊天内容已经泄露。已核实的字段是出生日期、电子邮箱地址、IP 地址、用户名、网站活动记录和密码哈希值。第一步是确认：你在2013年前后用于 DDO 的密码，还曾用于哪些其他账户。
如果其他账户仍在使用你的旧 DDO 密码，请更改这些密码。为电子邮箱账户启用两步验证，更新游戏账户的恢复信息，并警惕来自相同用户名的个性化消息。应对 Dungeons & Dragons Online 数据泄露事件的正确方式，不是将其夸大为完整的游戏物品库存或支付数据泄露，而是依据已核实的账户相关数据范围，防范旧密码重复使用带来的风险，并保护游戏社区账户。
