Dunzo 数据泄露

已核实的数据类型包括设备信息、电子邮箱地址、地理位置信息、IP 地址、姓名和电话号码。当电话号码和电子邮箱地址同时存在时，攻击者可通过短信、电话和电子邮件实施针对性诈骗。姓名信息可让消息显得更有针对性。IP 地址和地理位置字段可提供用户大致所在区域或使用服务的城市等背景信息。设备信息则可进一步提示用户所用的设备类型或技术特征。

由于此次事件尚未确认存在密码泄露，与密码泄露事件相比，账户被直接接管的风险较为有限。不过，联系方式和位置数据可为社会工程攻击提供有力支持。攻击者可能以更改配送地址、退款、订单延迟、促销活动代码或账户更新为由，向用户索取更多信息。对于记录中包含电话号码的用户，诈骗电话和短信带来的风险更高。地理位置背景信息可能使消息看起来与用户居住或接受服务的地区相符。

记录中的已核实事件日期为2020年6月19日，该记录于2020年7月29日被加入已核实的数据泄露列表。受影响的唯一电子邮箱地址数量为 3,465,259。一些新闻报道可能引用约 340万、350万或更高的数字；本页面以查询所用的已核实唯一电子邮箱地址数量为准。已确认该数据集曾在网络论坛上流传，并与 Dunzo 数据相关联。

不应扩大此次事件的范围。在本记录中，密码、支付卡、银行账户、官方身份证件、实际地址、订单内容、药品购买记录和详细配送历史均不属于已核实的数据类别。地理位置字段并不意味着每位用户都有精确的 GPS 坐标；该字段也可能只表示范围较有限的区域或位置背景。因此，不应让用户误以为确切的配送地址或详细订单历史也在已核实的范围内。实际风险在于联系方式、设备、IP 和位置数据被结合使用。

风险最高的群体是通过 Dunzo 使用配送、杂货、包裹或同城服务的客户。记录中包含电话号码和电子邮箱地址的用户，可能收到虚假的配送更新消息或客服来电。姓名和位置背景信息可能使消息看起来像是基于真实的服务记录。对于在不同配送和购物账户中使用同一电话号码的人，遭到跨平台针对性攻击的风险会增加。

曾在 Dunzo 开展业务的印度城市接受服务的用户，可能更容易引起攻击者的注意。IP 和设备信息可以帮助攻击者根据特定设备或地区背景定制消息。由于尚未核实存在密码泄露，最初的重点不应是更改密码，而应是识别虚假通信。不过，如果 Dunzo 账户所用的密码在其他平台上也属于弱密码，建议使用独有密码并启用额外验证，以提升整体账户安全。此次事件尤其值得关注的风险是电话诈骗和 SMS 短信钓鱼。

应警惕以 Dunzo 名义发来的、出乎预期的配送、退货、促销、账户验证或付款更正消息。即使消息中的姓名、电话号码或位置准确，也不能证明消息安全可信。不要点击消息中的链接，而应通过官方网址或应用直接登录相关账户。如果来电者索取卡号、银行信息、一次性验证码、密码或身份证件，应停止操作。

应为电子邮箱账户启用双因素身份验证，并为所用电话号码启用垃圾信息过滤和诈骗拦截功能。可以检查 Dunzo 账户中可见的信息和通信偏好设置。由于此次事件尚未确认存在密码泄露，无须仅因这条记录就恐慌地更改所有密码；不过，为使用同一电子邮箱的重要账户设置独有密码，仍是良好的安全措施。对于所有与配送平台有关的消息，还应单独核实其中的付款请求和账户验证步骤。

从长远来看，应定期检查配送和购物账户中使用的电话及电子邮箱信息。为促销和配送服务使用单独的电子邮箱地址，而非主邮箱，可以减轻数据泄露对主要账户的影响。不应在不必要的账户中提供电话号码，应关闭旧账户，并尽量减少可见的个人资料字段。还应记住，IP、设备和位置等技术字段也属于个人数据。

对于平台运营方，Dunzo 事件表明，向第三方系统授予访问权限会给客户数据带来直接风险。应限制供应商的访问权限，按照最小权限原则管理客户数据访问，监控大批量导出活动，并避免不必要地保留电话和电子邮箱等联系方式数据。即使支付数据未受影响，联系方式和位置数据被滥用也会严重损害用户信任。

如果你在这条记录中看到匹配结果，你的电子邮箱地址可能出现在与 Dunzo 数据泄露事件相关的 3,465,259 个唯一电子邮箱地址之中。匹配结果并不意味着你的密码、支付卡或订单历史已经泄露。已核实的字段包括设备信息、电子邮箱、地理位置、IP 地址、姓名和电话号码。首先应更加谨慎地审视发送到该电子邮箱和电话号码的配送类消息。

不要直接打开以 Dunzo 或类似配送平台名义发送的链接；应通过官方渠道查看账户。对于电话中收到的付款、退款或账户验证请求，不要提供一次性验证码、卡片信息或密码。应对 Dunzo 数据泄露事件的正确方式，不是因未经核实的密码或订单历史泄露说法而恐慌，而是认识到联系方式和位置数据可能被用于针对性诈骗，并加强消息安全防范。