Evite 数据泄露

Evite 数据集中经核实的数据类别包括出生日期、电子邮箱地址、性别信息、姓名信息、密码、电话号码和实体地址。电子邮箱地址可被用于定向网络钓鱼、密码重置陷阱和账户匹配。姓名和电话号码可被用于制作针对个人的虚假客服、配送或活动通知。实体地址和出生日期会增加身份验证问题的答案被猜中、个人资料被补全以及遭受社会工程攻击的风险。

明文密码暴露是此次事件中最关键的风险。攻击者无需破解密码，就可以直接在其他服务上尝试使用同一密码。如果用户在电子邮箱、社交媒体、购物、工作账户或云存储服务中重复使用了相同密码，风险就不再局限于 Evite 账户。

Evite 的数据泄露日期应视为2013年8月11日，记录添加日期为2019年7月14日，受影响账户数为 100,985,047。此次事件涉及一个存有2013年及以前数据的历史数据库遭未经授权访问。因此，虽然事件于2019年向公众披露，但用户数据的来源时间更早。

不应超出经核实的数据类别作出判断。Evite 有证据支持的范围仅限于出生日期、电子邮箱地址、性别信息、姓与名、密码、电话号码和实体地址字段。不得将这七类以外的字段表述为已确定泄露的信息。密码字段已得到核实；在描述风险时，不应将范围以外的细节作为确定事实加入。

拥有 Evite 账户的人、过去收到过邀请的用户、多年来一直使用同一电子邮箱地址的人，以及在多个服务中重复使用相同密码的账户持有人，面临的风险更高。数据来自旧档案，并不意味着风险已经消失，因为即使多年后，攻击者仍可在不同网站上尝试使用这些被重复使用的密码。

数据中包含电话号码和地址信息的用户，应更加警惕与配送、活动、捐款、邀请或客服有关的虚假信息。出生日期和性别等字段可以让个人资料显得更加真实，从而使诈骗信息看起来可信。对于使用企业邮箱的人，风险还可能涉及以虚假会议邀请或商务联系为借口发送的信息。

查询结果与 Evite 数据匹配的用户，应更改所有使用相同或相似密码的账户密码。应优先处理电子邮箱账户、银行及支付服务、社交媒体、购物网站、云存储和工作账户。新密码应足够长，且每个账户都应使用不同的密码；如有条件，应使用密码管理器保存密码。

所有支持双因素身份验证的重要账户都应启用该功能，同时检查近期会话和已连接设备，并结束无法识别的会话。对于附带电话号码、地址和出生日期信息的意外来电、配送通知、账单、邀请、活动或客服信息，应通过其他独立渠道核实。如果没有更改所有曾重复使用旧密码的账户密码，风险就会持续存在。

从长期来看，为每个账户设置唯一密码、使用密码管理器以及启用两步验证，都是基本的防护措施。即使用户已经忘记旧的邀请服务或社交活动策划服务账户，只要这些账户的密码曾在其他服务中重复使用，它们就可能成为攻击者可用的密码尝试列表。用户应检查旧账户，关闭不再需要的账户，并及时更新重要账户的恢复信息。

对于个人联系方式和地址信息的暴露，不仅要从技术层面的账户安全角度关注，也要留意社会工程攻击风险。用户在打开以邀请、活动、捐款、配送或预订为主题的信息中的链接前，应核查发送者；组织也应告知员工，攻击者可以利用以往数据泄露中的个人信息，制作具有迷惑性的信息。

LeakData 查询会显示所查询的电子邮箱地址是否存在于 Evite 数据集中。查到匹配结果，表示该电子邮箱地址包含在此数据集中，评估风险时应考虑与该用户有关的已核实数据字段。这一结果并不能证明每位用户的所有字段都完整可用；但考虑到密码和身份数据带来的风险，它已足以提醒用户采取防护措施。

未查到匹配结果，仅表示在此数据集中没有找到匹配项，并不能排除该用户的信息出现在其他数据泄露事件中的可能性。查到匹配结果的用户应重置密码、启用双因素身份验证、检查旧会话，并更加警惕利用电话号码或地址信息实施的定向网络钓鱼。