Exactis 数据泄露

Exactis 记录包含电子邮箱地址、全名、电话号码、实际地址、IP 地址和出生日期等可直接识别个人身份的字段。此外，列出的画像数据还包括信用状况、教育程度、族裔背景、家庭状况、金融投资兴趣、性别、住房拥有情况、收入水平、婚姻状况、净资产范围、职业、个人兴趣、宗教信仰以及使用的语言。这些信息组合在一起，可能使攻击者无需掌握任何密码，就能设计个性化诈骗、定向消息、冒充客服的电话或网络钓鱼场景。

这起泄露事件最关键的一点，是将单独看来影响可能有限的信息拼接到了一起。电子邮箱地址、电话号码和实际地址让他人更容易联系到一个人；收入、家庭和兴趣信息则能帮助判断，哪些承诺或施压手段可能更有说服力。因此，Exactis 数据暴露带来的风险，更多体现在社会工程攻击、定向广告滥用、诈骗和基于个人画像的歧视，而非账户被接管。

已核实的影响范围应按 131,577,763 个唯一账户计算。这一数字与关于更大规模原始数据的说法分开处理，也是用户查询页面采用的数值。泄露日期确定为 2018年6月1日，收录日期和最后修改日期均确定为 2018年7月25日。Exactis 的域名保留为 exactis.com，公司所在国家为美国，所属行业被归类为数据经纪和营销数据。

在 Exactis 事件中，密码、支付卡、银行账户或社会保障号码等字段不属于已核实的数据类别。但这并不意味着风险很低。信用状况、收入、地址、家庭和信仰等画像字段结合后，可能使当事人更容易遭受利用密保问题、定向诈骗流程或冒充机构的信件实施的攻击。因此，考虑到风险水平、记录数量和画像的详细程度，该事件的风险等级仍被列为严重。

最可能受到这起事件影响的，是被纳入美国消费者画像或营销名单的个人。即使从未使用过 Exactis，由于其数据经纪业务模式，个人的姓名、电子邮箱地址或地址也可能已从第三方名单中被收集。因此，是否存在风险，并不取决于是否拥有传统意义上的实际用户账户。

经常参与销售、房地产、金融、健康、教育或募捐活动的用户，可能更容易成为目标。同样，长期使用同一电话号码和电子邮箱地址的人，其旧画像字段仍可能被用于诈骗尝试。婚姻状况、职业、收入和兴趣等数据，可以帮助攻击者让消息显得更贴近个人情况、更有说服力；因此，尤其需要谨慎对待通过电话、短信和电子邮件收到的请求。

由于 Exactis 记录中没有已核实包含密码的数据类别，首要行动不应仅限于修改密码。用户首先应更严格地审查发送到其电子邮箱、手机和实际地址的意外请求。对于以金融、货运、政府机构、保险、学校、慈善活动或续订服务为由发来的消息，在点击任何链接之前，都应通过相关机构的官方沟通渠道核实。

电子邮箱账户应使用高强度且不与其他账户重复的密码，并在支持的情况下启用多因素身份验证。对于手机运营商账户，应为 SIM 卡更换、号码携转和客服业务设置额外的 PIN 或安全密码。由于 Exactis 数据包含地址和电话信息，面对虚假的配送通知、债务通知、投资邀约或调查电话时，不应直接提供信息；对于要求填写出生日期、收入和家庭信息的表格，也应谨慎评估。

当个人信息因这类数据经纪商而暴露时，长期策略应着重于让个人画像更难被再次利用，而不只是修复某一个账户。用户可以考虑为金融、购物、社交媒体和电子简报分别使用不同的电子邮箱地址，而不是所有服务都使用同一个地址。如果某项服务仅用于参加活动或试用，使用单独的地址而非长期使用的主邮箱，可以降低日后被关联匹配的风险。

应定期检查信用报告和金融交易，并启用能够针对新账户开立或可疑查询提供通知的服务。可以查看数据经纪商提供的官方名单移除申请表，但应记住，这些流程并不总能带来永久效果。最有力的防范措施，是在收到意料之外的联系时不仓促作出决定，不在不必要的表格中填写个人画像信息，并为高价值账户采用额外验证。

在 LeakData 的 Exactis 查询结果中发现自己信息的用户，应将这条记录视为详细个人画像的暴露，而非密码泄露。电子邮箱地址、电话号码、地址和人口统计字段同时出现，可能让攻击者更容易尝试发送有说服力的钓鱼消息、拨打个性化电话或猜测密保问题的答案。因此，看到警告后，应检查所有使用同一电子邮箱地址和电话号码的重要账户，而不只是查看相关网站。

查询后最适合采取的措施包括：加强电子邮箱账户的安全性、启用多因素身份验证、为手机运营商账户添加额外安全码、监控金融交易，以及避免回应突如其来的联系。对于寄到实际地址、看似来自官方的信件，通过电话索要验证码的请求，以及询问个人详细信息的调查，也应仔细审查。Exactis 记录应被视为影响重大的数据泄露：即使身份验证信息并未泄露，它也表明个人的数字和线下联系渠道可能成为攻击目标。