EyeEm 数据泄露

经核实，泄露的数据类型包括电子邮箱地址、姓名、用户名、个人简介和密码哈希。出售方宣称，该数据包包含 22,360,765 条账户记录，但据称其中约300万条没有电子邮箱地址。因此，可靠的影响范围指标是去重后识别出的 19,611,022 个唯一电子邮箱地址；这两个数字不能相加，也不能当作同一种统计指标。不能假定每条记录都包含上述全部五个字段。姓名、用户名和个人简介可以将一个人与其摄影作品关联起来，让定向网络钓鱼更具迷惑性。电子邮箱地址可用于发现关联账户，而密码哈希可用于离线猜测密码，并尝试登录复用了相同凭据的其他服务。支付卡和银行账户信息不在已核实的数据类型之列，因此不应将此事件描述为金融数据泄露。

据报道，账户信息于2018年2月从 EyeEm 的服务器被盗，之后与其他大型数据集一同被拿出来兜售。此事件于2019年2月11日公开；EyeEm 在次日通知客户，并强制重置账户密码。该记录所列的2月28日仅代表一个已知发生于该月的事件，并不能证明入侵发生的确切日期。据描述，受检记录中的密码以 SHA-1 哈希形式存储。可靠证据未能确定 EyeEm 是否为每个密码单独加盐，因此将这些哈希称为“已加盐”或“未加盐”都属于推测。SHA-1 的输出不是明文，但弱密码可能通过离线猜测被还原。最初获取访问权限的方式并未得到公开确认，因此在没有证据的情况下，不应将此事件归因于某个特定漏洞、第三方或员工行为。

在2018年2月之前创建过 EyeEm 账户、使用电子邮箱注册，或在个人资料中填写了真实姓名、用户名和个人简介的人，是主要的风险群体。姓名、网名和创作资料可以被组合利用，因此摄影师、视觉创作者和从事作品授权的专业人士可能会收到看似可信的欺诈性邀约。旧账户仍然与当前风险有关：其中的电子邮箱地址可以帮助识别其他平台上的账户，旧密码的构成模式可能有助于预测新密码，而个人资料细节则可以让消息更显可信。滥用方式可能不止于盗用账户，还可能包括虚假的版权通知、作品授权咨询、付款请求、作品集验证提示，或以密码重置为由套取新信息。账户被纳入数据集，并不能证明每个账户都遭到滥用，也不能证明每个密码哈希对应的密码都已被还原。数据泄露、密码还原和已确认的账户失陷是不同的结果。

EyeEm 在2019年实施的强制重置使旧密码在该平台上失效，但在复用了相同或相似密码的其他服务上，风险仍然存在。找出这些账户，为每个复用密码的账户设置一个高强度且独一无二的密码；使用密码管理器更便于持续做到这一点。从电子邮箱开始，为重要服务启用多因素身份验证，并检查账户恢复信息和活跃会话是否存在无法识别的变更。谨慎对待 EyeEm 通知、照片授权提案、版权主张和作品集相关邀约，核查发件人的真实域名及链接目标地址。不要打开意料之外的附件；登录时应自行输入服务网址，而不是点击消息中的链接。删除无法识别的邮箱转发规则、应用专用密码或账户恢复方式，结束不明会话，并查看近期安全活动。

事件发生已久，并不意味着泄露的身份信息失去了利用价值。电子邮箱地址和个人资料可能多年都未改变，旧数据集也可能与新收集的数据合并，用于建立定向攻击所需的用户画像。为每项服务生成不同的密码，在密码管理器中启用数据泄露和弱密码提醒，并优先使用身份验证器应用或硬件密钥进行多因素身份验证。使用不同的邮箱别名，可以帮助判断某个地址曾被提供给哪些服务，也更容易识别可疑邮件。个人简介只保留必要信息，也能降低社会工程攻击风险；没有明确必要时，不要公开个人住址、电话号码、出生日期或经常出现的地点。定期检查活跃会话、已关联应用和账户恢复设置，并关闭不再使用的账户。核实安全提醒时，应通过官方应用或直接输入的网址进行确认，而不是点击消息中的链接。

电子邮箱地址匹配，意味着该地址出现在2018年2月的 EyeEm 数据集中。这并不能证明账户仍未关闭、明文密码可以被查看，或账户已被盗用。请区分泄露发生的时间与2019年2月的公开披露时间，并确认旧密码是否曾在其他服务上复用。如果匹配到记录，应先保护您的电子邮箱，再保护可能使用了相同或相似密码的账户。未匹配到记录也不意味着绝对安全：您可能使用了另一个地址注册，有些记录没有邮箱地址，或者另一起事件尚未得到核实。将定期检查与密码管理器提醒、多因素身份验证和账户活动审查结合起来。对于可疑消息，应综合检查实际发件人域名、链接目标地址、是否催促您立即行动，以及是否要求提供密码或付款。这样，对 EyeEm 历史泄露记录的一次检查就能成为持续安全防护的一部分。