Facebook 数据泄露
Facebook 数据泄露事件是一起大规模的个人资料和联系信息泄露事件，相关数据于2021年4月广泛流传。该事件与用户搜索和电话号码匹配功能遭到滥用有关，据报道，这一功能漏洞已于2019年8月修复。经核实，受影响的账户共有509,458,528个。事件的核心在于，电话号码被关联到了真实姓名和社交平台上的个人资料。因此，风险并不局限于通过电子邮箱地址查找用户；对于电话号码仍在使用、且用于银行、工作、学校或个人账户的人而言，身份信息关联、定向诈骗和假冒客服询问的风险都会增加。
暴露的数据类型
8- 出生日期
- 电子邮箱地址
- 雇主
- 性别
- 地理位置
- 姓名
- 电话号码
- 婚恋状态
关于此次数据泄露
不应将此事件视为密码、支付卡、金融账户、健康信息或私人消息泄露。不过，由于电话号码、姓名、性别、所在地、出生日期、感情状态、雇主，以及部分账户的电子邮箱地址可以被一并查看，攻击者能够掌握足够的个人背景信息。这些信息可被用于 SMS 短信钓鱼、通过运营商尝试进行 SIM 换卡劫持、虚假招聘、以找回社交媒体账户为借口的诈骗，以及看似可信的身份验证请求。
泄露的数据类型与风险
已核实的数据类别包括出生日期、电子邮箱地址、雇主信息、性别、地理位置、姓名、电话号码和感情状态。这一数据集最关键的特点是大量记录包含电话号码；电子邮箱地址只出现在较少的一部分记录中，并非所有账户都有。未经核实的人数、数据字段和威胁行为者的说法，不纳入本事件的公开披露范围。电话号码与姓名相结合，为定制化消息、虚假物流通知、冒充银行发送的提醒和账户找回诈骗提供了有力基础。
出生日期、所在地和雇主等字段属于辅助信息，可以让攻击者的消息显得可信。感情状态和性别等个人资料字段本身并不能直接赋予攻击者访问金融账户的权限，但可以被用于筛选目标、施加社交压力和尝试说服个人。已核实的数据类别中不包含密码，并不意味着风险已经消除。如果电话号码仍未更换，攻击者可能已经掌握了账户找回页面或客服沟通中用于核实身份的部分信息。
已核实的范围与界限
泄露日期记录为2019年8月1日，核实后添加记录的日期为2021年4月4日，最后一次核实信息变更日期为2021年4月6日。受影响账户数量按509,458,528个计算。不同新闻报道中可能出现更高的原始统计数字；此处采用的数量基于查询和用户通知页面所使用的已核实记录数。泄露字段仅限于个人资料和联系信息；金融信息、健康信息、私人消息内容和密码均不在本事件已核实的范围内。
事件的根本原因是旧版用户搜索流程遭到滥用，该流程允许将电话号码与用户资料匹配。公司表示，已于2019年修改相关流程。不过，由于该数据集在2021年免费流传且可被广泛获取，不能认为风险早已结束。数据中的电话号码、姓名和个人资料背景信息，对大多数用户而言多年都未发生变化，因此安全影响可能长期持续。
风险较高的用户群体
风险最高的是在 Facebook 个人资料中填写了电话号码、且仍在使用同一号码的人。将电话号码用作银行、云服务账户、电子邮箱、工作系统或运营商业务身份验证要素的人，应更加谨慎。雇主、所在地或出生日期等字段可见的用户，也可能面临更具迷惑性的社会工程攻击尝试。对于电子邮箱地址也已泄露的少数用户，风险范围更广，因为电话号码和邮箱地址同时可见时，攻击者更容易针对他们实施账户找回和密码重置诈骗。
将旧号码转让给他人的用户也面临间接风险。如果数据集中的号码现在属于另一位用户，新号码持有人可能收到找错对象的电话或消息；此前的个人资料持有人则可能因号码过去的关联而遭遇身份混淆。小企业主、公职人员、内容创作者，以及通过电话与客户沟通的员工，个人信息的可见程度更高，因此遭遇信息滥用尝试的频率可能也更高。
紧急应对措施
首要任务是检查哪些账户仍将电话号码用作身份验证或账户找回工具。在可行的情况下，应优先使用身份验证应用或硬件安全密钥，而不是 SMS 短信验证。对于社交媒体账户，应检查谁能查到电话号码、谁能查看个人资料，以及账户找回选项是否已更新。收到陌生人发来的验证码、银行提醒、配送消息、工作邀约或客服来电通知时，应先通过该服务的官方渠道独立核实，再点击任何链接。
如果运营商账户提供针对补换 SIM 卡和携号转网的附加密码、到店身份核验等安全选项，应予以启用。受影响用户还应为关联同一电子邮箱地址的重要账户设置独立密码、启用安全性较高的双重身份验证，并检查会话历史记录。应结束 Facebook 账户中的陌生会话，检查受信任设备列表，并降低个人资料的可见范围。尽管本事件不涉及密码，攻击者仍可能利用掌握的个人资料信息，编造理由来请求重置密码。
长期安全策略
电话号码虽然是实用的沟通工具，却也像一个长期存在的身份标识。因此，与其在每项服务中都公开同一个电话号码，不如只在确有必要的账户中使用，这样更安全。应减少社交媒体个人资料中出生日期、雇主、所在地和感情状态等字段的公开程度。为工作账户和个人账户使用不同的沟通渠道，可以增加利用单一数据集关联多个账户的难度。
企业团队应考虑到员工电话号码和雇主信息可能在外部流传，因此在客服、人力资源和财务流程中，不应仅凭电话请求作出处理。在客户服务和技术支持工作流程中，出生日期、电话号码或地址等容易获取的信息，不应成为唯一的身份核验依据。个人用户则应养成定期检查隐私设置、更新账户找回选项、举报可疑 SMS 短信和更新双重身份验证等习惯，并将其作为长期坚持的日常防护措施。
记录查询与用户行动
查询结果并不意味着你的密码已经泄露，也不意味着有人已直接访问你的账户。不过，你仍应警惕发往你电话号码的定向消息、假冒客服来电、SIM 换卡劫持尝试和账户找回诈骗。应优先加强与电话号码关联的重要账户的双重身份验证，缩小个人资料的可见范围，并且不要向任何人透露意外收到的验证码。
如果查询未发现匹配，这仅意味着在本数据集中没有找到匹配记录；对于其他事件或较新的数据集，可能仍需另行查询。如果你已使用同一电话号码多年，在作出安全决策时，应考虑到旧的个人资料信息可能仍在流传。尤其是已经更换号码的用户，应检查旧号码是否已从账户找回选项中移除，并确保新号码仅用于必要的服务。本页面旨在以平实的方式说明哪些数据存在风险，以及应优先采取哪些措施。
