Facebook Marketplace 2023年数据泄露事件

本记录列出的数据类型包括电子邮箱地址、地理位置、姓名、密码、电话号码和社交媒体个人资料。当电子邮箱、姓名、电话号码和个人资料 ID 同时出现时，就可能将用户在 Marketplace 上的身份与实际联系方式关联起来。地理位置信息会让涉及本地买卖、配送、定金、线下见面和商品信息核验的消息更具可信度。即使密码字段采用 bcrypt 哈希形式，弱密码或重复使用的密码仍可能带来账户被接管的风险。不过，目前尚未证实这些密码哈希值与相应的 Facebook 登录信息直接匹配，评估本记录时应考虑这一局限。主要风险包括与 Marketplace 有关的诈骗、个人资料关联、针对电话号码的攻击，以及密码重复使用带来的风险。

已核实的主要指标为77,267个不重复的电子邮箱账户。约200,000行 Marketplace 记录的说法指的是记录总量，并不等同于不重复的电子邮箱数量。数据类别仅限于电子邮箱、位置、姓名、密码哈希值、电话号码和社交媒体个人资料信息。支付卡、银行账户、官方身份证件、私信内容、商品发布信息的完整内容或商品购买历史，不在本记录已核实的数据类别之内。密码哈希值也存在一项重要限制：尚未核实它们是否对应相应的 Facebook 账户。因此，应提醒用户注意重复使用密码的风险，同时将此事件的讨论范围限定在 Marketplace 账户和个人资料关联方面。不应将本记录视为 Facebook 主要电话号码数据集的重复记录，而应使用独立的日期和数据字段进行追踪。

主要风险群体包括通过 Facebook Marketplace 买卖商品、分享电话号码、发布带有本地位置信息的商品信息，或公开使用个人资料身份进行交易的用户。本地购物者可能遭遇虚假定金要求、伪造的付款凭证、虚假配送通知、虚假的见面地点变更通知或账户核验消息。记录中包含电话号码的用户不仅可能收到电子邮件，还可能接到电话或收到短信。地理位置信息有助于攻击者以来自同一城市或地区的身份建立信任。由于记录中包含密码哈希值，在其他平台使用相同或相似密码的人面临更高风险。小企业主、经常出售商品的卖家，以及出售高价值商品的用户，也应更加警惕有针对性的诈骗消息。

如果你的电子邮箱地址出现在本记录中，请检查与 Facebook 和 Marketplace 相关的账户是否安全。如果你在其他服务中使用过相同或相似的密码，请更改这些密码。启用多因素身份验证。在 Marketplace 上买卖商品时，若收到涉及定金、配送、付款凭证、商品信息核验、电话号码核验或账户安全的消息，请先通过已知的网址直接访问账户，不要直接点击消息中的链接。即使来电者知道你的姓名、个人资料或位置，也不要透露一次性验证码、银行信息或账户密码。线下见面时，请选择安全、人多且有监控的场所。如果你的个人资料中显示了不必要的电话号码或位置信息，请收紧隐私设置。

本地交易平台账户将电话号码、位置信息与社交媒体个人资料身份结合在一起，因此可能带来长期追踪风险。用户应限制买卖账户中公开的电话号码信息，尽可能通过平台内的渠道沟通，并养成对高价值商品交易进行额外核验的习惯。每项服务都应使用独立的密码，并优先使用密码管理器。为防范定金和付款凭证诈骗，卖家在核实银行交易之前不应交付商品。平台方面，应严格管理承包商的访问权限、交易平台数据导出、电话号码和位置字段的保留期限，以及针对可疑批量访问的管控。用户应定期检查自己的电话号码和电子邮箱信息是否已与其他交易平台泄露的数据关联起来。

LeakData 查询会显示你的电子邮箱地址是否包含在 Facebook Marketplace 泄露记录中。如果查询结果显示你的电子邮箱地址在泄露记录中，这并不意味着你的支付卡、银行账户或私信已经泄露；已核实的风险范围仅限于电子邮箱、位置、姓名、电话号码、社交媒体个人资料信息和 bcrypt 密码哈希值。用户可采取的措施包括更改重复使用的密码、加强 Marketplace 账户安全、通过电话核实本地买卖请求，以及限制位置和个人资料的可见范围。本记录不同于 Facebook 主要电话号码数据集；因此，如果同一个人同时出现在两份记录中，风险可能叠加。攻击者可以将 Marketplace 信息与其他泄露事件中的电话号码、地址或密码数据关联，制作更具迷惑性的本地诈骗消息。