Figure 2026年数据泄露事件
2026年2月，金融科技与信贷服务平台 Figure 在2026年1月的记录被擅自公开，Figure 数据泄露事件因此引起关注。已核实的范围为 967,178 个不重复的电子邮箱地址。该数据集包含可直接关联到个人的字段，例如全名、电子邮箱地址、电话号码、实体地址和出生日期。公司确认了此次事件，并表示访问权限是在一名员工受到社会工程学手段诱导后被获取的。因此，与典型的密码泄露不同，评估此次事件时，应关注可能针对金融服务客户的身份验证和欺诈风险。
暴露的数据类型
5- 出生日期
- 电子邮箱地址
- 姓名
- 电话号码
- 实际地址
关于此次数据泄露
对于关注信贷、融资、投资或数字金融服务的人来说，在 Figure 注册尤为重要。已核实的数据字段不包括密码、支付卡号、银行账户、客户资金、社会保障号码或信用评分。不过，姓名、地址、电话号码和出生日期等字段集中在同一个文件中，可能让攻击者设计看似针对特定个人的搜索、消息和账户验证场景。以金融机构名义发来的通信如果准确使用了这些详细信息，可能会让用户误以为消息真实可信。
泄露的数据类型与风险
此次泄露中已确认的数据类型为全名、电子邮箱地址、电话号码、实体地址和出生日期。单独来看，这些字段带来的账户访问风险可能不如密码那样直接；但结合起来，它们能构成详细的个人画像，用于身份匹配和定向社会工程学攻击。电子邮箱地址可能被滥用于联系用户，电话号码可用于电话或短信活动，实体地址则可被用来营造确有客户关系的印象。出生日期还可能帮助攻击者猜测呼叫中心常用的身份验证问题。
在 Figure 事件中，由于密码或支付卡字段未经核实，主要风险更偏向于身份验证、冒充客服的来电，以及对金融决策的操纵，而非账户接管。攻击者可能以信贷申请、账户审核、付款计划、身份验证或文件更新为借口联系个人。知道用户姓名、地址和电话号码的人，可以装成真正的公司代表。因此，即使没有可直接登录金融账户的信息，也需要对此次事件保持高度警惕。
已核实的范围与边界
这条记录中经核实的电子邮箱地址去重后共计 967,178 个。事件发生日期为2026年1月28日，相关记录于2026年2月公开。这些数据与 Figure 平台有关，公司也已承认访问权限是通过社会工程学手段获取的。这一区别很重要，因为用户面临的风险不仅与技术漏洞有关，也涉及内部访问流程可能受到操纵的情况。
这条记录中已核实的字段仅限于个人联系信息和身份信息。密码、密码哈希值、支付卡详细信息、银行账户、信用报告、信用评分、官方身份证件、客户资金或交易余额均不属于已核实的数据类别。用户应在采取行动时注意这一范围限制：不必因未出现的字段而恐慌，仿佛它们也已泄露；但也不能忽视，姓名、地址、电话号码和出生日期的组合，可能在金融诈骗尝试中成为有力的说服因素。
面临风险的用户群体
风险最高的群体，是曾通过 Figure 接触信贷、融资、住房相关金融产品或数字金融服务的人。即使只是通过平台获取信息的用户，也可能已经提供了电子邮箱、电话号码和地址信息。此外，正在积极寻找金融服务的人，可能更容易迅速回应虚假的信贷审批、账户安全、文件缺失、利率变动或付款计划更新等消息。
对于电话号码和出生日期包含在记录中的用户，风险不止于电子邮箱中收到的传统钓鱼消息。通过语音通话、短信和即时通信应用进行的联系，可能显得更有说服力。在银行、信用卡、投资、加密货币、保险和电子政务等账户中使用同一电话号码的人，尤其需要小心。地址信息的加入，也让攻击者更容易编造符合用户居住区域或收货历史的情境。
应立即采取的措施
如果您有与 Figure 关联的账户，请先检查账户的登录历史和安全设置。即使这条记录中没有经核实的密码字段，也应为使用同一电子邮箱地址的金融账户启用双因素身份验证。由于电子邮箱账户是金融服务密码重置的枢纽，为其设置强度高且不与其他账户重复的密码至关重要。如果发现不认识的设备、意料之外的密码重置通知，或并非您提交的申请，请直接联系相关机构的官方支持渠道。
如果通过电话或电子邮件收到信贷、账户验证、文件更新、付款计划或安全检查请求，不要通过对方提供的链接办理。不要点击消息中的链接，而应自行在浏览器中输入机构的域名登录，或使用正式注册的官方应用。即使来电者知道您的姓名、地址或出生日期，也不能仅凭这一点认定对方可信。凡涉及金融交易、身份证件照片、一次性验证码、密码或付款的请求，都必须通过另一个独立渠道核实。
长期安全策略
此次事件表明，金融服务中的社会工程学风险不仅可能针对用户，也可能针对员工。为获得长期保护，用户应养成为每个金融账户设置独立密码、启用高强度的双因素身份验证并定期检查会话的基本习惯。电子邮箱地址和电话号码往往多年不变，因此一旦这些信息被公开，就可能在不同活动中被反复利用。所以，不仅在事件发生期间，之后数年内也应认真对待可疑通信。
在企业层面，金融科技公司需要按照最小权限原则限制员工访问权限，实时监控异常数据访问，并通过额外的验证步骤防范社会工程学攻击。客户数据的保护关系到金融服务中的信任；因此，姓名、地址、电话号码和出生日期等字段即使不直接包含支付信息，也应得到高标准的保护。事件发生后保持透明沟通、明确说明影响范围，并为客户提供可操作的安全措施，对降低风险非常重要。
记录核查与用户行动
如果您的电子邮箱地址出现在这条记录中，请检查您过去与 Figure 或相关金融服务的往来。如果您有账户，请检查安全设置、启用双因素身份验证，并加强电子邮箱账户的保护。请在使用同一电话号码和电子邮箱地址的金融平台上启用通知设置。如果收到意料之外的信贷申请、地址变更、文件索取或账户安全消息，请使用该机构的官方渠道，而不是消息中的链接。
即使已核实的数据字段有限，数据泄露仍可能带来与金融身份有关的风险。未包含密码或支付卡，是用户需要了解的重要范围边界；但姓名、地址、电话号码和出生日期的组合，仍可能帮助攻击者准备具有说服力的对话。最妥当的做法是：为所有金融账户使用强身份验证，绝不向任何人透露一次性验证码，对催促立即处理的请求先暂停操作，再通过另一个独立渠道核实，并牢记个人信息可能在日后的不同诈骗尝试中被反复利用。
