FlexBooker 数据泄露

本记录中经核实的数据类型包括电子邮箱地址、姓名、电话号码、密码和部分信用卡信息。主要风险在于大规模泄露的联系方式与预订信息相结合。电子邮箱和电话号码可被用于发送虚假的预约提醒、取消通知、支付信息更新、订金、服务费或客户记录核实消息。姓名信息会让这些消息更具迷惑性。

据报告，密码哈希值和部分信用卡数据并非涉及所有用户，而是仅涉及较小的一组账户。区分这一点很重要。部分信用卡数据通常不代表完整卡号或信用卡安全码，但攻击者可能利用其中的一些卡片信息，让虚假的支付信息更新消息显得可信。对于使用弱密码或重复使用密码的用户，密码哈希值泄露也会增加账户被盗用的风险。

经核实，受影响的不重复账户数量为3,756,794个。记录中的事件日期为2021年12月23日，涉及 FlexBooker 在线预订平台。电子邮箱、姓名和电话号码字段构成主要影响范围。密码哈希值和部分信用卡字段仅涉及有限数量的账户。据报告，该事件源于一个遭到入侵的云服务账户，属于服务提供商一侧的访问安全问题，而非用户一侧的问题。

本记录未包含完整信用卡号、信用卡安全码、银行账户、官方身份证件、健康记录、实际地址，也没有经核实包含私信内容的数据字段。用户应在这一范围内评估风险。最切实的风险包括虚假的预订或支付消息、通过电话实施的社会工程攻击、反复尝试密码登录，以及利用部分信用卡信息实施的诈骗尝试。

风险最高的是曾通过使用 FlexBooker 的商家进行预约或预订的用户。他们可能是在美容店、培训机构、咨询顾问、服务提供商或本地商家处完成预订，因此不一定认得平台名称。电子邮箱和电话号码泄露的用户可能会收到虚假的预约变更、服务取消、预付款、订阅续费或客户资料更新消息。

对于密码哈希值泄露的少量用户，这还会带来额外风险。如果他们在其他账户上使用相同的密码，攻击者可能尝试在不同服务上使用这组登录信息。部分信用卡数据泄露的用户不必误以为整张卡的信息都已泄露而过度恐慌，但应保持银行通知开启，并警惕与信用卡有关的虚假核实请求。对于来电时声称掌握以往预约信息的人，也应核实其身份。

如果你曾通过 FlexBooker 或使用该系统的商家创建账户，请更改该账户的密码。如果其他账户也使用了相同密码，也应为这些账户分别设置独一无二的密码。应为电子邮箱账户开启两步验证，并保持安全通知开启。收到有关预约、付款、订金或取消事项的意外消息时，应通过商家的官方渠道联系，而不是点击消息中的链接。

如果你认为自己的部分信用卡信息可能受到影响，应留意信用卡交易记录，开启银行应用的通知，并在发现任何不明交易时立即向银行报告。由于尚未确认完整卡号或信用卡安全码遭到泄露，并非每种情况都需要立即注销信用卡；但务必警惕虚假的支付信息更新消息。来电者知道你的姓名或以往预订信息，并不能证明其可信。

FlexBooker 事件表明，预订和预约平台可能代表不同商家保存大量客户数据。从长远来看，用户应为每项预订服务使用独一无二的密码，加强电子邮箱账户的安全保护，并尽量减少向预约服务提供的联系方式。不再使用的账户应予以关闭，同时应检查旧预订平台是否仍在保留已登记的电话号码和支付信息。

对于服务提供商，云账户安全、访问密钥管理、最小权限原则以及对异常数据下载活动的监控都至关重要。预约系统看似只是日历服务，却保存着有价值的数据集，其中的客户姓名、电话号码、电子邮箱地址及支付相关信息会增加诈骗风险。因此，数据最小化、严格的访问控制和及时通知客户应成为长期安全策略的一部分。

如果你的电子邮箱地址出现在本记录中，请回想自己是否曾在使用 FlexBooker 的商家处进行过预约或预订。更改相关账户使用的密码，并更新其他使用相同密码的账户。收到预约取消、支付信息更新、服务费或客户资料核实消息时，不要点击其中的链接，而应直接通过商家的官方联系方式联系。

FlexBooker 数据泄露事件的主要风险是电子邮箱、姓名和电话号码大规模泄露；密码哈希值和部分信用卡数据仅涉及有限的一组账户。最合适的应对方式是停止重复使用密码，为电子邮箱账户开启双重身份验证，留意信用卡交易，并谨慎核查预订相关消息，防范诈骗。这种做法着眼于实际风险，避免因误以为完整信用卡数据已经泄露而产生不必要的恐慌。