Foodora 数据泄露

本记录中已确认的数据类型包括电子邮箱地址、姓名、电话号码、实际配送地址和密码。密码并非以明文存储，而是以 bcrypt 或加盐 MD5 哈希的形式存储。bcrypt 被认为是一种较强的密码哈希方法，而基于 MD5 的哈希则较弱。如果用户选择的密码较短、容易被猜到，或也用于其他账户，即使采用哈希存储，也无法完全消除风险。

对于餐饮配送服务，配送地址和电话号码尤其重要。攻击者可以利用这些信息制作虚假的订单通知、配送变更通知、优惠券、退货消息、客户满意度调查或账户验证消息。如果消息中的姓名、地址和电话号码都准确无误，就可能显得更可信。因此，Foodora 数据泄露不仅带来密码安全风险，还带来基于实际地址和电话号码的社会工程攻击风险。

经核实，不重复的电子邮箱地址数量为582,578。记录中的事件日期为2016年4月22日，涉及 Foodora 餐饮配送服务。据报告，该数据集覆盖多个国家。已核实的主要字段包括姓名、电子邮箱、电话、配送地址和密码哈希。记录数量应按不同的电子邮箱账户计算，不能假定原始记录或订单明细的数量与用户数量完全相同。

在本记录中，支付卡号、卡片安全码、银行账户、官方身份证明、出生日期或私信内容均不属于已核实的数据字段。用户不应把支付卡数据已泄露当作事实，而应重点防范利用配送地址和电话信息进行的虚假联络、针对账户的试探性攻击，以及密码重复使用带来的风险。未核实的字段不应加入文本，但也不应低估已泄露字段的实际影响。

风险最高的是在其他账户上重复使用 Foodora 账户密码的客户。如果电子邮箱、购物、社交媒体、订餐或非支付类服务使用了同一密码，账户遭到尝试入侵的风险就会增加。留有配送地址和电话号码的用户可能成为虚假快递或餐饮配送骗局的目标。即使用户已不记得过去的订单，同一套联系方式仍可能多年有效。

在多个国家使用过 Foodora 服务，或在旅行期间下过单的用户，可能不清楚受影响的是哪个国家的账户。在这种情况下，需要核查过去曾在哪些配送服务中使用过这些电子邮箱和电话信息。如果地址信息已变更，风险可能有所降低；但如果电子邮箱和电话号码仍在使用，攻击者就可以在新的诈骗活动中再次利用这些信息。

应立即更改 Foodora 账户的密码。如果其他账户也使用了同一密码，应为这些账户分别设置独有的密码。尤其要保护好电子邮箱账户，因为餐饮配送和购物账户的密码重置链接通常会发送到邮箱。如果电子邮箱账户尚未启用双因素身份验证，应将其启用。与旧 Foodora 密码相似的密码也应更改。

收到涉及餐饮配送、优惠券、退款、地址验证或订单取消的消息时，应先通过官方应用或域名核实，再点击任何链接。来电者知道你的姓名、地址或以往订单的情况，并不能证明其可信。对于要求提供密码、一次性验证码或卡片信息，或要求额外付款的请求，应通过另一个独立渠道核实。不必过度恐慌，应把重点放在账户安全和确实存在风险的虚假联络场景上。

Foodora 事件表明，为餐饮配送及类似日常服务的账户设置独有密码非常重要。用户现在应关闭不再使用的配送服务账户，减少保存的地址和电话信息，并为每项服务使用不同的密码。即使旧配送地址因搬家或换工作而失效，攻击者仍可能长期利用电子邮箱和电话信息。

从服务提供商的角度看，客户数据的保留期限应仅限于完成订单所必需的时间，密码存储应采用强算法保护，并应严格监控跨国系统中的访问权限。应优先选择 Bcrypt 等强度较高的方法，不应使用旧的基于 MD5 的哈希。当配送地址、电话号码和姓名同时出现时，即使它们不属于支付数据，也可能对用户安全产生很大影响。

如果你的电子邮箱地址出现在本记录中，请检查 Foodora 或相关餐饮配送账户所使用的密码。凡是使用相同或相似密码的账户，都应改用各自独有的密码。为电子邮箱账户启用双因素身份验证，并检查餐饮配送应用中保存的电话和地址信息。对于意料之外的订单、优惠券、退款或地址验证消息，应直接通过官方渠道核实。

在 Foodora 数据泄露事件中，尚未核实是否涉及支付卡或银行账户信息；但姓名、电子邮箱、电话、配送地址和密码哈希的组合仍构成严重风险。最恰当的做法是停止重复使用密码，加强电子邮箱账户的安全防护，警惕以配送为主题的网络钓鱼消息，并减少旧订餐账户中不必要的个人数据。这些措施既能降低对 Foodora 账户的直接影响，也能降低其他曾使用相同密码的账户所面临的风险。