Fotolog 数据泄露与邮箱查询

经核实的数据集包含电子邮箱地址、用户名和未加盐的 SHA-256 密码哈希。当时一份针对待售的五个 Fotolog 数据库的技术审查还报告称，其中包含全名、地理位置、兴趣及其他个人资料，以及安全问题和答案。公开的数据泄露信息来源 报告的16,717,854个地址代表外部报告的事件范围；LeakData 则有16,231,463条可查询且有源文件依据的电子邮箱关联记录。该数字不能证明每条记录都属于不同的人，也不能证明每个账户都包含所有额外字段。将邮箱、用户名、姓名和个人资料结合起来，可能为定向网络钓鱼提供帮助，也可能用于关联其他平台上的账户。在其他服务中重复使用安全问题的答案，可能削弱这些服务的密码重置机制。密码哈希并非明文，但快速且未加盐的哈希方案抵御离线猜测的能力较弱，尤其是在密码较短、常见或曾经泄露的情况下。

据报道，Fotolog 账户数据于2018年12月被窃取，并于2019年2月在犯罪交易市场上作为独立数据包出售，与据称来自其他多家组织的数据库一同上架。卖家宣称，Fotolog 数据包包含五个数据库，总大小约为5.9 GB，包含超过1600万条账户记录。尽管卖家声称利用了不同网站的 Web 应用程序漏洞，但公开证据并未确定 Fotolog 的具体入侵入口、受影响系统或攻击链；因此，不应将远程代码执行表述为已确认的根本原因。公开的数据泄露信息来源 报告的事件范围为16,717,854个不重复的电子邮箱地址；这一数字并非 LeakData 有源文件依据的关联记录数量。这是一个独立数据库，可直接对应 Fotolog 的账户结构，而不是通用的凭据合集。该服务于2019年关闭，其域名后来被改作他用；如今没有 Fotolog 账户入口，并不意味着历史数据带来的风险已经消失。

风险最高的是那些在邮箱、社交媒体、照片服务或其他账户上重复使用2018年 Fotolog 密码的人。未加盐的 SHA-256 密码哈希会使相同密码生成相同的哈希值，并允许攻击者高速测试常见密码列表。哈希值不会直接显示密码，而较长且独一无二的密码仍然更难被还原。较短、基于词典或曾在泄露事件中暴露的密码则明显更容易被猜出。在其他服务上重复使用安全问题答案的人，也面临密码重置和账户恢复流程遭到攻击的风险。将全名、位置、兴趣、用户名和邮箱结合起来，可以帮助犯罪分子编造提及旧照片或相关社群背景的消息。

如果您还记得旧的 Fotolog 密码，请找出所有仍在使用相同或相似密码的账户，并为每个账户换用较长且独一无二的密码。优先处理主邮箱、社交网络、云端照片存储，以及保存了支付方式的服务。如果您重复使用过 Fotolog 的安全问题答案，请尽可能在所有使用该答案的地方更改它；应选择难以预测的随机答案并将其保存在密码管理器中，而不是使用真实的个人经历信息。检查不熟悉的邮箱会话、账户恢复邮箱地址和转发规则，然后启用多因素身份验证。不要轻信声称可以恢复旧 Fotolog 照片、重新开通账户、处理版权投诉或验证个人资料的消息；犯罪分子可以利用这一历史品牌和真实用户名行骗。由于原服务已不再运营，对任何提供 Fotolog 账户重置链接的消息都应格外警惕。

使用密码管理器，为每项服务生成随机且独一无二的密码，避免一个哈希被还原后波及其他账户。在邮箱和关键服务上保持启用多因素身份验证，并在可用时优先选择抗网络钓鱼的安全密钥或基于设备的验证方式。永久停用旧的 Fotolog 密码及其安全问题答案；稍作拼写改动后继续使用，并不能提供实质性的保护。请记住，社交资料中可见的位置、兴趣和历史用户名可以被用于定制钓鱼消息，因此应减少不必要的信息公开。继续通过泄露查询监测旧邮箱地址，并通过独立渠道核实意外收到的密码重置提醒。已关闭服务的数据可能无限期流传，因此，持久有效的安全计划必须涵盖多年前使用过的凭据和身份信息，而不只是当前账户。

使用本页的安全查询框，检查您可能在 Fotolog 上使用过的所有当前及历史邮箱地址。匹配结果表示该地址属于 LeakData 从源文件中验证的16,231,463条可查询电子邮箱关联记录之一；这并不能证明密码已被还原、其他账户已遭访问，也不能证明该用户的每项个人资料字段都存在。如果查到匹配结果，请检查曾使用2018年前后密码或安全问题答案的其他账户，彻底停止所有仍在持续的重复使用，并检查邮箱安全。未查到结果也不能提供绝对保障，因为地址可能采用了不同写法，数据集可能遗漏了某条记录，或者该地址仍可能涉及其他泄露事件。只在查询框中输入支持的标识信息；切勿提供密码、密码哈希、安全问题答案、一次性验证码或支付信息。定期重新查询旧地址，可能发现事件发生多年后才得到核实的数据集。如果收到意料之外的警告，请勿点击其中的链接，而应通过独立途径直接访问相关服务。