Gab 数据泄露

未经核实的涉及人数、数据字段及威胁行为者的说法，不纳入本次事件的公开披露范围。姓名和头像信息也让同一用户资料更容易被识别。即使仅凭这些字段不足以实施金融诈骗，它们仍能为定向网络钓鱼、伪造安全通知、损害声誉和尝试接管账户提供有力的背景信息。社交网络用户名往往长期不变，因此，即便是旧的数据泄露，也可能有助于匹配当前的用户资料。

与明文密码相比，以 bcrypt 哈希格式存储密码字段能提供更强的保护。不过，弱密码、过短的密码或重复使用的密码仍然存在风险。如果其他账户使用了相同密码，攻击者就可能利用旧泄露数据发起新的登录尝试。不能认为每位用户的消息内容都已得到核实，但查到匹配记录的用户不应忽视私密通信面临的风险。

本条目中，已核实的唯一电子邮箱匹配记录数应保持为 66,521。大型数据档案包含数百万个账户及公开可见内容，这是另一层背景信息；不应将这一数量直接作为可通过电子邮箱地址查询到的人数。这里的记录数指具有电子邮箱地址的唯一匹配记录数。同一个人可能拥有多个账户，而有些账户可能完全没有电子邮箱地址和密码字段。

已核实的数据类别包括头像、电子邮箱地址、姓名、密码、私信和用户名。不应在此列表中加入电话号码、实体地址、支付卡、官方身份证件号码、出生日期或银行数据。私信字段也应理解为仅表明档案中存在少量聊天记录，不应据此假定每条记录都有私信泄露。明确这一限制，可以让用户同时了解实际风险和仍不确定的部分。

风险最高的是在其他社交网络、论坛、电子邮箱或内容发布账户中，重复使用 Gab 账户电子邮箱地址、用户名或密码的用户。在不同平台上沿用同一用户名，会让各平台的用户资料更容易被关联。攻击者结合社交网络账户的姓名、头像和用户名后，可以设计出更具迷惑性的假通知和密码重置尝试。

因私信或社交内容的性质而不希望公开露面的用户同样面临风险。即使账户注册已久、不再活跃或已被弃用，此前使用的用户名和电子邮箱地址仍可能被用于关联其他账户。因工作、家庭、社群或媒体曝光而处于敏感境况的人，不仅应考虑密码安全，还应关注用户资料被关联及伪造通信的风险。

电子邮箱地址出现在此次泄露中的用户，应确保其他任何账户都不再使用 Gab 账户所用的密码。如果不同账户曾使用相同或相似的密码，所有相关账户都应改用足够长、独一无二且难以猜测的密码。使用密码管理器能让这一过程更可靠。修改密码时，不应认为只在末尾添加年份、符号或小写字母就已足够。

应为电子邮箱账户和社交网络账户启用双因素身份验证。如果账户活动记录中出现陌生设备、非预期的会话、密码重置通知或可疑的安全消息，应结束相关会话，并检查用于账户恢复的电子邮箱和电话号码设置。用户如果收到涉及私信内容或个人资料的勒索、威胁或误导性消息，应先通过独立渠道核实消息的真实性，再点击任何链接。

社交网络账户的长期安全策略不应仅限于修改密码。如果不同平台上的用户名、头像和电子邮箱地址始终相同，账户就很容易被关联。注重隐私的用户应优先在不同服务中使用独立的电子邮箱地址和不同的用户名模式。不再使用的账户应予以注销；对于无法注销的账户，应尽量减少个人资料字段中的信息，并使用独一无二的密码。

当服务提供方在同一事件中泄露了私信、个人资料和密码哈希时，事件响应应更加审慎。安全的密码存储、访问控制、数据分区、定期安全测试及面向用户的通知流程，都是基本要求。通知中应将含有电子邮箱地址/密码的已核实记录数与整个档案的广泛范围分开说明。这一区别能帮助用户作出正确决定，既不恐慌，也不低估风险。

在针对违规行为进行记录核验时，结果会显示输入的电子邮箱地址是否存在于这份已核实的数据集中。如果查到匹配记录，应结合电子邮箱地址、用户名、姓名、头像、密码哈希以及少量私信所带来的风险进行评估。如果未查到匹配记录，则意味着在这个特定的电子邮箱匹配记录集中没有找到记录；这并不能证明该人没有以其他用户名出现在更大的档案中，或未涉及其他事件。

正确的做法是彻底弃用旧密码，更换所有重复使用的密码，为电子邮箱账户和社交网络账户启用多因素身份验证，检查可能导致用户资料被关联的重复用户名，并警惕可疑消息。即使是旧的数据泄露，只要社交网络身份、电子邮箱地址和密码信息同时出现，仍可能带来当前的风险。