GhostMarket.net 2009年数据暴露的说法

日期仅以年份精度存储。数据库中的2009年1月1日只是2009年这一年份的技术表示，并不意味着事件发生在1月1日。内部元数据将2009年标为“泄露日期”，而 SQL 导出文件头记录的生成时间为2009年7月。数据库转储的生成时间可以说明导出文件何时生成，但不能独立确定数据暴露日期。公开元数据中对2009年的提及，印证了该实体的运营时期，却不能将非公开数据的暴露时间确定到某一天。因此，breachDatePrecision 为 year，具体日期仍然未知，1月1日这一表示也被明确说明为技术表示。如果将来出现第一手来源，可以据此另行复核日期。

来源是一份完整的 3,728,860 字节 7z 归档。其 SHA-256 标识已封存，并且通过了完整的 7z 完整性测试。归档中的全部四个常规成员文件均已提取，并依据文件大小和 SHA-256 分别进行了独立绑定。这些文件包括一个通用的 Breached_Info 元数据文件、一个包含 GhostMarket 背景信息和样本的 Info 元数据文件、一份 phpBB 用户表的 CSV 表示，以及一份包含八个 phpBB 表的 MySQL 转储。未发现嵌套归档，来源载荷也未被修改。对说明性文件的评估使用了不含 PII 的计数值和结构标签，而没有将其视为批量账户数据。这一区分避免了将成员文件可读这一事实，误解为可以导入其中每个词元的依据。

电子邮箱映射仅依据明确的数据库模式定义。MySQL DDL 直接将 phpbb_users.user_email 和 phpbb_banlist.ban_email 定义为电子邮箱字段。其他名称中含有“email”的列，包括 user_email_hash、user_emailtime、user_allow_viewemail 和 user_allow_massemail，表示的是哈希值、时间戳或偏好设置标志，不会作为地址导入。在其他位置的用户名、消息主题、帖子、即时通信标识符和配置值中，有九十二个完整字段值碰巧看起来像规范化的电子邮箱地址，但这些字段不具有账户电子邮箱的语义，因此被排除。选择映射方式时，未采用目录计数拟合、目标计数调优或不受限制的原始词元采集。仅接受了 DDL 明确定义的电子邮箱字段。

两个独立编译的读取程序解析了 505 条 INSERT 语句中的全部 34,014 行 SQL 数据，未出现结构错误。两者生成了相同的有效电子邮箱出现序列，共 3,281 次；输出同为 71,823 字节，SHA-256 标识也完全一致。行宽不匹配、语句未终止、扫描器故障和解析器错误的数量均为零。去除重复出现项并执行严格的 ASCII 电子邮箱验证后，剩下 3,271 个已排序、去重的规范化地址。phpBB 用户 CSV 中明确的 user_email 列经独立处理后得到 3,280 次出现，形成的规范化地址集同样包含 3,271 个地址，且与前者完全一致。CSV 和 SQL 生成的规范化文件在字节层面完全相同。CSV 不会再次导入，而是保留为等价表示的证据，以免仅因同一张表以两种来源格式出现，就将同一账户写入两次。

Info 元数据成员文件包含两个看似电子邮箱地址的原始词元。其中只有一个属于明确的账户电子邮箱集合。另一个出现在元数据或样本文本中，无法绑定到具有权威定义的账户电子邮箱字段。因此，Info 成员文件未被选为电子邮箱来源，并记录了一项标记为 NON_AUTHORITATIVE_METADATA_SAMPLE 的遗留问题。通用的 Breached_Info 成员文件既不包含电子邮箱字段，也不包含 @ 符号。CSV 表示被绑定为 DUPLICATE_REPRESENTATION_SET_EQUAL。映射覆盖状态有意保留为 PARTIAL，因为这些分类并不表示归档中的所有文本或整个历史事件的记录都是完整的。不过，纳入的地址均有明确的 DDL 定义和独立核查所得的规范化集合一致性作为充分依据。

来源包含用户名、IP 地址、密码哈希、论坛帖子和私信表，因此本记录将这些类别列入范围说明。本次 LeakData 操作仅导入电子邮箱地址。此任务不会将密码、IP 地址、用户名、帖子内容或私信内容写入 Mongo 关系。totalRecords 记录的是来源中的 3,331 行账户数据。canonicalEmailCount 和 affectedCountLowerBound 均为 3,271，但该数字并非去重后的受影响人数。一个人可能控制多个地址，一个地址也可能由多人共用或已不再使用。确切的受影响人数仍然未知，因此 pwnCount 为 null。3,271 仅代表在明确的电子邮箱字段中核实的、去重后的规范化地址数量下限。

读者应注意三个区别。第一，公开元数据支持 GhostMarket 这一身份及其2009年的背景，但未找到针对这份具体数据集的第一方确认。第二，通过归档完整性测试只能证明字节内容稳定、结构可读，不能证明文件中每项历史说法都属实。第三，某个地址出现在规范化集合中，并不能证明该地址的使用者使用过归档中的其他每个字段，也不能证明账户一直处于活跃状态。本记录被标记为敏感，仍保持未核实状态，并按照发生错误时拒绝继续处理、且仅处理电子邮箱地址的规则进行处理。如果日后更有力的第一手证据确定了更精确的日期、不同的范围或不同的组织身份，应通过独立的证据复核修订元数据。