HauteLook 2018年数据泄露事件
HauteLook 数据泄露事件是一起已核实的事件，与在线时尚购物服务 HauteLook 有关，记录日期为2018年8月7日。该事件的基准记录范围涵盖28,510,459个不重复的账户。记录列出的数据包括出生日期、电子邮箱地址、性别、地理位置、姓名，以及受 bcrypt 哈希保护的密码。与仅泄露电子邮箱地址相比，这些信息的组合可能带来更高的定向攻击和账户被接管风险。
暴露的数据类型
6- 出生日期
- 电子邮箱地址
- 性别
- 地理位置
- 姓名
- 密码
关于此次数据泄露
据报道，2019年初曾有人兜售与该事件有关的数据。已核实的记录并未明确最初的访问途径、哪些个人资料字段存在于每个账户中，也未明确支付系统是否受到影响。匹配结果意味着某个电子邮箱地址属于已核实的范围；它并不表明银行卡信息曾被查看、账户如今仍未关闭，或同一个人的所有字段均已泄露。
泄露的数据类型与风险
已核实的数据类别包括出生日期、电子邮箱地址、性别、地理位置、姓名和密码哈希值。这些字段组合在一起，可能被用来编写看似针对特定客户的电子邮件、短信或客服请求。姓名、出生日期和位置信息，可能让涉及配送问题、优惠活动、会员续期或付款验证的欺骗性联系显得更可信。
记录中的密码以 bcrypt 哈希值形式列出，而非可读的明文。这并不意味着密码可以被直接读取，但随着时间推移，弱密码或重复使用的密码仍可能带来风险。匹配记录中存在密码哈希值，并不能证明当前密码已被还原。应采取何种安全措施，取决于是否重复使用密码，以及相关账户目前的保护情况。
已核实的数据类别不包括支付卡号码、电话号码或实体地址。这并不意味着该服务的其他记录都未受影响；它只是界定了这起已核实事件的范围。也不应假定每条匹配记录都包含所有数据类型。用户应将匹配结果视为个人风险提示，而不要把未经证实的细节当作事实。
已核实的范围与局限
本页面标注的日期为2018年8月7日，基准记录总数为28,510,459。这个数字代表已核实的电子邮箱地址范围，而不是该服务历来服务过的所有客户、活跃账户或当前用户群体的总数。由于同一个电子邮箱地址可能出现在多条记录中，记录总数不能直接换算成实际人数。
HauteLook 被归类为以时尚商品为主的在线购物服务。这起事件仅与该服务有关；可能属于关联企业集团的其他品牌或购物网站，并不会自动纳入事件范围。某人出现在 HauteLook 记录中，并不能证明其在另一家零售商处拥有账户，也不能证明其其他账户受到这起事件的影响。
已核实的信息并未明确入侵的起点、攻击者的身份、每个数据文件被复制的时间，或哪些客户收到了通知。该日期标识的是与事件相关的时间段；仅凭这个日期，无法判断数据最早何时出现在网上，也无法判断每个账户最后一次使用的时间。这些不确定性并不降低事件的重要性，但对于无法证实的技术性说法，仍需谨慎对待。
风险较高的用户
最需要优先采取防护措施的，是曾在其他购物、电子邮件或社交账户中重复使用 HauteLook 密码的用户。bcrypt 保护并不能消除密码风险；过短、容易猜测或重复使用的密码，可能被用于尝试登录其他系统。凡是使用同一个电子邮箱地址登录多个服务的用户，都应检查自己的密码使用习惯，尤其要留意较早注册的会员账户。
匹配记录中包含出生日期、姓名和地理位置信息的用户，应警惕有针对性的诈骗。攻击者可能在涉及配送延误、会员积分、优惠券、会员续期或订单确认的消息中使用这些信息。消息中包含个人信息，并不能证明发送者是正规零售商。
已不再活跃使用的旧购物账户也值得留意。其注册电子邮箱地址可能仍被较新的服务用作账户恢复渠道。仍在使用同一邮箱的用户，应仔细检查不熟悉的会话、转发规则、账户恢复选项，以及意外收到的密码重置通知。
应立即采取的防护措施
首先，如果曾在其他账户中使用与 HauteLook 相同的密码，应将那些账户的密码改为各不相同的强密码。如果仍能访问 HauteLook 账户，也应更改其密码，并在服务提供该选项时启用多因素身份验证。电子邮箱是许多服务的账户恢复渠道，因此应优先检查邮箱密码和账户恢复信息。
检查账户活动和电子邮箱收件箱中是否有异常情况。收到不熟悉的登录通知、优惠券信息、订单提醒或密码重置消息时，应先核查发件人域名及消息要求执行的操作，再打开链接。要确认提醒是否属实，应直接访问该服务已知的官方地址，而不是使用消息中提供的地址。
发现可疑活动时，应通过相关服务的官方客服渠道联系。如果账户设置中出现不熟悉的设备、会话、恢复邮箱地址或关联应用，应撤销相关访问权限。支付卡信息不在已核实的数据类别中，但如果在线购物账户保存了付款方式，留意银行和银行卡的异常活动提醒仍是审慎之举。
长期安全习惯
为每个购物网站和在线服务使用不同的长密码，是最有效的防护措施之一。密码管理器可以生成随机密码，减少密码重复使用。在支持多因素身份验证的情况下，优先选择身份验证器应用或硬件安全密钥；短信验证码也能增加保护，但无法阻止所有具有迷惑性的欺诈尝试。
尽量少在购物账户中提供非必要的个人资料字段，例如出生日期、性别、位置和联系偏好。检查旧账户中可见的个人资料和已保存的地址，有助于减少日后被用于定向攻击的信息。在服务的隐私设置中减少向第三方共享数据，也有助于限制个人信息的不必要传播。
定期检查账户恢复设置的安全性。备用电子邮箱地址、电话号码、关联设备和会话信息都需要保持最新状态。在可行的情况下，保持登录提醒开启，并在发现不熟悉的会话或地址变更时迅速处理。这些习惯能保护所有客户账户，而不仅是与这起事件匹配的用户账户。
记录查询与用户应对
使用本页面的记录查询功能，查看你的电子邮箱地址是否与 HauteLook 事件匹配。匹配结果表明该地址属于已核实的范围；它并不能证明你的记录中包含每一种数据类型、密码已被还原，或当前账户已被攻破。应将结果视为个人风险提示，优先处理密码重复使用问题，并检查账户恢复设置。
如果没有匹配结果，回想曾经使用的电子邮箱地址、其他注册信息以及已关闭的购物账户，仍可能有所帮助。未匹配并不保证互联网上的其他地方不存在你的个人信息。使用各不相同的密码、启用多因素身份验证、定期检查账户，以及通过独立渠道确认可疑消息，仍是最可靠的防护方式。
