Horse & Hound 论坛 2017 年关联数据集

与事件的关联来自两个独立的公开目录。BreachEra 在同一行中列出了 Horse and Hound、horseandhound.co.uk、2017 年、95,337 条记录，以及电子邮件地址、IP 地址、用户名和密码这些数据类别。Leak-Lookup 则报告同一域名有 95,338 条记录，并在其统计结构中列出用户名、电子邮件地址、IP 地址、密码和盐值列。这两个目录之间相差一条记录，完全可以由封存源文件中的一条非数据前导记录解释。没有仅为接近目录所列总数而筛选或扩充数据。

所检查的 HorseAndHound_BF.7z 归档文件大小为 4,529,396 字节，已封存，其 SHA-256 为 ee05e8…5352。完整的 7z 完整性测试已通过。归档中的主要成员文件名为 Forums-secure.horseandhound.co.uk_vb_January_2017.txt，大小为 8,868,144 字节，SHA-256 为 b69419…7ca2。源文件包含 95,338 条物理记录：一条前导记录和 95,337 条数据记录。另有一份 441 字节的通用分发说明，其中没有行级电子邮件字段，因此已按非电子邮件元数据处理并结案，未用于扩大源数据范围。

主要源文件并非带有明确表头的普通 CSV。其记录类似于以冒号分隔的 vBulletin 数据表示形式；由于用户名本身也可能包含冒号，字段数量并不固定。审查以每条数据记录中唯一的 32 字符十六进制密码摘要为结构锚点，并对该锚点前两个位置处、格式类似电子邮件地址的字段进行统计。这一规则在全部 95,337 条数据记录的结构中都适用。不过，字段的确切含义依赖推断，而非由表头明确指定，因此安全策略采用了更高的准入门槛。

两个独立的已编译 Go 解析器采用不同实现，处理了同一组完整的成员文件；各自生成的出现项数据流和规范化数据流在两种实现之间均逐字节一致。两者均报告了 94,917 个已接受的出现项、94,876 个唯一规范化结果、41 个重复出现项、390 个被拒绝的非空值和 30 个空白位置。所选字段的覆盖率约为 99.56%，而最有力的另一候选电子邮件格式字段仅包含 90 个候选值。这些统计结果有力地支持了该推断，但 mapping-admission v3 要求推断所得的映射至少有 100,000 个已接受的出现项。

实际观察到的 94,917 个出现项比这一强制最低要求少 5,083 个。因此，准入检查以 INFERENCE_OCCURRENCES_TOO_SMALL 结果结束，未予通过。门槛没有降低，也没有为凑齐目录所列数量而加入其他字段，更没有将 94,876 个规范化结果公布为受影响人数。这条元数据记录并不表示已导入任何电子邮件关联：canonicalEmailCount 为 null，importedRecordCount=0，处理状态仍为待处理。除非后续通过映射准入，否则不得创建任何 READY 包、导入任务或 Mongo 电子邮件关联。

仅出于审计目的，进行了一次实时全局比对。在推断得到的规范化集合中，73,670 个值已存在于全局电子邮件索引中，21,206 个值不存在；匹配结果分布在 798 个泄露标识符下。无法根据这一分布确定某条现有记录就是 Horse & Hound 源数据的归属记录，也没有发现通过相同的源键、归档文件 SHA、规范化数据 SHA 或文件名标识绑定的既有导入任务。数据重叠本身不能证明某个地址属于这个论坛，只能说明同一个规范化值也出现在其他数据集中。

对 Wayback CDX 元数据的检查未下载存档页面内容；这些元数据确认，2017 年该安全论坛子域名有成功抓取记录。Horse & Hound 当前的官方域名也为该服务的身份提供了佐证。相比之下，在 公开的数据泄露信息来源 或 NiamonX 中未找到完全匹配的条目，也未找到第一方发布的事件披露。上述检查虽未发现相关条目或披露，但不能据此证明它们不存在；这些检查仅界定了核实范围。因此，本记录对归属保持谨慎，不声称涵盖整个事件的全部数据；如果出现第一方公告或明确的源数据结构说明，应重新评估本记录。