ixigo 2019年数据泄露
2019年 ixigo 数据泄露事件涉及一份据称来自印度旅游平台 ixigo 的账户数据集。经核实的泄露记录将事件日期列为2019年1月3日，并报告该数据集包含17,204,697个不重复的电子邮箱地址。TechCrunch 于2019年2月14日发布的报道指出，卖家声称有约1800万条 ixigo 记录待售，并将其单独列为一个出售项目，与其他组织的待售数据分开。卖家宣传的记录行数与经核实的不重复邮箱地址数量是不同的统计指标；统计不重复的人数时，既不能将两者相加，也不能用其中一个替代另一个。
暴露的数据类型
10- 身份验证令牌
- 设备信息
- 电子邮箱地址
- 性别
- 姓名
- 密码
- 电话号码
- 称谓
- 社交媒体个人资料
- 用户名
关于此次数据泄露
经核实的结构化字段包括身份验证令牌、设备信息、电子邮箱地址、性别、姓名、密码、电话号码、称谓、社交媒体个人资料和用户名。来源指出，密码以 MD5 哈希值而非明文形式存储；来源未说明是否加盐，因此不假定已加盐。令牌类型、关联服务以及令牌在事件发生时是否有效，也均未公布。支付卡、银行账户、旅行行程、预订内容、护照和政府签发的身份标识不在已核实的范围内。
事件与本地数据边界
卖家在同一时期出售多个组织的数据，并不能证明这些数据是通过同一种访问方式获取的。虽然报道转述了一种涉及共同数据库漏洞的推测，但公开证据并未确认攻击者最初通过何种途径进入 ixigo。生产环境中没有 ixigo 导入任务，也没有在本地关联的电子邮箱、密码、用户名、电话号码或个人级数据集。因此，17,204,697这一数值仅作为外部数据中不重复电子邮箱地址的数量保留；totalRecords 不作为本地记录总数呈现，导入数量为零。
隐私与安全应对
这条记录不能证明某个特定的人曾经出行或进行预订，也不能证明其令牌曾被使用、密码曾被还原或账户曾被他人接管。如果2019年使用过的某个密码仍在其他服务中使用，请仅将这些复用的密码分别换成不重复的密码。为电子邮箱账户启用多因素身份验证，并通过您熟悉的官方渠道核实有关票务变更、退款或账户验证的消息。发送者知道真实姓名、电话号码或个人资料链接，并不意味着其值得信任。
