JD.com 2013年数据泄露事件
JD.com 2013年数据泄露事件涉及这家中国电商服务平台的账户数据。一份已核实的外部泄露记录列出了这起发生于2013年的事件，具体日期不详，涉及 77,449,341 个不重复的电子邮件地址。关于该公司2016年12月公告的同期报道指出，JD 确认了此次泄露，将其归因于2013年的一个 Apache Struts 2 漏洞，并通知了被认为存在风险的客户。
暴露的数据类型
4- 电子邮箱地址
- 密码
- 电话号码
- 用户名
关于此次数据泄露
已核实的外部数据集包含哪些数据？
这份已核实的记录显示，13 GB 数据中包含四类结构化数据：电子邮件地址、用户名、电话号码和 SHA-1 密码哈希。SHA-1 哈希值并非明文密码，但按现代密码存储标准衡量，其安全性较弱，较短或重复使用的密码仍面临离线猜解风险。
2016年的报道还描述了当时流传的一个约 12 GB 的数据包，其中包含更广泛的字段，包括 QQ 账号和身份识别号码。由于该数据包的大小和字段范围并未被明确认定为与已核实的外部数据集相同，因此这些额外报道中的字段未被纳入上述四类结构化数据。支付卡、订单历史和银行账户也不在当前结构化数据范围内。
日期与 77,449,341 这一数字分别代表什么？
由于来源未披露泄露发生的具体日期，日期字段中的2013年1月1日仅是年份层面的占位值，并不能证明事件发生在1月1日。2016年12月是公司发表声明以及媒体报道该数据包被兜售的时间，并非另一次泄露的日期。
77,449,341 代表已核实的外部数据集中不重复的电子邮件地址数量。这一统计口径不同于账户数、人数或源文件的总行数。生产环境中没有 JD 数据导入任务，也没有在本地建立索引的电子邮件地址、密码、电话号码或用户名数据集，因此该数值不作为本地数据总量呈现。
如何确立来源链？
已核实的泄露记录提供了准确的电子邮件地址数量、四个字段以及 SHA-1 的相关细节。TechNode 于2016年12月12日发布的报道链接到该公司在 WeChat 上发布的官方公告，并报道了 JD 对2013年事件的确认。已核实的记录此前还链接到另一篇二手资料页面，但该页面目前返回 404，因此不再用作公开来源。
用户可以如何应对账户风险？
如果2013年在 JD.com 使用的密码也用于其他服务，应在相应服务中将其更换为独一无二的密码，并在支持的情况下启用多因素身份验证。收到意料之外的配送、退款、促销或密码重置消息时，用户不应点击其中的链接，而应直接打开 JD 的网址。
电子邮件地址匹配并不能证明密码以明文形式存储、账户已被接管，或支付及订单数据已泄露。本记录经核实的范围仅限于外部数据集中的电子邮件地址、用户名、电话号码和 SHA-1 密码哈希字段。
