Jefit 2020年数据泄露

Jefit 表示，在收到多名用户的报告后，公司发现了一起由安全漏洞引发的数据事件；随后采取措施保护服务器和受影响的账户、修补漏洞、开展取证调查，并联系了执法部门。公司公告称，2020年9月20日之前注册的账户可能受到影响。

公司声明未提供最初访问的确切日期、实施者或获取数据的时间段。因此，8月11日被保留为经核实的外部记录所载日期，而不是公司披露的确切访问日期。2021年3月19日是公开公告的发布日期，并非另一起泄露事件的日期。

公司公告列出了账户用户名、与账户关联的电子邮箱地址、使用各账户独有的盐值进行哈希处理的密码，以及创建账户时记录的 IP 地址。公告还指出，并非每个账户都有 IP 地址。由于付款由第三方商店或支付公司处理，Jefit 表示其未存储客户支付信息，此次事件也未涉及任何财务数据。

经核实的外部记录报告称，密码以 vBulletin 或 Argon2 哈希值的形式出现，后来有数百万个已破解的密码流传。这一技术细节来自对外部数据集的分析，并不意味着公司曾表示所有账户都使用同一种算法，或所有账户的密码都已被破解。健康记录、训练历史、私信、支付卡和银行账户均不属于已确认的数据类别。

9,052,457是经核实的外部数据集中不重复电子邮箱地址的数量。生产环境中的单列处理任务处理了9,034,605行电子邮箱数据，并创建了9,033,145个唯一电子邮箱关联。本地文件由 Jefit 源数据结构中的电子邮箱列经规范化处理生成；密码、用户名和 IP 地址均未导入。

本地不重复电子邮箱数量比外部统计少19,312。由于各来源未对数据集版本、规范化处理和去重方面的差异进行核对，因此这些数值不作合并。本地匹配只能确认电子邮箱，不能证明同一人的密码、用户名或 IP 地址也存在于数据中。

如果用户在2020年用于 Jefit 的密码也用于其他服务，应在那些服务上将其更换为独有的密码，并在支持的情况下启用多因素身份验证。公司自己的公告也鼓励现有用户将 Jefit 密码更换为强度更高的组合。

对于意外收到的会员、训练计划、设备关联或密码重置消息，用户不应点击其中的链接，而应直接访问 Jefit 的网址或打开其应用。电子邮箱匹配并不能证明财务、健康或训练数据已暴露；已确认的数据范围是电子邮箱、用户名、创建账户时记录的 IP 地址和密码哈希值。